En uavhengig rekonstruksjon fra Cointegritys Torstein Thinn finner at Binance-hackerne aldri stjal private nøkler. I stedet kapret de systemet som ber om signaturer. Flere utbredte påstander om hacket viser seg å ikke stemme.
Binance ble rammet av det som nå fremstår som det største kryptotyveriet noensinne, i forrige uke. En angriper tappet selskapets lommebøker for rundt 6,3 milliarder dollar på ti ulike blokkjeder. I dagene etter har mange tall, teorier og funn versert om hvordan angrepet skjedde, og hvem som sto bak det. Torstein Thinn i Cointegrity, et selskap som analyserer større hendelser i kryptosektoren for banker, tilsyn og politi, har laget en egen rekonstruksjon av hendelsen. Den bygger utelukkende på offentlige kilder og data hentet direkte fra blokkjeden. Hvert funn er gradert etter hvor sikker kilden er, fra bekreftet til ikke underbygget.
Thinns sentrale funn er at ingen privat nøkkel ser ut til å ha forlatt Binance. I stedet mener Thinn at angriperen fikk kontroll over selskapets eget system for å be om signaturer. Det var altså beslutningen om hva som skulle signeres som ble kapret — ikke nøklene som utfører selve signeringen.
Begrunnelsen er mønsteret i angrepet. 17 ulike Binance-lommebøker på ti blokkjeder, med minst to ulike signaturtyper og egne nøkkellagre, ga fra seg gyldige signaturer til angriperens adresser på rundt 30 minutter. Én stjålet nøkkel kan forklare én lommebok. Et kapret system for å be om signaturer forklarer sytten, skriver Thinn. Binances egen forklaring på hva som skjedde har for øvrig endret seg tre ganger siden hacket, uten at selskapet har pekt på noen rotårsak.
På Ethereum var det funksjonen EIP-7702 som gjorde utslaget. Den har vært en del av protokollen siden mai 2025, og lar en vanlig lommebok overlate sin oppførsel til en smart kontrakt gjennom én signert fullmakt. Klokken 20.20.59 UTC 29. oktober sendte angriperen femti slike fullmakter i én transaksjon, trolig fordi vedkommende ikke kunne vite hvilket nonce — et løpenummer som følger hver transaksjon — som ville være aktivt i det øyeblikket lommeboken ble kapret.
Drøyt tre minutter senere ble lommeboken, kjent som Binance 14, tømt for rundt 2,53 milliarder dollar i én transaksjon. Det var to tredjedeler av alt som ble tatt på Ethereum. Binances egne innskuddssystemer fortsatte å samle kundemidler i samme lommebok. Derfor kunne angriperen hente ut nye summer flere ganger utover kvelden, helt frem til klokken 23.56. Lommeboken hadde også fullmakt til å handle på vegne av en annen Binance-konto. Det ga angriperen tilgang til ytterligere 823 millioner dollar i USDC derfra, ifølge Thinn.
Det var ikke Binance som fikk kontroll over situasjonen først. Tether frøs adressen som mottok mest av tyvegodset, klokken 21.01 — 86 minutter før Binance selv stanset uttak. Ifølge analyseselskapet Elliptic er 2,84 milliarder dollar bekreftet frosset on-chain. 94 prosent av det er stablecoins som USDT og USDC. Verken bitcoin, XRP, solana eller NEAR kan fryses av en utsteder, og ingenting på disse kjedene er rørt siden tyveriet.
Angriperen sitter fortsatt med mellom 3,2 og 3,3 milliarder dollar som ingen utsteder kan røre. Rundt 786 millioner dollar i stablecoins ble vekslet til ether og tron med stor rabatt, i tidsrommet før frysene kom. Blant kjøperne var profesjonelle market makers, som handlet bare minutter etter tyveriet.
I rekonstruksjonen går Thinn gjennom flere påstander som har versert i mediedekningen av hacket. Han finner at de ikke er underbygget, eller direkte motsagt av kildematerialet. Det gjelder påstander om at en AI-agent skal ha vært involvert, at det forelå en svakhet i selve Ethereum-protokollen, og at det er en bekreftet kobling til samme dags sikkerhetsbrudd hos prediksjonsmarkedet Polymarket. Det samme gjelder tallet på at Ripple skal ha frosset 200 millioner dollar, og at totalsummen som er frosset skal være 5 milliarder dollar. Ifølge Thinns gjennomgang har Ethereum-protokollen fungert nøyaktig som tiltenkt. Det var en gyldig signatur fra lommebokens egen nøkkel som ble misbrukt — ikke en feil i selve nettverket.
Analyseselskapene TRM Labs og Chainalysis mener, med høy grad av sikkerhet, at hackergruppen TraderTraitor står bak angrepet. Gruppen knyttes til Nord-Korea. Elliptic er mer forsiktig, og kaller koblingen sannsynlig — ikke sikker. Det sterkeste offentlige sporet er at midler fra Binance-hacket og fra det tidligere Bitget-hacket i september møttes i samme adresse, etter flere mellomstopp på tvers av blokkjeder. Men bare rundt 39.000 dollar av Binance-midlene er sporet dit, mot rundt 510.000 dollar fra Bitget. Det er en adresse som like gjerne kan tilhøre en hvitvasker som betjener flere kunder, ifølge Thinn.
Ingen myndighet hadde, ved Thinns siste gjennomgang, offentlig tilskrevet angrepet Nord-Korea. Det gjelder både amerikanske FBI, finansmyndigheten OFAC og sørkoreanske myndigheter.
Kilder: Cointegrity
Du har lest det du kan lese gratis. Med en konto får du ubegrenset tilgang til alle nyheter og artikler på kaupr.io — og blir en del av nettverket av investorer, profesjonelle og builders som følger onchain finance.