Binance, Nordkorea og 6,3 milliarder dollar på tyve minutter

Torsdag den 29. oktober 2026, lidt over klokken 21.20 dansk tid, begyndte pengene at forlade Binance. Det meste var væk efter cirka tyve minutter.

Blockchain-analysefirmaet TRM Labs opgør tyveriet til omkring 6,36 milliarder dollar, fordelt på ti blockchains. Det er det største kryptotyveri nogensinde, større end Bybit-røveriet i februar 2025, hvor 1,5 milliarder dollar forsvandt.

Lørdag pegede FBI på Nordkorea. Tallene er så store, at de let skjuler det vigtigste. Angriberne kom ind via mennesker, værktøjer og godkendelsesrutiner, og ikke via en kryptografisk lås, der blev brudt.

Tyve minutter, ti blockchains

Sikkerhedsfirmaet Blockaid har fulgt sporet på Ethereum. Angrebet ramte den hot wallet (en online pengepung, børsen bruger til daglige udbetalinger), der kaldes Binance 14. Klokken 20.20 UTC blev 50 autorisationer sendt i én transaktion. Derefter forsvandt 167.464 ETH og 63 forskellige tokens.

Tallet på 6,3 milliarder er Binances eget skøn. Eksterne opgørelser ligger lavere, og forskellen er ikke forklaret. TRM kommer tættest på Binance med 6,36 milliarder dollar, men firmaet tæller på tværs af ti kæder, og det gør sammenligningen svær.

Binance suspenderede i første omgang udbetalinger, mens indbetalinger fortsat virkede. Børsen har sat 6,34 milliarder dollar af fra egne midler og reserver og lover at dække alle tab. Samtidig siger Binance, at selskabet sammen med partnere har fået frosset omkring 3 milliarder dollar.

Changpeng Zhao grundlagde Binance i 2017 og erkendte sig skyldig i en forbrydelse om hvidvask i 2023. Præsident Trump benådede ham i 2025. Efter hacket skrev han på X, at “user funds are safe”, og at det ligner et hack på Binance. Han leder ikke længere børsen.

Underskriften, ingen skulle have givet

Her bliver det teknisk, og det er værd at tage langsomt.

EIP-7702 er en funktion i Ethereums Pectra-opgradering fra 2025. Den lader en almindelig konto lade en smart contract (et lille program på blockchainen) udføre handlinger på sine vegne. Det er praktisk for almindelige brugere, fordi flere handlinger kan samles i én transaktion. Det samme gælder for en tyv.

En sådan delegation kræver en gyldig underskrift fra kontoens nøgle. Angriberen kendte ikke walletens aktuelle nonce (et løbenummer, der skal passe præcist). Derfor sendte han 50 autorisationer med fortløbende numre. Binance behandlede stadig udbetalinger fra samme wallet, og en af dem ramte rigtigt.

Så gjorde delegationen sit arbejde. Walletens kode blev erstattet af angriberens egen smart contract, og delegationen fjerner sig ikke selv. Hvis den ikke tilbagekaldes, kan angriberen også røre midler, der senere kommer ind.

EIP-7702 selv var ikke fejlen. Flere analytikere har understreget, at funktionen virkede, som den skulle. Spørgsmålet er, hvem eller hvad der underskrev.

Kok Tin Gan, medstifter og direktør i cybersikkerhedsfirmaet NyxLab, sagde det direkte. Det ligner én underskrift, der gav angriberen et token uden udløb og med fuld adgang til en Binance-wallet. Han rejste samtidig spørgsmålet om, hvorfor stærkere godkendelseskontroller ikke var på plads.

Binance oplyste først, at de ikke havde fundet tegn på lækkede private nøgler. TRM placerer problemet i Binances signeringsinfrastruktur og ikke i selve blockchainen. En nøgle kan være uberørt, mens systemet omkring den producerer en underskrift, ingen burde have godkendt.

Fra jobsamtale til hot wallet

Binances første forklaring pegede på en kompromitteret laptop. Binance har selv oplyst, at den tilhørte en DevOps-ingeniør og gav adgang til en service-container, hvorfra uautoriserede udbetalinger blev sendt. Senere sagde Binances direktør Richard Teng, at der var flere indbrudspunkter, og at angrebet var mere sammensat end én medarbejders rettigheder.

Læs også: Kim Jong-uns lønliste: Din kollega eksisterer ikke

Binances egen rapport fra 3. november beskriver, hvordan angriberne nåede frem. Medarbejdere blev kontaktet af falske rekrutterere og inviteret til jobsamtaler. Under samtalerne fik de installeret værktøjer, der lignede almindelig udviklersoftware.

Et af dem var et manipuleret installationsprogram til Homebrew. Et andet var en ondsindet udgave af pyenv, hvor filen var vokset fra 3.344 til 3.414 bytes. 70 bytes. Så lidt skal der til.

Metoden er velkendt. Nordkoreanske grupper har i årevis kontaktet udviklere med falske jobtilbud og bedt dem køre kode som en del af en “prøve”. Binances egen sikkerhedschef har tidligere fortalt, at børsen hver dag modtager ansøgninger, som formodes at komme fra nordkoreanske operatører.

Kilderne er uenige om, hvilken platform rekrutteringen foregik på. Nogle nævner LinkedIn, andre en unavngiven platform. Det kan vi ikke afgøre.

Fire private firmaer og én myndighed

TRM Labs offentliggjorde torsdag sin vurdering. Firmaet henfører tyveriet til TraderTraitor, som det beskriver som Nordkoreas elitehackerenhed, og siger, at vurderingen er foretaget med høj sikkerhed. Flere træk matcher tidligere nordkoreanske røverier, blandt andet Bybit-hacket.

Chainalysis’ direktør Jonathan Levin skrev på X, at hacket sandsynligvis var udført af den nordkoreanske gruppe TraderTraitor. Elliptic har fundet, at de stjålne midler blev blandet med provenu fra et tidligere angreb mod børsen Bitget, og at hvidvaskmønstret ligner tidligere nordkoreanske operationer.

Lørdag kom den officielle bekræftelse. FBI udsendte i samarbejde med Secret Service og skattemyndighedens kriminalafdeling IRS-CI en advarsel, som navngiver TraderTraitor og siger, at hackerne primært konverterer de stjålne aktiver til Ethereum. De tre myndigheder opfordrede børser, analysefirmaer og andre udbydere til at blokere transaktioner til de wallets, hackerne bruger til hvidvask.

Det er stærkere end en privat vurdering. Men det er også en vurdering, og læseren bør vide, hvad den hviler på: mønstergenkendelse. Samme metoder, samme hvidvasksteder, samme infrastruktur som i Bybit-sagen, hvor FBI også pegede på TraderTraitor.

To forbehold gælder. Attributionerne støtter sig til hinanden, og det fremgår ikke, hvor meget FBI’s konklusion bygger på de private firmaers analyser. Og firmaerne har selv en kommerciel interesse i at vise, at de kan følge pengene. Det gør ikke konklusionen forkert. Det gør den til en sandsynlighedsvurdering fra parter med noget at vinde.

Binance selv har ikke bekræftet Nordkorea. En talsmand sagde kun, at selskabet arbejder tæt sammen med politiet om at identificere gerningsmændene.

Teorier om en indre synder eller om russiske hænder har vi ikke fundet belæg for i noget, vi har kunnet læse.

Baggrunden er kendt. Nordkorea har gjort kryptotyveri til en indtægtskilde under hårde FN-sanktioner. Sydkoreas efterretningstjeneste skønnede i 2022, at nordkoreanske hackere havde stjålet kryptovaluta for 1,5 billioner won, svarende til 1,1 milliarder dollar, over fem år. Det tal er nu overhalet med en faktor seks på en enkelt aften.

Tre milliarder frosset, resten ukendt

Frysning virker kun, hvor nogen kan trykke på knappen. Det gælder stablecoins (kryptovalutaer bundet til dollar), hvor udstederen kan blokere en wallet. Tether, Circle, Ripple og World Liberty Financial har frosset beløb, og Arbitrum Security Council har gjort det samme på sit netværk. Circles direktør Jeremy Allaire siger, at mere end 800 millioner USDC er frosset i samarbejde med myndigheder, og Tethers direktør Paolo Ardoino, at knap 1,57 milliarder USDT er frosset.

Native aktiver som bitcoin, ether, XRP og solana har ingen udsteder. Ingen kan fryse dem. FBI siger, at hackerne primært konverterer til Ethereum, og det er ikke tilfældigt.

Binance nævner omkring 3 milliarder dollar som frosset, men fordelingen på kilder og kæder er ikke offentliggjort. De frosne beløb varierer fra opgørelse til opgørelse, og vi har ikke fundet en uafhængig optælling. Derfor er “tre milliarder” Binances tal og ikke et verificeret.

Forskellen på frosset og genindvundet er stor. Frosne penge ligger stille. De er ikke hjemme. Det afgøres af jurister, udstedere og domstole, og det tager lang tid.

Vaskeriet kender vi

Hvidvasken følger et mønster, som analytikere kender fra tidligere sager. Elliptic beskrev efter Bybit-røveriet i 2025, hvordan Lazarus typisk først veksler stjålne tokens til en native aktiv som Ether og derefter sender dem gennem blandetjenester som Tornado Cash og over broer mellem blockchains.

Forskere har allerede i dette tilfælde set, at en adresse finansieret via Tornado Cash indsendte de første autorisationer mod Binances wallet. Efterfølgende er der observeret flytninger gennem THORChain, broer og lån i Aave, hvor de stjålne aktiver kan bruges som sikkerhed.

Læs også: Kryptovaluta: Den nye motor for pengevask i Danmark

Mere er på vej. FBI’s advarsel siger, at hackerne vil sende flere aktiver gennem decentraliserede finansplatforme og børser, der tillader hurtige bytteforretninger. Hver tjeneste, der vælger ikke at blokere, er et led i kæden.

Efter Bybit-sagen afviste den anonyme børs eXch, at den vaskede penge for Lazarus, selvom Elliptic og andre mente, at der var behandlet titusinder af millioner dollar. Samme spørgsmål vil komme igen.

Hver gang større

Bybit mistede 1,5 milliarder dollar i februar 2025. FBI pegede dengang på TraderTraitor. Før da var rekorderne Poly Network med 611 millioner dollar i 2021 og et angreb på Binance selv i 2022 på 570 millioner dollar. Rækken er ikke tilfældig.

Hver rekord er sat af et angreb på en central tjeneste, hvor få mennesker og få nøgler rummer enorme beløb. Det er en bekvem målskive for en statslig hackergruppe, der har tid og tålmodighed. Og den kan ramme igen, fordi de samme svagheder findes hos andre børser: udviklere med administratorrettigheder, tilladelser der aldrig udløber, og godkendelseskæder, der kan tales ind i at skrive under.

Kok Tin Gans pointe om manglende kontrol er derfor mere end en fodnote. Den peger på, hvor reguleringen kan gøre en forskel: de interne kontroller, før en underskrift forlader huset. Blockchainen holdt.

I USA har den amerikanske tilsynsmyndighed for råvarehandel, CFTC, i samme periode talt for, at kryptobørser skal registreres. Det svarer ikke på dette hack, og det viser alligevel, hvor debatten er på vej hen.

Binance forlod Europa før regningen kom

Danske kunder blev ikke ramt direkte. Binance er på vej ud af EU, fordi selskabet ikke fik den licens, der kræves efter MiCA, EU’s forordning om kryptoaktiver. Et forsøg på at få licens via Grækenland endte uden resultat. Afviklingen i EU begyndte 1. juli 2026.

I Danmark er Finanstilsynet tilsynsmyndighed for udbydere, der opererer under MiCA. Blandt de danske selskaber med tilladelse er Lunar Block A/S og GC Exchange A/S. Det er de to navne, en dansk kunde kan sætte op mod en udbyder, der ikke kan fremvise samme papirer.

Det fortæller noget om styrkeforholdet. Verdens største børs stod uden europæisk licens og kunne alligevel love at dække et tab på godt seks milliarder dollar af egne midler og reserver. Størrelsen på den lomme er et argument for tilsyn. Den er også et argument for, at tilsynet skal kunne se, hvad der ligger i den.

Vi har ikke kunnet finde tal for, hvor mange danskere der havde midler på Binance, før børsen forlod EU. Vi har heller ikke fundet en udtalelse om sagen fra Center for Cybersikkerhed. Begge dele er huller, som Finanstilsynet og CFCS kan fylde.

Det vi ikke kan bekræfte

Vi har ikke læst FBI’s advarsel i original, fordi siden ikke kunne hentes. Vi har set dens indhold gennem Korea Times’ gengivelse. Binances rapport fra 3. november har vi set i sekundære gengivelser, og vi har ikke fundet resultatet af en uafhængig reservekontrol.

Flere centrale tal står derfor som Binances eller en analytikers og ikke som verificerede kendsgerninger: de 6,3 milliarder, de 3 milliarder frosset og det genopfyldte beløb, som i forskellige gengivelser ligger mellem 90 og 98 procent.

Og tilbage står selve spørgsmålet. Hvem godkendte en underskrift, der gav en fremmed nøglen til en hot wallet? Binance har indtil videre svaret med en rapport. Politiets efterforskning, hvor FBI og Secret Service deltager, er ikke afsluttet.