Binance hackat: det här vet vi om stölden på 6,3 miljarder dollar
Av Shayan Parsai · Publicerad · 2 min läsning
Den 29 oktober 2026 flyttade angripare cirka 6,3 miljarder dollar från Binances plånböcker, den största kryptostölden som registrerats. De första spåren leder till en DevOps-ingenjörs hackade laptop, och FBI pekar ut Nordkorea. Binance lovar att kunderna inte förlorar pengar, och uttagen började öppna igen den 1 november. Grundorsaken är inte publicerad.
Lärdomar av detta inslag4 punkter ▾
- En laptop kan nå långtBinances första spår är en enda ingenjörs dator. Ta reda på vad en stulen utvecklarinloggning kan nå i dina system.
- Signering behöver gränserElliptic säger att angriparen fick Binances egna system att signera. Sätt gränser och ett andra godkännande på allt som flyttar pengar.
- Frysning räcker bara en bitCirka 2,85 miljarder dollar är frysta, nästan allt i stablecoins. Bitcoin saknar utgivare som kan frysa den, så de pengarna går inte att nå.
- Larmet måste hinna förstTRM Labs säger att det mesta flyttades på cirka 20 minuter. Ett larm måste nå en människa snabbare än så, oavsett tid på dygnet.
Vad som hände
Pengarna började lämna Binances plånböcker strax efter 20.05 UTC den 29 oktober, enligt Elliptic och TRM Labs. TRM säger att det mesta flyttades på cirka 20 minuter och att en andra våg slog mot plånböcker på Avalanche och Polygon tre timmar senare. Elliptic räknar 11 blockkedjor som tömdes under cirka tre timmar.
Summorna skiljer sig eftersom bolagen mäter olika saker. Binance säger cirka 6,3 miljarder dollar, FBI cirka 6, TRM 6,36 och Elliptic 6,43. Bybit-stölden i februari 2025, det tidigare rekordet, låg på cirka 1,5 miljarder.
Hur de kom in
Binance säger att intrånget troligen började med en hackad laptop som tillhörde en DevOps-ingenjör. Den gav åtkomst till en servicecontainer, och där skickades de obehöriga uttagen. Senare meddelade Binance att utredningen hittat fler intrångspunkter, utan att säga var.
Binance säger sig inte ha sett några tecken på att plånböckernas privata nycklar läckt. Elliptic läser blockkedjans data på samma sätt: angriparen fick Binances egna system att signera transaktionerna. Binance har lovat en teknisk rapport när utredningen är klar.
Vem som ligger bakom
FBI pekade ut Nordkorea den 31 oktober och kallar aktiviteten TraderTraitor. TRM Labs och Chainalysis hade kommit till samma slutsats. Chainalysis hänvisar till att de stulna pengarna blandats med pengar från Bitget-stölden i september.
Vad som händer med kunderna
Binance säger att förlusterna täcks av bolagets SAFU-fond och egna pengar. Insättningar och uttag stoppades, och den 1 november började uttagen öppna igen, först för bitcoin.
Elliptic har verifierat cirka 2,85 miljarder dollar som frysta eller beslagtagna, nästan allt i USDT och USDC. Enligt Elliptic har angriparen kvar cirka 3,25 miljarder som inte går att frysa.
Vad det betyder för din sajt
Få företag har miljarder i en plånbok, men vägen in gäller alla: en utvecklares dator, en container och ett system som får agera på egen hand. I ett mindre företag kan det vara en laptop med nycklar till produktion, eller en CI/CD-kedja som publicerar kod av sig själv.
Tre saker att kontrollera den här veckan:
- Lista vilka som når produktion och ta bort åtkomst som ingen använder.
- Kräv ett andra godkännande för allt som flyttar pengar eller publicerar kod.
- Testa att ett larm når en människa inom några minuter, även på natten.
Källor
Fler hack
Node2Shell
Node.js 22, 24, 26Ett hål i Brotli-avkodaren i Node.js. Står på CISA:s lista över utnyttjade hål.
PHP2Shell
7 av 10 webbplatserTvå kritiska hål i PHP utnyttjas nu, bekräftar CISA. Rättade 21 oktober.
Danmark
8,8 miljoner personerNamn, adresser och personnummer, via ett företags legitima åtkomst.