Binance-tyveriet den 29. oktober 2026 flyttede anslået 6,3–6,4 mia. dollar i kryptovaluta på tværs af flere blockchains. Størstedelen af overførslerne skete på omkring 20 minutter. FBI har tilskrevet tyveriet den nordkoreanske gruppe TraderTraitor. Samtidig har blockchain-analytikere fulgt de stjålne aktiver gennem forskellige ruter, og en pause hos THORChain afbrød kortvarigt en del af handelen på tværs af netværk.
1
12
58
Tallene er estimater fra forskellige undersøgelser, ikke én samlet og endeligt afstemt opgørelse. Det er også vigtigt at skelne mellem aktiver, der er blevet flyttet, aktiver, der er blevet frosset, og kundetab, som Binance siger, at selskabet vil dække.
Hvad skete der – og hvem får skylden?
TRM Labs anslog, at omkring 6,36 mia. dollar forlod Binance-wallets på 10 blockchains. De fleste overførsler skete i løbet af cirka 20 minutter fra kl. 20.05 UTC. Andre analyser nåede frem til andre beløb og antal netværk: Elliptic anslog 6,43 mia. dollar på 11 blockchains, mens Bitquery fulgte omkring 6,3 mia. dollar på ni. Forskellene afspejler separate analyser, ikke én fælles opgørelse.
12
58
19
FBI har sagt, at Nordkorea stod bag, og kaldt aktiviteten TraderTraitor. Ifølge FBI har gruppen primært konverteret de stjålne aktiver til ether.
1 Nordkorea har afvist anklagen. CoinDesk skrev, at Kim Yo Jong kaldte beskyldningerne en politisk provokation, mens Reuters rapporterede, at Nordkorea afviste dem som »absurd retorik«.
56
48
Rapporter har peget på kompromitterede systemer med forbindelse til Binances proces for at godkende wallet-transaktioner. Det tilgængelige materiale giver dog ikke et fuldstændigt, teknisk billede af, hvordan angriberne fik adgang.
5
16
Hvad skete der med de stjålne Solana-mønter?
Den 4. november lød det i rapporter med henvisning til blockchain-sporing, at omkring 81 procent af de 970.522 SOL, der knyttes til tyveriet, var flyttet ud af wallets forbundet med angriberne. Wallets, som Arkham fulgte, skulle på det tidspunkt stadig indeholde 182.443 SOL til en værdi af cirka 16,9 mio. dollar.
22
29
Ifølge rapporterne blev SOL fordelt på flere wallets og ført gennem konverteringer og handler på tværs af blockchains, herunder THORChain. Nogle beskrivelser nævner en rute via USDC og Ethereum, før midlerne blev ført videre mod bitcoin. Det er sporing af rapporterede transaktioner – ikke bevis for, at alle aktiver fulgte samme rute, eller at alle overførte tokens blev solgt eller vekslet til almindelige penge.
23
29
Det er værd at holde for øje, når man vurderer markedsvirkningen. En rapport beskrev et kortvarigt fald i SOL-kursen i perioden omkring tyveriet, men de tilgængelige kilder fastslår ikke, hvor meget hændelsen bidrog til de bredere kursbevægelser. De dokumenterer heller ikke de videre påstande om udviklingen i oktober, shortpositioner, ETF-strømme eller indbetalinger til børser. En overførsel til en børs er ikke i sig selv bevis på et salg.
28
Derfor satte THORChain handler på pause
Den 31. oktober påvirkede en reorganisering af en Ethereum-blok en indbetaling på 10 ETH til THORChain. Ifølge rapporter udstedte protokollen ved en fejl en dobbelt tilbagebetaling og satte derefter handler på pause som en nødforanstaltning. Chainalysis sagde, at afbrydelsen utilsigtet forsinkede hvidvask af midler fra Binance-tyveriet, fordi brugere – også de mistænkte angribere – ikke kunne gennemføre handler via mange af THORChains broer under pausen.
38
46
Efter opdateringen v3.21.1 genåbnede THORChain handler med Bitcoin, Ethereum og ni andre aktiver på den offentliggjorte liste. Solana, BNB Smart Chain og Cosmos Hub var fortsat sat på pause, ifølge rapporten om genåbningen.
41
En separat rapport med henvisning til Grey Ledger oplyste, at 41 handler knyttet til adresser, som tjenesten fulgte, blev gennemført inden for 25 minutter efter genåbningen. I alt blev der ifølge rapporten udbetalt 368,12 ETH. Det er et resultat af den beskrevne sporing – ikke en fuldstændig opgørelse over de stjålne midler eller bevis for, at alle modtageradresser var kontrolleret af de samme personer.
42
FBI bad kryptotjenester, herunder THORChains nodeoperatører, om at begrænse transaktioner knyttet til tyveriet. FBI offentliggjorde en liste med 608 Ethereum-adresser, 19 Bitcoin-adresser og én Solana-adresse. THORChains uafhængige nodeopbygning gør det kompliceret at beskrive, hvordan en sådan anmodning omsættes til handling i hele protokollen.
34
40
60
Frosne midler, resterende beløb og dækning af kundernes tab
Elliptic oplyste, at udstederne Tether og Circle havde frosset stablecoins til en værdi af omkring 2,8 mia. dollar, som kunne knyttes til tyveriet. Andre estimater satte også frosne eller tilbageholdte aktiver til flere milliarder dollar, men beløbene varierer mellem kilder og opgørelsestidspunkter.
52
60
Separate estimater satte værdien af aktiver i adresser knyttet til tyveriet til cirka 3,21–3,25 mia. dollar, hovedsageligt i bitcoin og ether. Det er øjebliksbilleder fra bestemte tidspunkter: Et aktiv, der stadig står i en wallet knyttet til tyveriet, er ikke det samme som et aktiv, der er blevet inddrevet. Og en frossen saldo er ikke det samme som angribernes resterende beholdning.
53
60
Binance har sagt, at selskabet vil dække kundernes tab. En rapport offentliggjort den 4. november sagde, at børsen havde genopfyldt omkring 98 procent af det berørte beløb. Dækning af kundernes tab er noget andet end at få de stjålne kryptovalutaer tilbage fra gerningspersonerne.
27
50
Hvad viser oplysningerne – og hvad gør de ikke?
Det bedst underbyggede billede er et meget stort og hurtigt tyveri, FBI’s udpegning af Nordkoreas TraderTraitor-gruppe – en anklage, Nordkorea har afvist – omfattende flytning af stjålne SOL og en THORChain-pause, der midlertidigt afbrød handler på tværs af blockchains.
1
12
22
38
56
De tilgængelige kilder giver ikke grundlag for at behandle alle rapporterede transaktionsruter som bekræftede, sidestille flytning af midler med et vellykket salg eller fastslå, at Binance-tyveriet bestemte Solanas bredere kursudvikling. Estimater over frosne midler, aktiver i wallets knyttet til tyveriet og Binances genopfyldning af kundernes midler beskriver forskellige ting og bør læses hver for sig.