En uafhængig rekonstruktion fra Cointegritys Torstein Thinn viser, at Binance-hackerne aldrig stjal private nøgler. I stedet kaprede de systemet, der beder om signaturer. Flere udbredte påstande om hacket viser sig ikke at holde.
Binance blev i sidste uge ramt af, hvad der nu fremstår som det største kryptotyveri nogensinde. En angriber tømte selskabets wallets for omkring 6,3 milliarder dollar på ti forskellige blockchains. I dagene efter har mange tal, teorier og fund svirret om, hvordan angrebet skete, og hvem der stod bag det. Torstein Thinn fra Cointegrity, et selskab der analyserer større hændelser i kryptosektoren for banker, tilsynsmyndigheder og politi, har lavet sin egen rekonstruktion af hændelsen. Den bygger udelukkende på offentlige kilder og data hentet direkte fra blockchainen. Hvert fund er gradueret efter, hvor sikker kilden er, fra bekræftet til ikke underbygget.
Thinns centrale fund er, at ingen privat nøgle ser ud til at have forladt Binance. I stedet mener Thinn, at angriberen fik kontrol over selskabets eget system til at bede om signaturer. Det var altså beslutningen om, hvad der skulle signeres, der blev kapret — ikke nøglerne, der udfører selve signeringen.
Begrundelsen er mønstret i angrebet. 17 forskellige Binance-wallets på ti blockchains, med mindst to forskellige signaturtyper og egne nøglelagre, afgav gyldige signaturer til angriberens adresser inden for omkring 30 minutter. En stjålet nøgle kan forklare en wallet. Et kapret system til at bede om signaturer forklarer sytten, skriver Thinn. Binances egen forklaring på, hvad der skete, har for øvrigt ændret sig tre gange siden hacket, uden at selskabet har udpeget nogen grundlæggende årsag.
På Ethereum var det funktionen EIP-7702, der gjorde udslaget. Den har været en del af protokollen siden maj 2025 og lader en almindelig wallet overlade sin opførsel til en smart kontrakt gennem en signeret fuldmagt. Klokken 20.20.59 UTC den 29. oktober sendte angriberen halvtreds af den slags fuldmagter i en enkelt transaktion, sandsynligvis fordi personen ikke kunne vide, hvilket nonce — et løbenummer, der følger hver transaktion — der ville være aktivt i det øjeblik wallet'en blev kapret.
Godt tre minutter senere blev wallet'en, kendt som Binance 14, tømt for omkring 2,53 milliarder dollar i en enkelt transaktion. Det var to tredjedele af alt, der blev taget på Ethereum. Binances egne indbetalingssystemer fortsatte med at samle kundemidler i samme wallet. Derfor kunne angriberen hente nye summer flere gange i løbet af aftenen, helt frem til klokken 23.56. Wallet'en havde også fuldmagt til at handle på en anden Binance-konto. Det gav angriberen adgang til yderligere 823 millioner dollar i USDC derfra, ifølge Thinn.
Det var ikke Binance, der først fik kontrol over situationen. Tether frøs adressen, der modtog mest af tyvekosterne, klokken 21.01 — 86 minutter før Binance selv stoppede udbetalinger. Ifølge analysefirmaet Elliptic er 2,84 milliarder dollar bekræftet frosset on-chain. 94 procent af det er stablecoins som USDT og USDC. Hverken bitcoin, XRP, solana eller NEAR kan fryses af en udsteder, og intet på de kæder er rørt siden tyveriet.
Angriberen sidder stadig med mellem 3,2 og 3,3 milliarder dollar, som ingen udsteder kan røre. Omkring 786 millioner dollar i stablecoins blev omsat til ether og tron med stor rabat, i tidsrummet før fryseafgørelserne kom. Blandt køberne var professionelle market makers, der handlede bare minutter efter tyveriet.
I rekonstruktionen går Thinn igennem flere påstande, der har svirret i mediedækningen af hacket. Han finder, at de ikke er underbygget, eller direkte modsagt af kildematerialet. Det gælder påstande om, at en AI-agent skulle have været involveret, at der var en svaghed i selve Ethereum-protokollen, og at der er en bekræftet forbindelse til samme dags sikkerhedsbrud hos prædiktionsmarkedet Polymarket. Det samme gælder tallet om, at Ripple skulle have frosset 200 millioner dollar, og at den samlede frosne sum skulle være 5 milliarder dollar. Ifølge Thinns gennemgang har Ethereum-protokollen fungeret nøjagtig som tiltænkt. Det var en gyldig signatur fra wallet'ens egen nøgle, der blev misbrugt — ikke en fejl i selve netværket.
Analysefirmaerne TRM Labs og Chainalysis mener, med høj grad af sikkerhed, at hackergruppen TraderTraitor står bag angrebet. Gruppen knyttes til Nordkorea. Elliptic er mere forsigtig og kalder forbindelsen sandsynlig — ikke sikker. Det stærkeste offentlige spor er, at midler fra Binance-hacket og fra det tidligere Bitget-hack i september mødtes i samme adresse, efter flere mellemstop på tværs af blockchains. Men kun omkring 39.000 dollar af Binance-midlerne er sporet til adressen, mod omkring 510.000 dollar fra Bitget. Det er en adresse, der lige så godt kan tilhøre en hvidvasker, der betjener flere kunder, ifølge Thinn.
Ingen myndighed havde, ved Thinns seneste gennemgang, offentligt tilskrevet angrebet Nordkorea. Det gælder både det amerikanske FBI, finansmyndigheden OFAC og sydkoreanske myndigheder.
Kilder: Cointegrity
Du har læst det, du kan læse gratis. Med en konto får du ubegrænset adgang til alle nyheder og artikler på kaupr.io — og bliver en del af netværket af investorer, professionelle og builders, der følger onchain finance.