Tyveriet fra Binance den 29. oktober 2026 lød på omkring 6,3 mia. dollar og blev omtalt som det største kryptotyveri, der var rapporteret på det tidspunkt. FBI har knyttet angrebet til den nordkoreanske gruppe TraderTraitor. I dagene efter fulgte efterforskere pengestrømmene på tværs af blockchains, mens kryptofirmaer og udstedere forsøgte at fryse midler. Nogle analytikere advarede også om, at dele af pengene kan være på vej gennem kinesiske hvidvasknetværk. Men det er vigtigt at skelne mellem at spore, indefryse og erstatte penge: Det er ikke det samme som at få den stjålne kryptovaluta tilbage.
1
18
22
25
Hvad skete der – og hvem får skylden?
TRM Labs vurderede, at omkring 6,36 mia. dollar blev flyttet fra Binance-tegnebøger på ti blockchains, hovedsageligt på cirka 20 minutter. Elliptic anslog beløbet til cirka 6,43 mia. dollar og fulgte midlerne på tværs af 11 blockchains. Tallene er de to analysefirmaers separate estimater – ikke én samlet, endeligt afstemt opgørelse.
18
24
25
FBI har tilskrevet tyveriet den nordkoreanske gruppe TraderTraitor. Nordkorea afviste anklagen, og Kim Yo Jong kaldte de amerikanske beskyldninger en politisk provokation.
1
2
50
Ifølge omtale af Binances redegørelse begyndte angrebet med social manipulation: En medarbejder skal være blevet lokket til at hente skadelig software i forbindelse med en falsk jobsamtale. Det peger på, at adgang gennem en medarbejder spillede en central rolle – ikke blot på et ubeskyttet kryptolager.
48
52
En hurtig og vidtspredt pengestrøm
Elliptic rapporterede, at midlerne på under fire dage blev spredt over omkring 12.000 tegnebøger og mere end 40.000 transaktioner. Firmaet beskrev aktiviteten som almindelig automatisering – ikke som dokumentation for, at kunstig intelligens styrede hvidvaskningen.
23
32
TRM Labs beskrev blandt andet salg af USDT til market makere og lån af ETH mod USDT gennem Aave, en decentral finansplatform. Ifølge firmaets analyse havde angriberne mere end 420.000 ETH og 18.270 BTC, og omkring 2,4 mia. dollar i aktiver lå uden for udstedernes mulighed for at fryse. Det sidste beskriver begrænsningen ved én type indgreb; det beviser ikke, at pengene aldrig kan inddrives.
24
Hvad ved vi om kinesiske hvidvasknetværk?
Elliptic advarede om, at midler, der allerede var ved at blive hvidvasket, kan være nået frem til kinesiske netværk, som ifølge firmaet tidligere er blevet brugt af Nordkorea. I en separat sydkoreansk artikel citerede TRM Labs-efterforsker Nick Carlsen for, at kinesiske netværk stod for kompliceret handelsaktivitet knyttet til pengestrømmene.
25
42
Det peger på, at kinesiske netværk kan have håndteret nogle af pengene. Men oplysningerne fastslår ikke i sig selv, at kryptovalutaerne blev vekslet til yuan og sat ind på kinesiske bankkonti, eller at der blev aftalt en bestemt provision for netop dette tyveri. Den sydkoreanske artikel omtalte også en ældre amerikansk sag, hvor to kinesiske statsborgere blev anklaget for at veksle kryptovaluta stjålet af Nordkorea til kontanter og overføre dem til kinesiske bankkonti. Den historiske sag dokumenterer ikke, at samme fremgangsmåde blev brugt her.
42
Indefrosset, dækket og tilbageført er ikke det samme
Binance oplyste, at omkring 2,85 mia. dollar var blevet indefrosset eller opsnappet, med forbehold for efterfølgende afstemning og ændringer i markedspriser. Elliptic rapporterede også 2,85 mia. dollar indefrosset og anslog, at cirka 3,24 mia. dollar stadig lå på adresser forbundet med tyveriet, hovedsageligt i ETH og BTC. Det er estimater fra et bestemt tidspunkt – ikke en endelig opgørelse over, hvad myndigheder og virksomheder kan få tilbage.
22
32
Binance genoptog udbetalinger den 1. november. Reuters rapporterede, at børsen sagde, den havde dækket omkring 6 mia. dollar af den stjålne kryptovaluta. Da tjenesterne blev genåbnet, hævede kunder 3,64 mia. dollar. NPR skrev desuden, at Binance havde erstattet størstedelen af kundernes stjålne aktiver med egne midler. At kundernes saldi bliver dækket, betyder ikke, at angribernes kryptovaluta er blevet beslaglagt eller leveret tilbage.
33
48
Hvad siger oplysningerne om risikoen for kryptomarkedet?
TRM Labs’ opgørelse over angribernes ETH-beholdning og de beskrevne omvekslinger gør omfattende salg til en mulig kilde til pres på markedet. Men de foreliggende oplysninger viser ikke, at sådanne salg har udløst en bestemt kursbevægelse, og de giver heller ikke et sikkert grundlag for at forudsige fremtidig volatilitet.
20
24
Det tydeligste billede er derfor et kapløb på to fronter: Efterforskere og kryptofirmaer forsøger at spore og fryse midlerne, mens Binance har handlet for at dække kundernes tab. Sporene peger på mulige mellemled, herunder kinesiske netværk, men de tilgængelige oplysninger bekræfter ikke alle de påståede veje til at omsætte pengene til kontanter. De viser heller ikke, hvor meget af den stjålne kryptovaluta der i sidste ende bliver inddrevet.
22
25
33