Binance setter av over 6,34 milliarder dollar av selskapets midler til å dekke tap etter dataangrepet

Binance sa i et innlegg på sin offisielle X-konto 30. oktober 2026 at selskapet allerede har satt av over 6,34 milliarder amerikanske dollar av egne midler til å dekke tapene etter sikkerhetshendelsen 29. oktober 2026, og at 5 milliarder dollar av disse midlene allerede holdes i de samme tokenaktivaene som ble rammet.

Børsen sa at den er i ferd med å kjøpe inn resten av beløpet gjennom markedsplasser og OTC-kanaler, slik at de resterende tokenaktivaene samsvarer med formatet og eventuelle underskudd på aktiva kan dekkes. Dette kan ta lengre tid fordi enkelte token kan ha lav likviditet, og OTC-oppgjør også tar tid. Børsen opplyste at tallene ikke omfatter aktiva som er fryst eller sikret, og som fortsatt er gjenstand for pågående innhenting og verifisering. Rundt 3 milliarder dollar er hittil fryst, og selskapet takket bransjepartnerne sine.

Selskapet sa at det har begynt å tilbakeføre berørte aktiva til brukerne, og at det fortsetter samarbeidet med politiet, utstedere, blokkjedeanalyseselskaper og bransjepartnere for å spore, fryse og hente inn ytterligere midler. Binance sa at selskapets midler fortsatt vil bli brukt til å dekke bekreftede underskudd, og at alle brukermidler til slutt vil bli offentlig verifisert gjennom selskapets Proof of Reserves.

Kompromittert konto og stans i uttak

I en formell oppdatering om sikkerhetshendelsen, publisert 30. oktober, sa Binance at den innledende etterforskningen tyder på at hendelsen kan ha involvert en kompromittert bærbar PC tilhørende en DevOps-ingeniør. Dette gjorde det mulig for en angriper å få tilgang til en tjenestebeholder og sende inn uautoriserte uttakstransaksjoner. Selskapet sa at det ikke har funnet bevis for at noen private lommeboknøkler er lekket. Det anslo den samlede effekten til rundt 6,3 milliarder dollar, opplyste at rundt 3 milliarder dollar hittil var blitt fryst på blokkjeden sammen med blokkjedepartnere, og sa at alle tap vil bli dekket av SAFU-fondet og selskapets midler. Selskapet understreket at brukermidlene er trygge.

Som umiddelbare forholdsregler opplyste Binance at selskapet midlertidig stanset uttak mens sikkerhetskontroller gjennomføres, tilbakekalte godkjenningen for den berørte adressen og tok kontakt med politiet og partnere innen blokkjedeanalyse for å spore og hente inn midler. Kunngjøringen ble oppdatert senere 30. oktober for å presisere at innskudd ikke er berørt, og at de fortsatt fungerer som normalt.

Medadministrerende direktør Richard Teng skrev i et innlegg at angriperen ikke bare benyttet én ingeniørs tilgangsrettigheter, og at dette ikke var en enkelt «ettklikks»-handling. Han la til at etterforskningen ikke har plassert ansvaret hos noen enkeltperson. Teng sa at uttakene ble stanset mens Binance gjennomfører en omfattende sikkerhetsoppgradering av uttakstjenesten og de tilknyttede adressene. «Kort sagt – pengene dine er trygge, og vi dekker alle tap», skrev han.

I en senere oppdatering om etterforskningen sa Binance at den videre etterforskningen hadde avdekket flere inngangspunkter for angrepet enn den muligens kompromitterte bærbare PC-en, og beskrev angrepet som komplekst. Selskapet sa at utstrømmingen av midler stanset da uttakene ble satt på pause, at rundt 3 milliarder dollar hittil var blitt fryst, og at det fortsatt lå an til å gjenåpne uttakstjenesten innen den forventede tidsrammen på 45 timer.

Funn på blokkjeden og frysing av aktiva

TRM Labs rapporterte i en analyse at en angriper flyttet rundt 6,36 milliarder dollar ut av Binance-lommebøker på tvers av ti blokkjeder. Mesteparten ble flyttet i løpet av rundt 20 minutter fra kl. 20.05 UTC 29. oktober, mens en ny bølge rundt kl. 23.05 UTC nådde Binance-lommebøker på Avalanche og Polygon (POL ). TRM sa at dette gjør hendelsen til det største kryptotyveriet som er registrert, omtrent fire ganger så stort som Bybit-angrepet på 1,5 milliarder dollar i februar 2025, og at de stjålne aktivaene er verdt rundt 6,23 milliarder dollar med dagens priser.

TRM tilskrev angrepet med høy grad av sikkerhet TraderTraitor, som selskapet beskrev som Nord-Koreas elitebaserte hackergruppe, og bemerket at FBI utpekte den samme gruppen som ansvarlig for Bybit-angrepet. Chainalysis sa i sine egne funn at etterforskerne vurderer utnyttelsen, som beløper seg til rundt 6,4 milliarder dollar, til å være utført av TraderTraitor. De sa også at de sterkeste bevisene kom fram da de i sanntid observerte at midler stjålet fra Binance ble blandet sammen med midler stjålet i Bitget-angrepet måneden før, som var blitt knyttet til nordkoreanske aktører. Chainalysis sa at midler begynte å forlate Binance sine varme lommebøker på tvers av flere blokkjeder rundt kl. 16.20 amerikansk østkysttid 29. oktober.

På Ethereum (ETH ), brukte angriperen en EIP-7702-delegering, en mekanisme som lar en vanlig lommebok overlate kontrollen over sin funksjonalitet til en smartkontrakt ved å signere en autorisasjon, ifølge TRMs rapport. TRM sa at angriperen på forhånd klargjorde 50 forhåndssignerte autorisasjoner for å gjøre en varm Binance-lommebok om til en sweeper-lommebok som angriperen kontrollerte. Binance-lommebøkene på de ni andre kjedene sendte derimot midler gjennom vanlige, signerte overføringer. Etter TRMs vurdering tyder dette mønsteret på at infrastrukturen Binance bruker til å signere transaksjoner fra sine varme lommebøker, ble kompromittert.

TRM verdsatte hver overføring ut fra prisen på aktivaet da det ble tatt, og utarbeidet følgende oversikt fordelt på blokkjede:

TRM sa at utstrømmene fra Ethereum omfatter 200 630 ETH og 185 andre token, at de samlede utstrømmene fra Bitcoin er på 18 270 BTC, at utstrømmene fra Tron er på 612,7 millioner USDT og 46,4 millioner TRX, at XRP Ledger mistet 233,46 millioner XRP, at utstrømmene fra Solana er på 970 500 SOL, og at det samlede tallet for Arbitrum, Optimism og Base omfatter 74,6 millioner ARB som ble tatt på Arbitrum.

Når det gjelder frysinger, sa TRM at Tether frøs rundt 1,77 milliarder USDT, Circle frøs rundt 825 millioner USDC, Ripple frøs 40,5 millioner RLUSD og World Liberty Financial frøs 27,8 millioner USD1, mens Arbitrums (ARB ) sikkerhetsråd brukte nødmyndighetene sine til å tvinge gjennom to overføringer fra angriperens lommebok på Arbitrum. Det ble flyttet 8 426 ETH og 74,6 millioner ARB, verdt rundt 30 millioner dollar, utenfor angriperens rekkevidde. Ifølge TRM førte dette til at den samlede mengden som var fryst på blokkjeden, nådde rundt 2,7 milliarder dollar per 00:30 UTC 30. oktober. TRM viste til at Binance hadde opplyst kl. 23:35 UTC 29. oktober at det bekreftede fryste beløpet hadde nådd 2,54 milliarder dollar. Chainalysis sa at rundt 2,8 milliarder dollar var blitt fryst så langt, og at de første frysningene startet senest kl. 17.14 østamerikansk tid 29. oktober.

TRM sa at angriperen fortsatt kontrollerer mer enn 420 000 ETH og 18 270 BTC, tilsvarende rundt 2,4 milliarder dollar i eiendeler som ligger utenfor enhver utsteders rekkevidde, og at selskapet forventer at neste fase av hvitvaskingen vil involvere broer mellom blokkjeder, byttetjenester og meglere som handler direkte mellom kjøper og selger. Chainalysis sa at angriperen flyttet 500 millioner dollar i stablecoins til en egen lommebok og byttet stablecoins verdt 325 millioner dollar mot ETH verdt 285 millioner dollar i løpet av nesten 20 minutter, mens angriperen skyndte seg å konvertere eiendeler som kunne fryses. Selskapet sa også at det observerer hvitvaskingsmønstre det ikke har sett før, blant annet tusenvis av transaksjoner på kort tid, noe som tyder på automatisering, og adresser som mottar nøyaktig 1 TRX før de mottar og videresender ytterligere midler.

Binance sa at selskapet vil dele en detaljert teknisk gjennomgang av hendelsen når etterforskningen er fullført og fakta er fullstendig verifisert, og at det vil publisere en oppdatert Proof of Reserves når utbedringstiltakene er fullført.