Vad som har hänt

Omkring klockan 20.05 UTC den 29 oktober 2026 komprometterades Binances heta plånböcker (hot wallets), de uppkopplade plånböcker som används för uttag. Tokens till ett värde av ungefär 6,3 miljarder dollar fördes bort, skriver Binance i sin andra uppdatering dagen efter. I samma meddelande uppgav bolaget att det redan hade täckt omkring 80 procent av förlusten med egna medel, och att ungefär 3 miljarder dollar av de stulna medlen hade frysts på blockkedjan.

Uttagen stoppades tillfälligt. Insättningar och andra tjänster som inte påverkats fungerade enligt Binance. Enligt Binances första uppdatering, dagen efter stölden, kan intrånget ha gått via en komprometterad bärbar dator hos en DevOps-ingenjör som gav åtkomst till en tjänstecontainer där obehöriga uttag kunde läggas in. Den fortsatta utredningen har enligt den andra uppdateringen hittat ytterligare intrångspunkter, men inget som visar att privata nycklar till plånböckerna har läckt.

Enligt Binances fjärde och sjätte uppdatering öppnades uttagen igen i omgångar från den 1 november, först för bland annat bitcoin, ethereum, solana och XRP och därefter för fler tillgångar. Binance skriver att allt inte öppnas samtidigt och att ordningen styrs av efterfrågan under den senaste veckan.

Så täcks förlusten enligt Binance

Binance säger att bolaget, inte kunderna, bär förlusten och att kundernas medel är säkra. Enligt Binances tredje uppdatering tas pengarna ur SAFU, ur en del av terminshandelns försäkringsfond och ur bolagets egen kassa, och bolaget har åtagit sig att fylla på SAFU igen. Binance beskriver SAFU som en nödreserv. Vår bedömning är att det är ett åtagande från bolaget, inte en rättslig garanti, och att SAFU inte är någon insättningsgaranti.

Den 4 november uppgav Binance att bolaget hade ersatt omkring 98 procent av de stulna tillgångarna med egna medel och avsatt mer än 100 procent av det som behövs, enligt Binances sjunde uppdatering. Det betyder att Binance har köpt in eller avsatt motsvarande tillgångar, inte att något har kommit tillbaka från angriparen. Resten är enligt Binance mindre likvida tokens som köps in över marknaden eller via OTC-handel, affärer direkt mellan parter.

Vad FBI säger

Den 31 oktober publicerade FBI en varning där myndigheten uppger att Nordkorea låg bakom stölden av virtuella tillgångar för mer än 6 miljarder dollar från Binance. FBI kallar den här nordkoreanska aktiviteten TraderTraitor (FBI:s varning).

Enligt FBI har myndigheten, tillsammans med Secret Service och IRS-CI, sett aktörerna växla de stulna tillgångarna främst till ether (ETH). FBI räknar med att medlen tvättas vidare via DeFi-tjänster och snabbväxlingstjänster (instant swap) och uppmanar privata aktörer att blockera transaktioner med adresserna i varningen. I de meddelanden från Binance som vi har läst uttalar sig bolaget inte om vem som ligger bakom.

Frysta medel

Enligt analysföretaget TRM Labs, med data fram till 00.30 UTC den 30 oktober, frös Tether, Circle, Ripple och World Liberty Financial tillsammans omkring 2,67 miljarder dollar i stablecoins. Räknat med en åtgärd från Arbitrums Security Council blir det sammanlagt omkring 2,7 miljarder dollar (TRM Labs). Binances egen siffra ovan är högre, men Binance anger inte vad den omfattar eller när den gäller. TRM:s summa avser bara stablecoins och Arbitrums åtgärd fram till nämnda tidpunkt.

Enligt TRM höll angriparen per 00.30 UTC den 30 oktober mer än 420 000 ether och 18 270 bitcoin, omkring 2,4 miljarder dollar som ingen utgivare kan frysa. TRM tillskriver stölden TraderTraitor med hög säkerhet och bedömer att Binances infrastruktur för att signera transaktioner från de heta plånböckerna komprometterades (TRM:s analys).

Fryst är inte detsamma som återfört. Ingen av källorna anger hur mycket som har lämnats tillbaka.

Det som inte är belagt

  • Hur intrånget gick till i detalj. Binance har utlovat en slutlig genomgång (post mortem), men den finns inte bland bolagets supportmeddelanden. Uppgifter i medier om förloppet har vi inte kunnat bekräfta hos Binance.
  • Om alla uttag är öppna. Binance har inte angett när samtliga tillgångar går att ta ut.
  • Exakt belopp. Binances och TRM:s siffror för både stöldens storlek och frysta medel skiljer sig åt beroende på tidpunkt och värderingssätt.
  • Svenska kunder. Vi har inte kunnat belägga om kunder i Sverige hade tillgång till tjänsten eller berördes av uttagsstoppet.

Binances ställning i Sverige och EU

När vi sökte i ESMA:s register över kryptotillgångstjänsteleverantörer den 11 november (filen senast uppdaterad 3 november) fanns Binance inte med, varken under bolagsnamn, handelsnamn eller webbadress. Registret tar upp bolag som har auktoriserats eller anmält sig enligt MiCA, EU:s förordning om marknader för kryptotillgångar. Vi har inte hittat något som visar att Binance har fått ett sådant tillstånd.

Binance Nordics registrerades av Finansinspektionen (FI) i januari 2023 enligt lagen om valutaväxling och annan finansiell verksamhet. FI skrev då att en registrering inte är att likställa med att företaget står under FI:s tillsyn, och att någon insättningsgaranti inte gäller. Vår bedömning finns i recensionen av Binance och övriga granskade börser i översikten över kryptobörser.

Med och utan EU-tillstånd

En stöld kan stoppa uttagen hos en börs oavsett tillstånd. Skillnaden ligger i ramarna. En börs med MiCA-tillstånd står under tillsyn av en nationell myndighet, finns i ESMA:s register och omfattas av MiCA:s regler om skydd av kundtillgångar. ESMA har varnat för att skyddet beror på vem man har att göra med, och att stanna hos en leverantör utan tillstånd kan innebära sämre rättsligt skydd. Vår bedömning är att det som gäller efter en stöld hos en börs utan tillstånd främst styrs av bolagets villkor, tillämplig lagstiftning och bolagets egna åtaganden, i Binances fall löftet att stå för förlusten.

Hur du kontrollerar en börs tillstånd går vi igenom i Så kollar du om din kryptobörs har MiCA-tillstånd. Skillnaden mot en egen kryptoplånbok beskriver vi i guiden om att förvara krypto. En tidigare börsstöld behandlar vi i artikeln om när Bitget hackades. Vanliga bedrägeriupplägg tar vi upp i guiden Skydda dig mot kryptobedrägerier.