Stölden från kryptobörsen Binance den 29 oktober 2026 uppgår enligt uppskattningar till omkring 6,3 miljarder dollar – den största kryptostöld som rapporterats. FBI har lagt skulden på den Nordkoreakopplade hackergruppen TraderTraitor. Under dagarna efteråt följde utredare hur tillgångarna flyttades mellan blockkedjor, medan kryptoföretag rapporterade att miljarder dollar hade frysts eller stoppats. Analytiker varnade också för att vissa pengar kan ha nått kinesiska penningtvättsnätverk.
1
18
22
25
Det är viktigt att hålla isär tre saker: att spåra pengar, att frysa dem och att ersätta kunder. Att Binance täcker kundernas förluster betyder inte i sig att den stulna krypton har återtagits.
22
33
Vad hände – och vem pekas ut?
TRM Labs uppskattade att omkring 6,36 miljarder dollar fördes bort från Binance-plånböcker på tio blockkedjor, huvudsakligen under cirka 20 minuter. Elliptic uppskattade värdet till omkring 6,43 miljarder dollar och spårade tillgångarna på elva blockkedjor. Det är två analysföretags uppskattningar, inte en gemensam sluträkning.
18
24
25
FBI tillskrev stölden den Nordkoreakopplade gruppen TraderTraitor. Nordkorea förnekade ansvar. Kim Yo Jong kallade de amerikanska anklagelserna en politisk provokation.
1
2
50
Rapportering om Binances beskrivning av intrånget pekar på ett angrepp via social manipulation: angriparna ska ha använt en falsk jobbintervju för att lura en ingenjör att ladda ner skadlig programvara. Det antyder att tillgång till en medarbetare spelade en viktig roll – snarare än att det bara handlade om en oskyddad kryptoplånbok.
48
52
Pengarna spreds snabbt mellan plånböcker
Elliptic uppgav att tillgångarna på mindre än fyra dagar hade spridits över omkring 12 000 plånböcker och fördelats i mer än 40 000 transaktioner. Företagets analys beskrev förloppet som konventionell automatisering, inte som belägg för att AI styrde penningtvätten.
23
32
Enligt TRM Labs använde angriparna bland annat USDT och ether (ETH). De sålde USDT till marknadsgaranter och lånade ETH med USDT som säkerhet via Aave, en plattform för decentraliserad finans (DeFi). TRM uppgav också att angriparna satt på mer än 420 000 ETH och 18 270 bitcoin (BTC). Enligt företagets analys låg tillgångar värda omkring 2,4 miljarder dollar utanför emittenternas möjlighet att frysa. Det säger något om begränsningarna för just den typen av ingripande – inte att pengarna säkert är omöjliga att återvinna.
24
Möjliga kopplingar till kinesiska penningtvättsnätverk
Elliptic varnade för att pengar som redan tvättades kan ha nått kinesiska penningtvättsnätverk, som företaget uppgav att Nordkorea använt i tidigare fall. I en separat sydkoreansk rapport citerades en utredare från TRM Labs som sade att kinesiska nätverk stod för komplicerad handelsaktivitet kopplad till flödena.
25
42
Uppgifterna stöder möjligheten att kinesiska nätverk hanterar en del av pengarna. Men de bevisar inte i sig att den stulna krypton växlats till yuan och satts in på kinesiska bankkonton, eller att ett visst provisionsupplägg använts vid just den här stölden. Den sydkoreanska rapporten hänvisade också till ett äldre amerikanskt fall där två kinesiska medborgare anklagades för att ha växlat kryptovaluta stulen av Nordkorea mot kontanter och fört över pengarna till kinesiska bankkonton. Det äldre fallet bekräftar inte att samma väg användes den här gången.
42
Frysta tillgångar är inte samma sak som återvunna pengar
Binance uppgav att omkring 2,85 miljarder dollar hade frysts eller stoppats, med reservation för avstämningar och förändrade marknadspriser. Elliptic rapporterade också 2,85 miljarder dollar i frysta tillgångar och uppskattade att omkring 3,24 miljarder dollar fortfarande fanns på adresser kopplade till stölden, främst i ETH och BTC. Det är uppskattningar från en viss tidpunkt – inte en slutlig redovisning av vad som går att återta.
22
32
Binance återupptog uttag den 1 november. Reuters rapporterade att börsen sagt sig ha täckt omkring 6 miljarder dollar av den stulna krypton. När tjänsterna kom tillbaka tog kunder ut tillgångar värda 3,64 miljarder dollar. NPR rapporterade också att Binance hade ersatt merparten av kundernas stulna tillgångar med företagets egna medel. Att kundernas saldon återställs skyddar dem, men betyder inte att angriparnas kryptovaluta har beslagtagits eller lämnats tillbaka.
33
48
Vad säger uppgifterna om risken för kryptomarknaden?
TRM:s uppgifter om angriparnas stora ETH-innehav, tillsammans med de rapporterade växlingarna, gör omfattande försäljningar till en möjlig källa till marknadspress. Men rapporteringen här visar inte att sådana försäljningar orsakat en viss prisrörelse och ger ingen tillförlitlig prognos för framtida volatilitet.
20
24
Läget handlar därför om två parallella kapplöpningar: utredare och kryptoföretag försöker spåra och frysa tillgångar, samtidigt som Binance har agerat för att täcka kundernas förluster. Spåren pekar på möjliga mellanhänder, däribland kinesiska nätverk, men de tillgängliga uppgifterna bekräftar inte alla påstådda vägar för att växla ut pengarna. Hur mycket av den stulna krypton som till slut kan återvinnas är fortfarande oklart.
22
25
33