Tyveriet fra Binance 29. oktober 2026 omfattet anslagsvis 6,3–6,4 milliarder dollar i kryptovaluta på flere blokkjeder. Mesteparten av overføringene skjedde i løpet av rundt 20 minutter. FBI har lagt ansvaret på Nord-Koreas hackergruppe TraderTraitor. Samtidig har sporere fulgt midlene gjennom ulike blokkjeder, og en driftsstans hos THORChain satte midlertidig en stopper for enkelte bytter.
1
12
58
Beløpene er anslag fra ulike analyser, ikke én samlet og endelig opptelling. Det er også viktig å skille mellom penger som er flyttet, midler som er fryst, og tap Binance sier selskapet vil dekke for kundene.
Hva skjedde, og hvem får skylden?
TRM Labs anslo at rundt 6,36 milliarder dollar ble flyttet ut av Binance-lommebøker på ti blokkjeder. Mesteparten skal ha blitt overført i løpet av omtrent 20 minutter, fra klokka 20.05 UTC. Andre analyser kom til litt andre tall: Elliptic anslo 6,43 milliarder dollar på elleve blokkjeder, mens Bitquery sporet rundt 6,3 milliarder på ni. Forskjellene skyldes ulike analyser – det finnes ikke ett omforent totalbeløp.
12
58
19
FBI sa at Nord-Korea sto bak og kalte aktiviteten TraderTraitor. Ifølge FBI har aktørene i hovedsak vekslet de stjålne verdiene til ether.
1 Nord-Korea avviste anklagen. CoinDesk meldte at Kim Yo Jong omtalte beskyldningene som en politisk provokasjon, mens Reuters rapporterte at Nord-Korea avfeide dem som «absurd retorikk».
56
48
Medier har også omtalt kompromitterte systemer knyttet til Binances signering av uttak fra lommebøker. Opplysningene som foreligger her, gir likevel ikke en fullstendig, rettsmedisinsk forklaring på hvordan angriperne fikk tilgang.
5
16
Hva skjedde med den stjålne Solana-valutaen?
Per 4. november viste rapporter som viste til blokkjedesporing at rundt 81 prosent av de 970 522 SOL-enhetene som ble knyttet til tyveriet, var flyttet ut av lommebøker knyttet til angriperne. Lommebøker som Arkham fulgte, skal ha hatt 182 443 SOL igjen, verdt rundt 16,9 millioner dollar på det tidspunktet.
22
29
Rapportene beskrev hvordan SOL ble delt mellom flere lommebøker og sendt gjennom vekslinger og bytter mellom blokkjeder, blant annet via THORChain. Noen beskrev en rute der SOL ble vekslet til USDC og videre til Ethereum før verdiene ble flyttet mot bitcoin. Dette er sporingsrapporter – ikke bevis for at alle midlene fulgte samme rute, eller at alle overførte verdier ble solgt eller tatt ut som vanlige penger.
23
29
Det skillet er viktig når man vurderer mulig påvirkning på markedet. Én rapport viste til et kortvarig prisfall for SOL mens tyveriet pågikk. Kildene som foreligger her, fastslår imidlertid ikke hvor mye hendelsen eventuelt bidro til bredere prisbevegelser. De bekrefter heller ikke påstandene om utviklingen i oktober, shortposisjoner, ETF-strømmer eller innskudd til børser. At penger sendes til en børs, betyr ikke i seg selv at de er solgt.
28
Hvorfor THORChain stanset bytter – og hva som åpnet igjen
- oktober førte en omorganisering av en Ethereum-blokk til problemer med et innskudd på 10 ETH hos THORChain. Ifølge rapporter sendte protokollen en refusjon to ganger og stanset deretter bytter som et nødtiltak. Chainalysis sa at avbruddet utilsiktet forsinket hvitvasking knyttet til Binance-tyveriet, fordi brukere – også de mistenkte angriperne – ikke kunne bytte gjennom mange av THORChains broer mens stansen varte.
38
46
Etter oppdateringen v3.21.1 åpnet THORChain igjen for bytter med bitcoin, Ethereum og ni andre oppførte aktiva. Ifølge meldingen om gjenåpningen var Solana, BNB Smart Chain og Cosmos Hub fortsatt satt på pause.
41
En separat rapport fra Grey Ledger sa at 41 bytter knyttet til adresser tjenesten fulgte, ble gjennomført innen 25 minutter etter at byttene åpnet igjen. Rapporten oppga at 368,12 ETH ble utbetalt. Dette er et rapportert sporingsfunn, ikke en fullstendig oversikt over de stjålne midlene eller bevis for at alle mottakeradressene var kontrollert av de samme aktørene.
42
FBI ba kryptotjenester, blant dem THORChain-operatører, om å begrense transaksjoner knyttet til tyveriet. Listen FBI publiserte, omfattet 608 Ethereum-adresser, 19 bitcoin-adresser og én Solana-adresse. THORChains uavhengige nodeoperatører gjør det vanskelig å beskrive enkelt hvordan en slik anmodning omsettes i praksis på tvers av protokollen.
34
40
60
Fryste midler, gjenværende saldoer og dekning for kundene
Elliptic meldte at utstederne Tether og Circle hadde fryst rundt 2,8 milliarder dollar i stablecoins knyttet til tyveriet. Andre anslag satte også fryste eller stansede midler til milliarder, men summene varierer etter kilde og tidspunkt for rapporteringen.
52
60
Separate anslag viste at rundt 3,21–3,25 milliarder dollar fortsatt lå på adresser knyttet til tyveriet, for det meste i bitcoin og ether. Dette er øyeblikksbilder basert på sporing: Verdier som fortsatt ligger i en tilknyttet lommebok, er ikke nødvendigvis gjenopprettet. Og en fryst saldo er ikke det samme som angripernes gjenværende saldo.
53
60
Binance sa at selskapet ville dekke kundenes tap. En rapport publisert 4. november sa at børsen hadde fylt opp rundt 98 prosent av det berørte beløpet. At kundene får dekket tapene, er noe annet enn å få den stjålne kryptovalutaen tilbake fra dem som tok den.
27
50
Hva dokumentasjonen viser – og ikke viser
Det best underbygde bildet er at et svært stort beløp ble stjålet på kort tid; at FBI knytter tyveriet til Nord-Koreas TraderTraitor-gruppe, noe Nord-Korea benekter; at betydelige mengder SOL er flyttet; og at en stans hos THORChain midlertidig satte enkelte bytter på tvers av blokkjeder på pause.
1
12
22
38
56
Kildene gir ikke grunnlag for å behandle alle rapporterte transaksjonsruter som bekreftet, likestille pengeflytting med vellykket uttak eller slå fast at tyveriet bestemte den bredere prisutviklingen for Solana. Anslag for hva som er fryst, hva som fortsatt ligger i lommebøker knyttet til tyveriet, og hva Binance har erstattet, beskriver ulike forhold og bør ikke blandes sammen.