Den 29 oktober 2026 flyttades uppskattningsvis 6,3–6,4 miljarder dollar i kryptotillgångar från Binance över flera blockkedjor. Merparten av överföringarna skedde på omkring 20 minuter. FBI har pekat ut Nordkoreas grupp TraderTraitor. Samtidigt har blockkedjeanalytiker följt de stulna tillgångarnas väg mellan nätverk, och ett avbrott hos THORChain störde tillfälligt växlingar mellan blockkedjor.
1
12
58
Beloppen är uppskattningar från olika analyser, inte en gemensamt fastställd totalsumma. Det är också viktigt att skilja mellan tillgångar som har flyttats, tillgångar som har frysts och kundförluster som Binance säger sig täcka.
Vad hände – och vem pekas ut?
TRM Labs uppskattade att omkring 6,36 miljarder dollar lämnade Binance-plånböcker på tio blockkedjor. De flesta överföringarna ska ha skett under cirka 20 minuter med start klockan 20.05 UTC. Andra analyser landade i något annorlunda siffror: Elliptic uppskattade beloppet till 6,43 miljarder dollar på elva blockkedjor, medan Bitquery spårade omkring 6,3 miljarder dollar på nio. Skillnaderna speglar separata analyser, inte en enda överenskommen totalsumma.
12
58
19
FBI uppgav att Nordkorea låg bakom stölden och kallade den aktuella cyberverksamheten TraderTraitor. Enligt myndigheten har aktörerna främst växlat de stulna tillgångarna till ether.
1 Nordkorea förnekade anklagelsen. CoinDesk rapporterade att Kim Yo Jong kallade den politisk provokation, medan Reuters rapporterade att Nordkorea avfärdade den som ”absurd retorik”.
56
48
Rapporter har pekat på att system kopplade till Binances process för att signera plånbokstransaktioner kan ha komprometterats. Underlaget här ger dock inte en fullständig forensisk redogörelse för hur angriparna tog sig in.
5
16
Vad hände med de stulna SOL-tillgångarna?
Den 4 november uppgav rapporter med hänvisning till blockkedjespårning att omkring 81 procent av de 970 522 SOL som kopplades till stölden hade lämnat plånböcker som förknippades med angriparna. Plånböcker som följdes av Arkham uppgavs då innehålla 182 443 SOL, värda cirka 16,9 miljoner dollar.
22
29
Enligt rapporterna delades SOL upp mellan flera plånböcker och skickades vidare genom växlingar och transaktioner mellan blockkedjor, bland annat via THORChain. Vissa beskrivningar anger att tillgångarna först växlades till USDC och Ethereum och därefter fördes vidare mot bitcoin. Det är spårningsuppgifter – inte bevis för att alla tillgångar följde samma väg eller att allt som flyttades också såldes eller växlades in.
23
29
Skillnaden är viktig när man bedömer effekter på marknaden. En rapport noterade att SOL-priset föll på kort sikt under perioden kring stölden, men källorna här visar inte hur mycket händelsen bidrog till bredare prisrörelser. De bekräftar inte heller de större påståendena om Solanas utveckling i oktober, blankningspositioner, ETF-flöden eller insättningar till kryptobörser. En överföring till en börs bevisar inte i sig att en försäljning har skett.
28
Därför pausade THORChain växlingar – och vad som öppnades igen
Den 31 oktober påverkade en omorganisation av ett Ethereum-block en insättning på 10 ETH hos THORChain. Enligt rapporter ledde händelsen till att protokollet gjorde en återbetalning två gånger och sedan pausade växlingar som en akut åtgärd. Chainalysis uppgav att avbrottet oavsiktligt fördröjde tvättning av tillgångar kopplade till Binance-stölden, eftersom användare – däribland de misstänkta angriparna – inte kunde växla via många av THORChains bryggor under pausen.
38
46
Efter uppdateringen v3.21.1 återupptog THORChain växlingar med Bitcoin, Ethereum och nio andra tillgångar på listan. Enligt rapporten om återöppningen var Solana, BNB Smart Chain och Cosmos Hub fortsatt pausade.
41
En separat rapport, med uppgifter från Grey Ledger, sade att 41 växlingar kopplade till adresser som tjänsten följde genomfördes inom 25 minuter efter att växlingarna öppnades igen. Totalt ska 368,12 ETH ha betalats ut. Det är ett rapporterat spårningsresultat, inte en fullständig redovisning av de stulna tillgångarna eller bevis för att alla mottagaradresser kontrollerades av samma aktörer.
42
FBI bad kryptotjänster, bland annat THORChains nodoperatörer, att begränsa transaktioner kopplade till stölden. Myndighetens publicerade lista innehöll 608 Ethereum-adresser, 19 Bitcoin-adresser och en Solana-adress. THORChains struktur med självständiga noder gör det svårt att beskriva en enkel väg från en sådan begäran till åtgärder i hela protokollet.
34
40
60
Frysta tillgångar, kvarvarande belopp och kunders ersättning
Elliptic uppgav att utgivarna Tether och Circle hade fryst omkring 2,8 miljarder dollar i stablecoins kopplade till stölden. Andra uppskattningar anger också frysta eller stoppade tillgångar på miljardbelopp, men summorna varierar mellan källor och rapportdatum.
52
60
Separata uppskattningar placerade omkring 3,21–3,25 miljarder dollar i adresser kopplade till stölden, huvudsakligen i bitcoin och ether. Det är uppskattningar för en viss tidpunkt. Tillgångar som finns kvar i en kopplad plånbok är inte automatiskt återtagna, och ett fryst belopp är inte samma sak som angriparnas kvarvarande saldo.
53
60
Binance sade att företaget skulle täcka kundernas förluster. En rapport publicerad den 4 november uppgav att börsen hade fyllt på omkring 98 procent av det berörda beloppet. Att ersätta kunder är en annan sak än att återta den kryptovaluta som stals.
27
50
Vad underlaget visar – och inte visar
Den tydligaste bilden är att en mycket stor mängd kryptotillgångar stals snabbt, att FBI pekade ut Nordkoreas grupp TraderTraitor – vilket Nordkorea förnekade – och att stora mängder stulna SOL flyttades. THORChain-pausen avbröt samtidigt tillfälligt växlingar mellan blockkedjor.
1
12
22
38
56
Källorna räcker däremot inte för att slå fast att varje rapporterad transaktionsväg är bekräftad, att flyttade tillgångar har växlats in eller att stölden bevisligen styrde Solanas bredare prisutveckling. Uppskattningar av frysta medel, tillgångar som fortfarande finns i plånböcker kopplade till stölden och det Binance har fyllt på beskriver olika saker och bör hållas isär.