Binance avsätter över 6,34 miljarder dollar av företagets medel för att täcka förluster efter intrånget

Binance uppgav i ett inlägg på sitt officiella X-konto den 30 oktober 2026 att företaget redan har avsatt över 6,34 miljarder US-dollar av sina medel för att täcka förlusterna från säkerhetsincidenten den 29 oktober 2026, och att 5 miljarder dollar av dessa medel redan finns i just de tokentillgångar som påverkades.

Börsen uppgav att den håller på att köpa resterande belopp genom att förvärva tokentillgångar via marknaden och OTC-marknaden, för att motsvara de återstående tokentillgångarnas sammansättning och täcka eventuella tillgångsunderskott. Företaget tillade att detta kan ta längre tid eftersom vissa token kan ha låg likviditet och OTC-avveckling också tar tid. Siffrorna omfattar inte frysta eller skyddade tillgångar, som fortfarande är föremål för pågående återvinning och verifiering. Hittills har 3 miljarder dollar frysts, och företaget tackade sina branschpartner för detta.

Företaget uppgav att det har börjat återställa de berörda tillgångarna åt användarna och fortsätter att samarbeta med brottsbekämpande myndigheter, utgivare, företag inom blockkedjeanalys och branschpartner för att spåra, frysa och återvinna ytterligare medel. Binance sade att företaget fortsätter att använda sina egna resurser för att täcka bekräftade underskott och att alla användarnas medel i slutändan kommer att verifieras offentligt via företagets Proof of Reserves.

Intrångets förlopp och uttagsstopp

I en formell uppdatering om säkerhetsincidenten som publicerades den 30 oktober uppgav Binance att den inledande utredningen tyder på att incidenten kan ha involverat en komprometterad DevOps-ingenjörs bärbara dator. Det gjorde det möjligt för en angripare att få åtkomst till en tjänstcontainer och skicka obehöriga uttagstransaktioner. Företaget sade att det inte har hittat några bevis för att någon privat nyckel till en plånbok har läckt. Den uppskattade den totala påverkan till omkring 6,3 miljarder dollar, uppgav att ungefär 3 miljarder dollar dittills hade frysts on-chain tillsammans med blockkedjepartner och sade att alla förluster skulle täckas av SAFU-fonden och företagets egna medel. Företaget uppgav också att användarnas medel är säkra.

Som omedelbara försiktighetsåtgärder uppgav Binance att företaget tillfälligt stoppat uttag medan säkerhetskontroller slutförs, återkallat behörigheten för den berörda adressen och kontaktat brottsbekämpande myndigheter och partner inom blockkedjeanalys för att spåra och återvinna medel. Meddelandet uppdaterades senare den 30 oktober för att klargöra att insättningar inte påverkats och fungerar som vanligt.

Med-vd:n Richard Teng skrev i ett inlägg att angriparen inte bara utnyttjade en ingenjörs behörighet och att det inte rörde sig om en enda åtgärd med ett klick. Han tillade att utredningen inte har pekat ut någon enskild person som ansvarig. Teng sade att uttagen stoppades medan Binance genomför en omfattande säkerhetsöversyn av uttagstjänsten och dess tillhörande adresser. ”Kort sagt – dina pengar är säkra, och vi täcker alla förluster”, skrev han.

I en senare uppdatering om utredningen uppgav Binance att den fortsatta utredningen hade avslöjat ytterligare intrångspunkter utöver den eventuellt komprometterade bärbara datorn, vilket tydde på en komplex attack. Företaget sade att utflödena upphörde när uttagen pausades, att omkring 3 miljarder dollar dittills hade frysts och att tidsplanen fortfarande höll för att återuppta uttagstjänsten inom 45 timmar.

Resultat från blockkedjan och frysta tillgångar

TRM Labs rapporterade i en analys att en angripare flyttade omkring 6,36 miljarder dollar från Binance-plånböcker på tio blockkedjor. Huvuddelen flyttades under cirka 20 minuter med start kl. 20.05 UTC den 29 oktober. En andra våg omkring kl. 23.05 UTC nådde Binance-plånböcker på Avalanche och Polygon (POL ). TRM uppgav att detta gör incidenten till den största kryptostölden som registrerats, omkring fyra gånger större än intrånget mot Bybit på 1,5 miljarder dollar i februari 2025, och att de stulna tillgångarna är värda omkring 6,23 miljarder dollar till dagens priser.

TRM tillskrev med hög grad av säkerhet attacken TraderTraitor, som företaget beskrev som Nordkoreas elitförband för hackning, och noterade att FBI pekade ut samma grupp som ansvarig för intrånget mot Bybit. Chainalysis uppgav i sina egna slutsatser att företagets utredare bedömer att utnyttjandet för omkring 6,4 miljarder dollar utfördes av TraderTraitor. De starkaste bevisen framkom när utredarna i realtid såg medel stulna från Binance blandas med medel från utnyttjandet av Bitget föregående månad, som hade tillskrivits nordkoreanska aktörer. Chainalysis uppgav att medel började lämna Binances heta plånböcker på flera blockkedjor omkring kl. 16.20 östkusttid den 29 oktober.

På Ethereum (ETH ), använde angriparen enligt TRM:s rapport en EIP-7702-delegering, en mekanism som låter en vanlig plånbok överlåta kontrollen över sitt beteende till ett smart kontrakt genom att signera en auktorisering. TRM uppgav att angriparen i förväg förberedde 50 förhandsignerade auktoriseringar för att omvandla en Binance-hetplånbok till en plånbok för automatisk insamling som angriparen kontrollerade. Binance-plånböckerna på de övriga nio kedjorna skickade i stället medel genom vanliga signerade överföringar, ett mönster som enligt TRM tyder på att Binances infrastruktur för signering från heta plånböcker hade komprometterats.

TRM värderade varje överföring utifrån tillgångens pris när den togs, vilket gav följande uppdelning per blockkedja:

TRM uppgav att utflödena från Ethereum omfattar 200 630 ETH och 185 andra token, att utflödena från Bitcoin uppgår till totalt 18 270 BTC, att utflödena från Tron uppgår till totalt 612,7 miljoner USDT och 46,4 miljoner TRX, att XRP Ledger förlorade 233,46 miljoner XRP och att utflödena från Solana uppgår till totalt 970 500 SOL. Den sammanlagda summan för Arbitrum, Optimism och Base omfattar 74,6 miljoner ARB som togs från Arbitrum.

När det gäller frysningarna uppgav TRM att Tether frös cirka 1,77 miljarder USDT, Circle frös cirka 825 miljoner USDC, Ripple frös 40,5 miljoner RLUSD och World Liberty Financial frös 27,8 miljoner USD1, medan Arbitrums (ARB ) säkerhetsråd använde sina nödbefogenheter för att tvinga fram två överföringar från angriparens plånbok på Arbitrum. Därmed flyttades 8 426 ETH och 74,6 miljoner ARB, värda omkring 30 miljoner dollar, utom räckhåll för angriparen. Enligt TRM innebar det att det sammanlagda beloppet som frysts på kedjan uppgick till omkring 2,7 miljarder dollar klockan 00.30 UTC den 30 oktober. TRM noterade att Binance hade uppgett klockan 23.35 UTC den 29 oktober att det verifierade frysta beloppet hade nått 2,54 miljarder dollar. Chainalysis uppgav att cirka 2,8 miljarder dollar hade frysts dittills och att de första frysningarna inleddes senast klockan 17.14 östamerikansk tid den 29 oktober.

TRM uppgav att angriparen fortfarande kontrollerar mer än 420 000 ETH och 18 270 BTC, tillgångar värda omkring 2,4 miljarder dollar som ligger utanför alla utgivares räckhåll. Företaget räknar med att nästa steg i penningtvätten kommer att involvera bryggor mellan blockkedjor, växlingstjänster och OTC-mäklare. Chainalysis uppgav att angriparen flyttade stablecoins värda 500 miljoner dollar till en särskild plånbok och växlade stablecoins värda 325 miljoner dollar mot ETH värt 285 miljoner dollar under knappt 20 minuter, i ett försök att snabbt omvandla tillgångar som kunde frysas. Företaget uppgav också att det observerar penningtvättsmönster som det inte har sett tidigare, däribland tusentals transaktioner under en kort period som tyder på automatisering, samt adresser som tar emot exakt 1 TRX innan de tar emot och vidarebefordrar ytterligare medel.

Binance uppgav att företaget kommer att publicera en detaljerad teknisk efteranalys när utredningen är klar och alla fakta har verifierats fullständigt, samt publicera ett uppdaterat reservbevis när åtgärdsarbetet är slutfört.