Én bærbar PC var nok: På 20 minutter forsvant Binances milliarder

En omfattende teoretisk analyse av historiens største kryptotyveri: svakhetene i infrastrukturen og regelverket som gjorde det mulig, sjokkbølgen det sendte gjennom markedet, og planen som må til for å forhindre det neste.

Innledning: paradigmeskiftet

Kvelden 29. oktober 2026 skjedde et dyptgripende paradigmeskifte i det globale kryptovalutamarkedet. På bare tjue minutter ble verdier for rundt 6,3 milliarder dollar tappet fra Binance, verdens største kryptobørs. Tyveriet var fire ganger så stort som angrepet mot Bybit i februar 2025, da 1,5 milliarder dollar forsvant og den forrige rekorden ble satt. Binance-angrepet endret grunnleggende det vi trodde vi visste om digital sikkerhet.

I over et tiår har forestillingen om sikkerheten i kryptovaluta vært bygget rundt ett enkelt, nærmest mytisk begrep: «den private nøkkelen» (en kryptografisk kode som beviser eierskap til en digital lommebok). Den rådende tankegangen var enkel: Har du nøkkelen, har du formuen. Mister du den, mister du alt. Angrepet mot Binance knuste denne forestillingen. Binance bekreftet at det ikke fantes tegn på at private nøkler var kommet på avveie. Angriperne knekte ikke de matematiske prinsippene som kryptografien bygger på. De utnyttet svakhetene i «den operative infrastrukturen» som godkjenner bruken av kryptografien: menneskene, de bærbare PC-ene og prosessene for å sette programvare i drift. De stjal ikke hvelvet; de stjal låsesmedens fjernkontroll. Sikkerhetens avgjørende grense har dermed flyttet seg fra selve nøkkelen til miljøet som godkjenner at den brukes.

Slik foregikk det 20 minutter lange tyveriet

Angrepet begynte ikke med et råkraftangrep, men med en bærbar PC som angriperen hadde fått kontroll over. Den tilhørte en «DevOps»-ingeniør. DevOps (Development and Operations, utvikling og drift) er en rolle med ansvar for prosessene som setter programvare i drift. PC-en hadde utvidede tilgangsrettigheter til Binances systemer for programvareutrulling og signering. Angriperen brukte den til å ta seg inn i en tjenestekonteiner (et isolert programvaremiljø) og sende inn uttakstransaksjoner som ikke var godkjent.

Les også: Når cyberangrep får fysiske konsekvenser

Det tekniske våpenet var «EIP-7702». EIP står for Ethereum Improvement Proposal, et formelt dokument som beskriver forslag til endringer i Ethereum-nettverket. Tallet 7702 viser til det aktuelle forslaget. Det gjør det mulig for en vanlig lommebok å «delegere» styringen av hvordan handlinger utføres, til en smartkontrakt (selvutførende kode på blokkjeden). I teorien gir dette langt bedre brukervennlighet ved å gjøre en statisk nøkkel om til en programmerbar konto. Angriperne utnyttet funksjonen ved å klargjøre «50 signerte autorisasjoner» på forhånd. En autorisasjon er en signert melding som gir lommeboken beskjed om å «kjøre koden på denne adressen». Ved å samle 50 autorisasjoner i én pakke sikret angriperen at minst én ville være gyldig når pakken ble behandlet. Pakken ble lagt inn i «Binance 14», den primære nettilkoblede lommeboken som brukes i den daglige driften, også kalt en «hot wallet». I løpet av tre minutter ble en kontrakt kontrollert av angriperen kjørt.

Tappingen var kirurgisk presis. 167 464 ETH (Ethereum) og 1,615 milliarder dollar i USDT (Tether, en stabilvaluta knyttet til dollarkursen) ble overført ut. Med den samme tilgangen tappet angriperen også 780 millioner dollar i USDC (USD Coin) fra sekundære lommebøker, Hot Wallet 34 og Binance 16. Operasjonen omfattet «ti blokkjedenettverk», deriblant Ethereum, Bitcoin, Tron, Solana og XRP. Forberedelsene hadde vært grundige: En kontrakt var satt i drift tidligere samme dag, finansieringen gikk gjennom Tornado Cash (en miksetjeneste for økt anonymitet), og angrepet var øvd inn på testlommebøker. Delegeringen gjorde den nettilkoblede lommeboken til en «sweeper», en funksjon som automatisk tømmer den for midler. Dermed ble også nye innskudd som kom etter den første tappingen, fanget opp. Angriperen brukte dessuten tilgangen på nytt mer enn en time senere.

Hvitvaskingen var en mesterklasse i «regulatorisk asymmetri». Angriperne byttet straks eiendeler som kunne fryses, mot eiendeler som ikke kunne det. Rundt 786 millioner dollar i stabilvalutaer ble vekslet til ETH gjennom desentraliserte børser som Uniswap (en desentralisert handelsprotokoll). Angriperne brukte også stjålet USDT som sikkerhet på Aave (en desentralisert utlånsprotokoll) for å låne mer ETH. Strategien var bevisst: Eiendeler som utstederne kunne fryse, skulle gjøres om til eiendeler som ikke kunne fryses. Bransjen klarte å fryse 2,85 milliarder dollar, tilsvarende 44 prosent av utbyttet. Det skyldtes rask handling fra Tether (som frøs midlene på blokkjeden 37 minutter etter at de var ankommet), Circle, Ripple, World Liberty Financial og Arbitrums sikkerhetsråd. Samtidig flyttet angriperne 420 000 ETH og 18 270 BTC, verdt omtrent 2,4 milliarder dollar, utenfor alle utstedernes rekkevidde. TRM Labs (et selskap som analyserer blokkjeder) og FBI (Federal Bureau of Investigation, USAs føderale etterforskningsbyrå) mener at TraderTraitor, en nordkoreansk statsstøttet enhet, sto bak angrepet. Hvitvaskingen fortsatte i et nådeløst tempo, med omtrent én ny lommebok hvert 25. sekund. I løpet av fire dager ble midlene spredt på rundt 12 000 lommebøker på 11 blokkjeder gjennom over 40 000 transaksjoner.

Les også: Egypt i skvis mellom USA, Kina og Iran 🔒

Sjokkbølgen i markedet

Markedet reagerte umiddelbart og kraftig på nyheten. Bitcoin-kursen falt under 77 000 dollar og nådde et bunnivå for dagen på rundt 76 400 dollar, det laveste nivået på seks uker. Ethereum falt under 2 200 dollar. BNB (Binances egen token) stupte mer enn 6–8 prosent i løpet av 24 timer.

Derivatmarkedet ble rammet av katastrofale tvangslikvideringer. I løpet av 24 timer ble belånte posisjoner verdt over 1,5 milliarder dollar tvangsavviklet. Posisjoner basert på forventninger om kursoppgang, såkalte longposisjoner, sto for rundt 1,34 milliarder dollar. Omtrent 246 482 tradere fikk posisjonene sine tvangslikvidert. De tvangsavviklede posisjonene i Bitcoin utgjorde 499 millioner dollar, mens posisjonene i Ethereum utgjorde 358 millioner dollar.

Rystelsene nådde også de tradisjonelle markedene. Aksjene i Circle (utstederen av USDC), Coinbase, Robinhood og Strategy (et selskap med digitale eiendeler som reservebeholdning) falt alle. Hendelsen vekket på nytt bekymring for kredittrisiko. På mellomlang og lang sikt ble oppmerksomheten flyttet fra kursbevegelser til børsenes reserver, forsikringsfond, revisjoner og vern mot cyberangrep. Som en administrerende direktør i bransjen uttrykte det: «Dette er det største registrerte cybertyveriet, ikke bare det største innen krypto. Institusjonelle aktører vil ikke se bort fra gjentatte svikt i oppbevaring og sikkerhet.»

Les også: Sentralbanker rapporterer om fremskritt i digitale sentralbankpenger 🔒

Binances svar – et sikkerhetsnett, men ingen plan

Binance reagerte raskt offentlig og stilte omfattende økonomiske garantier. Administrerende direktør Richard Teng lovet på selskapets vegne et økonomisk sikkerhetsnett på 6,34 milliarder dollar: «Vi forplikter oss til å dekke alle tap etter dataangrepet med selskapets midler. Eiendelene deres er trygge.» Børsen satte av mer enn 6,34 milliarder dollar av egne midler. Av dette ble 5 milliarder dollar holdt i nøyaktig de samme tokenene som angriperen hadde tappet ut. I løpet av få dager hadde selskapet dekket 90 prosent av de berørte verdiene. Binance stanset også innskudd og uttak midlertidig, tilbakekalte autorisasjonen til den berørte adressen og involverte politimyndigheter og partnere innen blokkjedeanalyse. Børsen offentliggjorde dessuten en oppdatert reserveoversikt (Proof of Reserves), med dokumentasjon av reservebeholdningen for 10 tokener.

«Administrerende direktør Richard Teng lovet på selskapets vegne et økonomisk sikkerhetsnett på 6,34 milliarder dollar: «Vi forplikter oss til å dekke alle tap etter dataangrepet med selskapets midler. Eiendelene deres er trygge.»»

Likevel står et avgjørende problem uløst. Joni Zhuleku, medgrunnlegger av Altcoin Pro, advarte om at «det å kompensere de berørte kundene alene ikke ville gjenopprette tilliten». Han understreket også at «det vil ha betydning hvor åpent de forklarer hendelsen, hvor trygt de gjenopptar uttakene, og hva de endrer i etterkant». Fireblocks, som arbeider med sikkerhet for digitale eiendeler, beskrev angrepet som et uttrykk for en strukturell risiko: «signeringsmyndighet som er tilgjengelig fra ingeniørmaskiner med utvidede tilgangsrettigheter, uten en ekstra kryptografisk sikkerhetsgrense». Selskapet argumenterte for at «en enkelt utvikler eller en maskin i DevOps-miljøet ikke alene bør ha myndighet til å innføre eller endre lommeboktillatelser».

Binances uttalelser beskriver hvordan selskapet håndterer de økonomiske konsekvensene gjennom kompensasjon, og hvordan skaden begrenses gjennom frysing, tilbakekalling av autorisasjoner og stans i tjenestene. De inneholder imidlertid ingen konkret teknisk plan for å forebygge nye angrep. En slik plan kunne blant annet omfatte obligatoriske maskinvarebaserte sikkerhetsmoduler (HSM-er), godkjenning fra flere parter ved endringer i delegeringer og segmentering etter nulltillitsprinsippet mellom utviklings- og signeringsmiljøer. Det som omtales som «lærdommer», er foreløpig løfter om senere redegjørelser, snarere enn offentliggjorte reformer som kan etterprøves gjennom revisjon. Kundene blir beroliget med økonomisk kompensasjon, men har ennå ikke fått en ny oppskrift på hvordan angrep skal forebygges. Et sikkerhetsnett er ingen plan for forebygging.

Reguleringens teoretiske blindsoner

Hvorfor kunne dette ramme verdens største børs? Svaret ligger i det «ontologiske gapet» i dagens kryptoregulering. Regelverket dekker identitet (hvem som eier kontoen) og oppbevaring (hvor eiendelene holdes), men overser laget der transaksjonene utføres (hvordan flytting av eiendeler blir godkjent).

Les også: Har blokkjede allerede blitt SWIFT 2.0? 🔒

Den første blindsonen er MiCA-paradokset. Da angrepet skjedde, hadde Binance ingen lisens etter MiCA (Markets in Crypto-Assets Regulation, EUs omfattende kryptoregelverk). Selskapet klarte ikke å skaffe seg lisens innen fristen 30. juni 2026 og har siden 1. juli hatt forbud mot å tilby regulerte tjenester i EU. Da Binance lovet å kompensere kundene, bygget løftet utelukkende på selskapets velvilje. Ingen europeisk lov påla selskapet å holde det. Regelverket som skulle beskytte forbrukerne, ble dermed maktesløst fordi børsen opererte utenfor dets virkeområde.

Den andre blindsonen er tomrommet rundt signeringslaget. Verken EU, USA, Storbritannia eller FATF (Financial Action Task Force, den globale standardsetteren for tiltak mot hvitvasking og terrorfinansiering, AML/CFT) har i dag bindende regler som krever at utviklingsmiljøer holdes atskilt fra signeringsmiljøer. Det stilles heller ingen bindende krav om maskinvarestøttet signering av alle transaksjoner i driftssystemene eller om godkjenning fra flere parter ved endringer i delegeringer.

Den tredje blindsonen er mangelen på samordnet innsats for å hente tilbake midler. Frysingen av 2,85 milliarder dollar var en suksess for privat sektor, ikke et resultat av reguleringen. Utstederne hadde ingen lovpålagt plikt til å samordne seg. Det fantes heller ingen felles protokoll for sporing på tvers av blokkjeder eller noe pålegg om å samarbeide om å hente tilbake midlene. Angriperne utnyttet dette ved å bytte eiendeler som kunne fryses, mot eiendeler som ikke kunne det, raskere enn bransjen klarte å samordne seg. FBI har siden oppfordret operatører av THORChain-noder og andre tjenester til å blokkere adressene. Det finnes imidlertid ingen bindende plikt til å følge oppfordringen.

Anbefalinger til Binance (operativ teori)

For å stå imot neste generasjon trusler må Binance gå fra en sikkerhetsmodell med «nøkkelen i sentrum» til en modell med «utføringen av transaksjoner i sentrum».

«For å stå imot neste generasjon trusler må Binance gå fra en sikkerhetsmodell med «nøkkelen i sentrum» til en modell med «utføringen av transaksjoner i sentrum».»

Det første kravet er «kryptografisk skille mellom utvikling og signering». Ingen enkelt ingeniør, og ingen bærbar PC alene, skal kunne godkjenne en overføring av kundenes eiendeler. Binance må kreve maskinvarebaserte sikkerhetsmoduler (HSM-er, fra engelsk Hardware Security Modules) for all signering i driftssystemene. Disse enhetene er beskyttet mot manipulering og både lagrer nøkler og utfører signering. Alle endringer i lommeboktillatelser eller delegeringsinnstillinger må godkjennes av flere parter. Binance må dessuten innføre segmentering etter nulltillitsprinsippet, slik at utviklingsmiljøene holdes atskilt fra signeringsinfrastrukturen.

Les også: Lov eller lobby? «Stabilvalutakrigen» bak MiCA og jakten på finansiell innflytelse 🔒

Det andre kravet er «tillatelseslister og utløpstid for delegeringer». Enhver EIP-7702-delegering må behandles som en vesentlig endring i kontrollen over lommeboken. Binance må føre bare forhåndsgodkjente delegeringsmål opp på tillatelseslisten. Alle delegeringer må tidsbegrenses slik at de utløper automatisk, for eksempel etter 24 timer. Uventede delegeringer må overvåkes i sanntid, og uttak må stanses automatisk dersom en ny delegering oppdages.

Det tredje kravet er «å oppdage avvik i sanntid ved hjelp av KI». Binance må bruke KI (kunstig intelligens) til å overvåke transaksjoner på tvers av alle blokkjeder, ikke bare Ethereum. Systemet må kunne oppdage automatiserte hvitvaskingsmønstre og aktivitet gjennom broer mellom blokkjeder. Det må også gjennomgå uavhengig testing som simulerer reelle angrep. Som Fireblocks påpekte, gir KI angriperne større kapasitet og gjør det raskere å oppdage sårbarheter. Angrepstempoet vil ikke avta.

Det fjerde kravet er «en forhåndsetablert protokoll for å hente tilbake midler». Binance må på forhånd etablere en godkjent protokoll for frysing sammen med de største utstederne av stabilvalutaer, Tether og Circle, og operatører av broer mellom blokkjeder. Ordningen må omfatte løpende deling av trusselinformasjon og forhåndsavtalte prosedyrer som gjør det mulig å fryse eiendeler i løpet av minutter. At 44 prosent av midlene ble hentet tilbake, mot rundt 3 prosent etter Bybit-angrepet, beviser at hastighet er den avgjørende faktoren.

Anbefalinger til reguleringsmyndighetene (teori om regulering)

Tilsynsmyndighetene må gi slipp på illusjonen om at en lisens i seg selv garanterer sikkerheten i en virksomhet. De må regulere «prosessen», ikke bare «selskapet».

Første prioritet er å «regulere signeringslaget». Enhver lisensiert børs eller «VASP» (Virtual Asset Service Provider, tilbyder av tjenester for virtuelle eiendeler) må pålegges å dokumentere et skille mellom roller og oppgaver. Ingen enkeltperson skal både kunne sette kode i drift og godkjenne en overføring. Regelverket må dessuten kreve maskinvarestøttet signering over en fastsatt terskel, godkjenning fra flere parter ved endringer i delegeringer og sanntidsovervåking av signeringshendelser med automatiske nødstoppmekanismer.

Les også: Kryptoregulering: Europa harmoniserer regelverket – men ikke tilsynet

Andre prioritet er å «gjøre delegering til en høyrisikohendelse». Enhver delegering må behandles som en vesentlig kontrollendring. Tilsynsmyndigheten må varsles innen 24 timer, og delegeringslogikken må gjennomgå en uavhengig revisjon før den settes i drift. Delegering til kontrakter som ikke er verifisert, må forbys.

Tredje prioritet er å «pålegge en felles protokoll for å hente tilbake midler på tvers av utstedere». Reguleringsmyndighetene bør kreve en protokoll for frysing i sanntid på tvers av utstedere, med obligatorisk deltakelse og en felles svarteliste som oppdateres i sanntid. Ordningen bør også omfatte forhåndsgodkjente fryseprosedyrer som ikke krever manuell juridisk vurdering i tidskritiske saker, samt regelmessige fellesøvelser.

Fjerde prioritet er å «tette lisensgapet i MiCA». Myndighetene må kreve at enhver børs som betjener kunder i en jurisdiksjon, har lokal lisens. Kompensasjon til forbrukerne må være et vilkår for lisensen, ikke et frivillig løfte. Ulisensierte børser må forbys å betjene innbyggerne. Håndhevingen må rettes mot betalingsformidlere og appbutikker som gjør tilgangen mulig.

Konklusjon: den nye samfunnskontrakten om tillit

Binance-angrepet viser at tillit i den digitale tidsalderen ikke lenger bare handler om kryptografiens matematikk. Den handler også om «sosiologien bak menneskelige feil» og «økonomien bak regulatorisk arbitrasje». Vi bygget en arkitektur av illusjoner i troen på at systemet var sikkert så lenge matematikken var solid. Men systemet er bare så sikkert som den bærbare PC-en til ingeniøren som setter koden i drift.

Binances økonomiske sikkerhetsnett på 6,34 milliarder dollar har beskyttet kundenes saldoer. Likevel er et sikkerhetsnett ingen plan for forebygging. At 44 prosent av midlene ble hentet tilbake, vitnet om den private sektorens raske handling, ikke om reguleringenes utforming. Teknologien som kan forhindre det neste tyveriet på 6,3 milliarder dollar, finnes allerede: maskinvarestøttet signering, godkjenning fra flere parter, tillatelseslister for delegeringer, KI-overvåking i sanntid og protokoller for frysing på tvers av utstedere. Det som mangler, er «viljen til å regulere» og gjøre tiltakene obligatoriske. Kode er ikke lov med mindre infrastrukturen er underlagt rettsstatens prinsipper.

Granskning: Nordkoreanske hackere sjokkerer analytikere etter historisk kryptobørstyveri 🔒

Du har nettopp lest en gratisartikkel

Geopolitika lever kun gjennom sine lesere. For å støtte oss, abonner eller doner.