Binance-angrepet: 58 milliarder kroner forsvant på 20 minutter

Binance-angrepet startet klokken 21.05 norsk tid torsdag, da fem av børsens lommebøker sendte 233,46 millioner XRP til én og samme adresse. Transaksjonene var signert som de skulle, men ordren kom ikke fra Binance. Iløpet av rundt 20 minutter var det meste av pengene borte fra børsens lommebøker på ti blokkjeder.

Det er det største kryptotyveriet som noen gang er registrert. Binance anslår tapet til 6,3 milliarder dollar, rundt 58 milliarder kroner. Forrige rekord var tyveriet fra kryptobørsen Bybit i februar 2025, på 1,5 milliarder dollar, rundt 14 milliarder kroner. Analyseselskapene kommer litt høyere ut enn Binance: TRM Labs lander på 6,36 og Elliptic på 6,43 milliarder dollar, begge rundt 59 milliarder kroner.

Bitcoin utgjorde under en fjerdedel av byttet: 18 270 bitcoin, verdt rundt 1,47 milliarder dollar eller 13,6 milliarder kroner. Resten var ether, mindre kryptovalutaer og stablecoins, altså kryptovalutaer knyttet til en fast verdi, som regel én dollar. Selve Bitcoin-nettverket ble ikke rammet.

Prøvekjørt samme ettermiddag

Forberedelsene startet dagen før. En nyopprettet lommebok fikk tre små beløp fra Tornado Cash, en tjeneste som blander pengene til mange brukere for å skjule hvor de kommer fra.

Torsdag klokken 16.59 la angriperen ut et lite program på Ethereum-blokkjeden, en såkalt sweeper. Programmet gjør én ting: Det tømmer en lommebok. Angriperen prøvekjørte det på egne lommebøker før det ble brukt mot Binance.

Etter XRP-overføringen ble lommebøker på Solana og Optimism tømt. Klokken 21.20 sendte Binances bitcoin-lommebok fra seg alle de 18 270 bitcoinene, og samme minutt kom hovedangrepet på Ethereum.

50 signaturer, én traff

Målet var Binance 14, en av børsens varme lommebøker.

Siden mai 2025 har Ethereum hatt en funksjon som heter EIP-7702. Den lar en vanlig lommebok låne kode fra et program på blokkjeden. Eieren skriver under på en tillatelse, og så gjør lommeboken det programmet sier, til tillatelsen trekkes tilbake.

Tillatelsen har én hake: Den gjelder bare for ett bestemt nummer. Lommeboken nummererer alt den gjør, og tillatelsen virker bare hvis den har nøyaktig det neste nummeret i rekken.

I Binance 14 økte nummeret hele tiden, fordi lommeboken betalte ut penger til kundene. Angriperen kunne ikke vite hvilket nummer som var det neste da tillatelsen kom frem. Han sendte derfor 50 tillatelser samtidig, med 50 numre på rad. Én av dem passet, og de andre 49 ble ignorert.

Dermed kjørte Binance 14 angriperens program. Tre minutter og 24 sekunder senere tok han alt i ett jafs: 167 464 ether og 63 andre kryptovalutaer, tilsammen rundt 2,5 milliarder dollar eller 23 milliarder kroner. Via Binance 14 fikk han også styre en annen av børsens lommebøker, og tok 823 millioner dollar i stablecoinen USDC, rundt 7,6 milliarder kroner.

Tillatelsen ble først opphevet klokken 01.10 natt til fredag. Binances egne systemer fortsatte i mellomtiden å sende innskudd til lommeboken, og seks ganger hentet angriperen pengene. Hjemlevering.

Den bærbare PC-en forklarer ikke alt

Binance pekte først på den bærbare PC-en til en DevOps-ingeniør, en av dem som drifter selskapets servere. Den forklaringen holdt ikke lenge. «The attacker did not simply use one engineer's permissions, and this was not a single 'one-click' action», skriver Richard Teng, en av Binances to toppsjefer. Selskapet sier nå at det har funnet flere innbruddspunkter, uten å si hvilke.

Det store uløste spørsmålet er hvordan angriperen fikk tak i signaturene. En signatur er lommebokens underskrift, og den lages med en privat nøkkel, en lang hemmelig kode. Binance har ikke funnet tegn til at private nøkler er lekket. TRM Labs tror angriperen isteden fikk Binances eget signeringssystem til å skrive under på det han ville, på tvers av blokkjedene.

EIP-7702 kan ikke være hele forklaringen. Bitcoin, XRP, Solana og Tron har ikke funksjonen, så der ble lommebøkene tømt med vanlige signerte overføringer. Det samme gjaldt en annen Binance-lommebok på Ethereum, som sendte 28 006 ether uten noen slik tillatelse. «7702 itself isn't broken», sier Derek Chiang i Ethereum-selskapet Ethlabs.

Teng sier angriperen brukte en selvdestruksjonsmekanisme som slettet verktøy og spor underveis. Binance har lovet en detaljert teknisk gjennomgang.

Changpeng Zhao bygget Binance og gikk av som toppsjef i 2023, da han erklærte seg skyldig i brudd på amerikanske hvitvaskingsregler. Han er fortsatt største aksjonær. «It does look like a hack», skrev han på X.

Svimlende summer

Over halvparten av byttet var stablecoins, 3,46 milliarder dollar eller rundt 32 milliarder kroner. Bak dem er det selskaper, og selskapene kan sperre myntene.

Klokken 22.01 frøs Tether, selskapet bak stablecoinen USDT, 971,1 millioner USDT, rundt 9 milliarder kroner. Det var 37 minutter etter hovedtømmingen. Tre minutter senere frøs Circle, selskapet bak USDC, de 823 millionene. Ripple og flere andre fulgte etter.

Binance sier rundt 3 milliarder dollar, 28 milliarder kroner, er frosset. Elliptic har verifisert 2,84 milliarder dollar, rundt 26 milliarder kroner, eller 44 prosent av tyveriet. Frosset er ikke det samme som tilbakeført.

Angriperen visste hva som ventet. Han solgte 434 millioner USDT, rundt 4 milliarder kroner, 12 til 26 prosent under markedspris for å få ether isteden. Bitcoin og ether har ingen utsteder som kan sperre dem.

TRM Labs anslår at angriperen sitter igjen med så mye som 2,4 milliarder dollar utenfor rekkevidde, rundt 22 milliarder kroner. Helt ufattelige summer for en vanlig hverdagsmann. Elliptic mener det er 3,23 milliarder dollar, rundt 30 milliarder kroner.

I en bransje som lover penger uten mellomledd, ble milliardene berget av noen få som kunne trykke på en knapp.

Sporene peker mot Nord-Korea

TRM Labs er svært sikker på at TraderTraitor, en nordkoreansk hackerenhet, gjennomførte angrepet. FBI knyttet den samme gruppen til Bybit-tyveriet. Analyseselskapet Chainalysis kommer til samme svar, fordi stjålne midler ble blandet med penger fra tyveriet mot kryptobørsen Bitget i september, som også er knyttet til Nord-Korea.

Elliptic er mer forsiktig og kaller det sannsynlig. Koblingen til Bitget-pengene er liten, og samme hvitvaskingsnettverk kan betjene flere kunder. Ingen myndighet har bekreftet noe. FBI samarbeider med partnere, men har ikke pekt ut noen.

«When North Korea steals at this scale, the money funds weapons proliferation and other destabilising activity», sier Ari Redbord, policysjef i TRM Labs. Ifølge Elliptic har nordkoreanske hackere stjålet over 6,5 milliarder dollar i krypto de siste årene, rundt 60 milliarder kroner. Har de gjort dette også, er summen nesten doblet på én kveld.

Norsk politi kjenner sporene. I 2023 tok Økokrim beslag i 60 millioner kroner fra tyveriet mot spillet Axie Infinity, som FBI knyttet til Nord-Korea. Binance hjalp til med beslaget.

Bitcoin falt, men ikke bare på grunn av Binance

Bitcoin falt natt til fredag til 76 400 dollar, rundt 705 200 kroner. Det er det laveste nivået siden 18. september. Ether var nede i 2170 dollar, rundt 20 000 kroner, og Binances egen kryptovaluta BNB falt over seks prosent.

Fredag kveld kostet bitcoin under 77 000 dollar, rundt 710 700 kroner, omtrent fem prosent mindre enn døgnet før.

Fallet ble forsterket av likvideringer. Mange handler krypto med lånte penger, og når kursen faller langt nok, stenges posisjonen automatisk. Da selges det enda mer. Likvideringene firedoblet seg til 1,57 milliarder dollar, rundt 14,5 milliarder kroner.

Men Binance-angrepet traff et marked som allerede var svakt. Bitcoin har falt 8,4 prosent i oktober. Fredag raste Intel rundt 25 prosent, Nasdaq falt 3,4 prosent, og frykten for AI-investeringene preget hele teknologisektoren.

Aksjen til den amerikanske kryptobørsen Coinbase falt 12 prosent, men selskapet la også frem svake kvartalstall. Hvor mye av bitcoin-fallet som kommer fra Binance, er umulig å si.

Geoffrey Kendrick, forskningssjef for digitale verdier i storbanken Standard Chartered, tror det ikke er over: «I suspect the negative price action still has some way to go». Kursen bunner ikke ut før de frosne pengene er frigjort og flere detaljer er kjent, mener han.

Angriperen har milliarder i bitcoin og ether han før eller siden må selge. Bitcoinene er foreløbig ikke sendt til noen børs eller vekslingstjeneste.

Binance må derimot kjøpe. Selskapet har satt av 6,34 milliarder dollar, rundt 58,5 milliarder kroner. Av det ligger rundt 5 milliarder dollar, 46 milliarder kroner, allerede i de samme myntene som ble stjålet. Resten skal kjøpes.

Har du konto på Binance?

Du kan sette inn penger igjen, men ikke ta dem ut. Teng sier målet er å åpne uttakene innen søndag, og at en full oversikt over reservene, som skal vise at pengene finnes, kommer innen mandag. «We never use any customer funds, so they are not impacted», sier han.

Pass på e-poster og meldinger som later som de kommer fra Binance. Vil du ikke være avhengig av en børs, kan du flytte myntene til en egen maskinvarelommebok. Da har du nøkkelen selv, og også ansvaret for den.

Ingen spor av AI ennå

Ingenting tyder foreløbig på at AI ble brukt i Binance-angrepet. Men AI-modellene blir raskt flinkere til nettopp denne typen tyveri.

Mye krypto styres av smartkontrakter, programmer på en blokkjede som flytter penger automatisk. Koden er åpen for alle, og en feil kan koste milliarder. Anthropic lot i desember ti AI-modeller angripe 405 kontrakter som var blitt hacket i virkeligheten. De klarte 207, og i en simulator ga det et bytte på 550,1 millioner dollar, rundt 5,1 milliarder kroner.

I februar tømte GPT-5.3-Codex sårbare kontrakter i 72,2 prosent av forsøkene i en test fra OpenAI og Paradigm. GPT-5 klarte 31,9 prosent seks måneder før.

Binance ble rammet et annet sted enn koden, og der kan AI være enda farligere. Elliptic trekker frem målrettede angrep mot ansatte som et kjennetegn ved nordkoreanske hackere. Microsoft og sikkerhetsselskapet Mandiant har dokumentert at de bruker AI til phishing, deepfakes og falske jobbsøknader.

Kostas Chalkias, sjefskryptograf i blokkjedeselskapet Mysten Labs, sa allerede i fjor at språkmodeller er en større trussel mot krypto enn kvantedatamaskiner. Hackerne trenger ikke kvantedatamaskiner, mener han: «They just need AI to make the attack invisible.»

Prisen på innbrudd faller også. Nylig brøt AI-agenter seg inn på over 100 nettsteder, blant dem John Deere. Hvert vellykket innbrudd kostet rundt 50 dollar, omtrent 460 kroner.

Forsvarerne kan bruke de samme verktøyene. «The same agents capable of exploiting vulnerabilities can also be deployed to patch them», skriver Anthropic. Foreløbig er AI allikevel bedre til å angripe. I OpenAIs test fant den beste modellen bare 45,6 prosent av feilene.

Bitcoin overlever dette. Det er mindre sikkert at alle børsene gjør det. Binance kan dekke tapet av egen lomme. Få andre kan det, og neste angriper vil ha bedre AI-verktøy å jobbe med.