Tyveriet fra Binance 29. oktober 2026 ble anslått til rundt 6,3 milliarder dollar – det største kryptotyveriet som var rapportert på det tidspunktet. FBI knyttet angrepet til den Nord-Korea-tilknyttede gruppen TraderTraitor. I dagene etterpå fulgte analytikere pengene gjennom flere blokkjeder, mens kryptoselskaper og etterforskere forsøkte å fryse verdier. Noen av midlene kan ha gått via kinesiske hvitvaskingsnettverk, men det er ikke bekreftet at de ble vekslet til yuan og satt inn på kinesiske bankkontoer.
1
18
22
25
Det er viktig å skille mellom penger som er sporet, penger som er fryst, og verdier Binance har erstattet for kundene. Dette er ulike mål på hva som har skjedd – og ingen av dem betyr automatisk at stjålet kryptovaluta er gjenvunnet.
22
33
Hva skjedde – og hvem får skylden?
TRM Labs anslo at rundt 6,36 milliarder dollar ble flyttet ut av Binance-lommebøker på ti blokkjeder, hovedsakelig i løpet av omtrent 20 minutter. Elliptic anslo verdien til rundt 6,43 milliarder dollar og sporet midlene på elleve blokkjeder. Dette er ulike analyseselskapers anslag, ikke én endelig totalsum.
18
24
25
FBI knyttet tyveriet til den Nord-Korea-tilknyttede gruppen TraderTraitor. Nord-Korea avviste anklagen. Kim Yo Jong, søsteren til landets leder, kalte USAs beskyldninger en politisk provokasjon.
1
2
50
Ifølge omtale av Binances forklaring skal angrepet ha startet med sosial manipulering: En ansatt skal ha blitt lurt til å laste ned skadevare etter en falsk jobbintervjuinvitasjon. Det peker mot at angriperne skal ha utnyttet tilgang via en ansatt, snarere enn bare å ha tappet en åpen lommebok.
48
52
En rask og vidtrekkende sporingsjakt
Elliptic rapporterte at midlene ble fordelt på rundt 12 000 lommebøker og over 40 000 transaksjoner på under fire dager. Selskapet beskrev aktiviteten som konvensjonell automatisering – ikke som dokumentasjon på at kunstig intelligens styrte hvitvaskingen.
23
32
TRM Labs beskrev flere metoder for å flytte verdiene, blant annet salg av USDT til market makere og lån av ETH med USDT som sikkerhet gjennom Aave, en desentralisert finansplattform. Ifølge selskapets analyse satt angriperne også med mer enn 420 000 ETH og 18 270 BTC. Rundt 2,4 milliarder dollar skal ha vært i verdier som utstederne ikke kunne fryse. Det beskriver en begrensning ved én type inngrep, men beviser ikke at midlene aldri kan gjenvinnes.
24
Mulige forbindelser til kinesiske hvitvaskingsnettverk
Elliptic advarte om at midler som allerede var i ferd med å bli hvitvasket, kan ha nådd kinesiske nettverk som ifølge selskapet Nord-Korea har brukt i tidligere saker. I en separat sørkoreansk reportasje sa en etterforsker fra TRM Labs at kinesiske nettverk sto for komplisert handelsaktivitet knyttet til pengestrømmene.
25
42
Dette støtter muligheten for at slike nettverk håndterer deler av utbyttet. Men opplysningene fastslår ikke i seg selv at kryptovalutaen ble vekslet til yuan og satt inn på kinesiske bankkontoer, eller at det ble avtalt en bestemt provisjon for dette tyveriet. Reportasjen viste også til en eldre amerikansk sak der to kinesiske statsborgere ble anklaget for å veksle kryptovaluta stjålet av Nord-Korea til kontanter og overføre pengene til kinesiske bankkontoer. Den historiske saken beviser ikke at samme framgangsmåte ble brukt her.
42
Fryste midler, kundedekning og gjenoppretting er ikke det samme
Binance opplyste at rundt 2,85 milliarder dollar var fryst eller stanset, med forbehold om avstemming og svingninger i markedsverdien. Elliptic rapporterte også 2,85 milliarder dollar fryst og anslo at rundt 3,24 milliarder fortsatt lå på adresser knyttet til tyveriet, hovedsakelig i ETH og BTC. Dette er anslag fra et bestemt tidspunkt, ikke en endelig oversikt over hva som kan hentes tilbake.
22
32
Binance åpnet for uttak igjen 1. november. Reuters meldte at børsen sa den hadde dekket rundt 6 milliarder dollar av de stjålne kryptoverdiene, mens kunder tok ut 3,64 milliarder dollar da tjenestene kom tilbake. NPR rapporterte også at Binance hadde erstattet det meste av kundenes stjålne verdier med selskapets egne midler. Å erstatte kundenes verdier beskytter saldoene deres, men betyr ikke at angripernes kryptovaluta er beslaglagt eller levert tilbake.
33
48
Hva sier opplysningene om risikoen i markedet?
TRM Labs’ anslag for angripernes ETH-beholdning og de beskrevne vekslingene gjør omfattende salg til en mulig kilde til press i markedet. Men materialet som er omtalt her, viser ikke at slike salg utløste en bestemt prisbevegelse, og gir heller ikke et pålitelig grunnlag for å spå framtidig volatilitet.
20
24
Det tydeligste bildet er derfor en kamp på to fronter: Etterforskere og kryptoselskaper sporer og forsøker å fryse verdiene, mens Binance har handlet for å dekke kundenes tap. Sporene peker mot mulige mellommenn, også kinesiske nettverk, men opplysningene bekrefter ikke alle påståtte veier ut av kryptomarkedet eller hvor mye av tyvegodset som til slutt kan gjenvinnes.
22
25
33