Kryptovalutor för 62 miljarder stulna i angrepp mot Binance

Kryptobörsen Binance utsattes för ett omfattande cyberangrepp där kryptotillgångar värda omkring 62 miljarder kronor stals. Intrånget genomfördes under torsdagsnatten den 29 oktober och de första omfattande stölderna skedde inom loppet av 20 minuter. Misstankarna riktas mot en militär hackergrupp med kopplingar till Nordkoreas underrättelsetjänst Reconnaissance General Bureau.

Kryptoforskningsföretaget Elliptic har beräknat det sammanlagda värdet av de stulna tillgångarna till 6,43 miljarder dollar. Cyberhotsexperten Mattias Wåhlén på säkerhetsföretaget Truesec beskriver beloppet som exceptionellt stort. Han framhåller att liknande angrepp har förekommit tidigare, men att stölden sannolikt är den största som genomförts vid ett enskilt cyberintrång.

Binance uppgav inledningsvis att angriparna hade fått tillgång till en bärbar dator som användes av en av företagets mjukvaruutvecklare. Intrånget kopplades till ett lockande erbjudande om en ny anställning. Enligt Mattias Wåhlén använder nordkoreanska hackergrupper ofta falska rekryteringsförsök för att komma åt företags interna system.

Wåhlén förklarar att angriparna kan utge sig för att representera stora arbetsgivare och kontakta potentiella arbetssökande genom Linkedin. Erbjudanden om höga löner används för att väcka intresse. Mottagaren kan därefter uppmanas att öppna eller ladda ner en fil, exempelvis ett pdf-dokument med information om tjänsten. Filen kan innehålla skadlig kod som ger angriparna tillgång till datorn.

Binance meddelade den 30 oktober att företagets fortsatta undersökning hade identifierat ytterligare vägar in i systemen. Intrånget hade därmed inte begränsats till den misstänkt komprometterade datorn. Bolagets med-vd Richard Teng uppgav att angreppet omfattade ett mer komplicerat förlopp än att enbart utnyttja en enskild utvecklares åtkomst. Han betonade samtidigt att utredningen inte hade fastställt något personligt ansvar för händelsen.

Företaget hade vid samma tidpunkt inte hittat några bevis för att privata nycklar till kryptoplånböcker hade läckt ut. Binance har meddelat att en fullständig teknisk rapport ska publiceras när undersökningen är avslutad. Rapporten ska beskriva hur intrånget genomfördes, vilka säkerhetsbrister som identifierats och vilka åtgärder som införts.

Blockchainanalysföretaget TRM Labs har genom en kartläggning av transaktionerna konstaterat att förberedelserna inför stölden inleddes minst 36 timmar före angreppet. Under den 29 oktober genomförde angriparna bland annat tester av den programvara som senare användes mot Binance.

Analysen från TRM Labs visar att obehöriga överföringar genomfördes på tio olika blockkedjor. Företaget identifierade även en andra våg av transaktioner omkring klockan 23.05 UTC den 29 oktober, flera timmar efter det inledande angreppet. Granskningen omfattade bland annat 18 270 bitcoin som hade förts bort från kryptobörsen. Angriparna började därefter dela upp bitcoininnehavet i mindre transaktioner.

Analysföretaget Bitquery har identifierat 17 kryptoplånböcker hos Binance som användes för obehöriga överföringar under kvällen den 29 oktober. Enligt företagets beräkningar hann angriparna även växla omkring 729 miljoner dollar i stablecoinvalutan USDT innan åtgärderna för att frysa tillgångar genomfördes.

Elliptics granskning visar att en del av de stulna kryptotillgångarna skickades till en adress som tidigare hade tagit emot medel från ett misstänkt nordkoreanskt angrepp mot kryptoplattformen Bitget. Uppgiften ingår i kartläggningen av transaktionerna efter intrånget.

Nordkorea har tidigare kopplats till omfattande stölder av kryptovalutor. Under våren drabbades kryptobörsen Bybit av ett angrepp där tillgångar värda omkring 16 miljarder kronor stals. USA:s federala polis FBI identifierade i februari 2025 den nordkoreanska hackergruppen TraderTraitor som ansvarig för stölden.

FBI konstaterade att gruppen snabbt hade omvandlat delar av bytet till bitcoin och andra kryptovalutor. Tillgångarna fördelades därefter mellan tusentals adresser på flera blockkedjor.

Mattias Wåhlén uppger att Nordkoreas omfattande internationella sanktioner och begränsade ekonomiska resurser ligger bakom landets användning av cyberstölder. Enligt honom har hackergrupperna i uppdrag att skaffa pengar till bland annat landets kärnvapenprogram, robotteknologi och utveckling av andra massförstörelsevapen. Kryptovalutor är ett återkommande mål för verksamheten.

Efter angreppet mot Binance inleddes omfattande åtgärder för att stoppa ytterligare överföringar och säkra tillgångar. Företaget meddelade först genom ett inlägg på X att insättningar och uttag hade stoppats medan arbetet med att återfå de stulna tillgångarna pågick. På fredagen uppgav Binance att motsvarande tre miljarder kronor hade frysts.

Senare redovisade Elliptic betydligt större belopp. Den 30 oktober uppgav analysföretaget att det hade verifierat frysningar av kryptotillgångar värda 2,84 miljarder dollar. Det motsvarade omkring 44 procent av det sammanlagda värde som företaget bedömde hade stulits.

Stablecoinföretaget Tether meddelade att det hade fryst tillgångar motsvarande nästan 1,57 miljarder dollar med koppling till intrånget. Circle frös samtidigt mer än 800 miljoner dollar. Binancegrundaren Yi He uppgav dessutom att Ripple hade stoppat tillgångar värda omkring 200 miljoner dollar.

Circles medgrundare och vd Jeremy Allaire meddelade att företaget följde informationen om cyberangreppet och skulle fortsätta bistå utredningsarbetet.

Binance har lovat att ersätta förlusterna med företagets egna medel. Bolaget uppgav den 30 oktober att mer än 6,34 miljarder dollar hade avsatts för ändamålet. Omkring fem miljarder dollar fanns redan tillgängliga i motsvarande kryptotillgångar, vilket enligt företaget täckte ungefär 80 procent av det stulna värdet.

Det är fortfarande okänt hur många kunder som har påverkats av angreppet. Den fristående amerikanska kryptobörsen Binance.US har meddelat att dess verksamhet inte berörts av säkerhetsincidenten.

Binance har också meddelat att uttag ska öppnas stegvis efter tekniska åtgärder och säkerhetskontroller. Insättningar och andra tjänster som inte påverkats av intrånget fortsatte att fungera.

Senast måndagen den 2 november 2026 planerar Binance att offentliggöra en uppdaterad redovisning av företagets kryptoreserver. Enligt bolaget ska redovisningen ge kunderna möjlighet att kontrollera vilka tillgångar som finns som säkerhet för deras innehav.

Binance har samtidigt meddelat att företaget arbetar med att återfå de stulna tillgångarna och hantera förlusterna efter angreppet.