En oberoende rekonstruktion från Cointegritys Torstein Thinn visar att Binance-hackarna aldrig stal privata nycklar. I stället kapade de systemet som begär signaturer. Flera spridda påståenden om hacket visar sig inte stämma.
Binance drabbades förra veckan av vad som nu framstår som den största kryptostölden någonsin. En angripare tömde bolagets plånböcker på omkring 6,3 miljarder dollar över tio olika blockkedjor. Under dagarna som följt har många siffror, teorier och fynd cirkulerat om hur attacken gick till, och vem som låg bakom den. Torstein Thinn på Cointegrity, ett bolag som analyserar större händelser i kryptosektorn för banker, tillsynsmyndigheter och polis, har gjort en egen rekonstruktion av händelsen. Den bygger uteslutande på offentliga källor och data hämtad direkt från blockkedjan. Varje fynd är graderat efter hur säker källan är, från bekräftat till obestyrkt.
Thinns centrala fynd är att ingen privat nyckel ser ut att ha lämnat Binance. I stället menar Thinn att angriparen fick kontroll över bolagets eget system för att begära signaturer. Det var alltså beslutet om vad som skulle signeras som kapades — inte nycklarna som utför själva signeringen.
Grunden för det är mönstret i attacken. 17 olika Binance-plånböcker på tio blockkedjor, med minst två olika signaturtyper och egna nyckellager, lämnade giltiga signaturer till angriparens adresser inom loppet av omkring 30 minuter. En stulen nyckel kan förklara en plånbok. Ett kapat system för att begära signaturer förklarar sjutton, skriver Thinn. Binances egen förklaring av vad som hänt har för övrigt ändrats tre gånger sedan hacket, utan att bolaget har pekat ut någon grundorsak.
På Ethereum var det funktionen EIP-7702 som gjorde skillnaden. Den har varit en del av protokollet sedan maj 2025 och låter en vanlig plånbok överlåta sitt beteende till ett smart kontrakt genom en signerad fullmakt. Klockan 20.20.59 UTC den 29 oktober skickade angriparen femtio sådana fullmakter i en enda transaktion, troligen eftersom personen inte kunde veta vilket nonce — ett löpnummer som följer varje transaktion — som skulle vara aktivt i det ögonblick plånboken kapades.
Knappt tre minuter senare tömdes plånboken, känd som Binance 14, på omkring 2,53 miljarder dollar i en enda transaktion. Det var två tredjedelar av allt som togs på Ethereum. Binances egna insättningssystem fortsatte att samla kundmedel i samma plånbok. Därför kunde angriparen hämta ut nya summor flera gånger under kvällen, ända fram till klockan 23.56. Plånboken hade också fullmakt att agera på en annan Binance-konto. Det gav angriparen tillgång till ytterligare 823 miljoner dollar i USDC från den, enligt Thinn.
Det var inte Binance som fick kontroll över situationen först. Tether frös adressen som tog emot mest av stöldgodset klockan 21.01 — 86 minuter innan Binance själv stoppade uttag. Enligt analysbolaget Elliptic är 2,84 miljarder dollar bekräftat fryst on-chain. 94 procent av det är stablecoins som USDT och USDC. Varken bitcoin, XRP, solana eller NEAR kan frysas av en utgivare, och ingenting på dessa kedjor har rörts sedan stölden.
Angriparen sitter fortfarande på mellan 3,2 och 3,3 miljarder dollar som ingen utgivare kan röra. Omkring 786 miljoner dollar i stablecoins växlades till ether och tron med stor rabatt, under tiden innan frysningarna kom. Bland köparna fanns professionella market makers, som handlade bara minuter efter stölden.
I rekonstruktionen går Thinn igenom flera påståenden som cirkulerat i mediebevakningen av hacket. Han finner att de inte är underbyggda, eller direkt motsagda av källmaterialet. Det gäller påståenden om att en AI-agent ska ha varit inblandad, att det fanns en svaghet i själva Ethereum-protokollet, och att det finns en bekräftad koppling till samma dags säkerhetsincident hos prediktionsmarknaden Polymarket. Detsamma gäller siffran att Ripple ska ha frysts 200 miljoner dollar, och att den totala frysta summan ska vara 5 miljarder dollar. Enligt Thinns genomgång har Ethereum-protokollet fungerat exakt som avsett. Det var en giltig signatur från plånbokens egen nyckel som missbrukades — inte ett fel i själva nätverket.
Analysbolagen TRM Labs och Chainalysis bedömer, med hög grad av säkerhet, att hackargruppen TraderTraitor ligger bakom attacken. Gruppen kopplas till Nordkorea. Elliptic är mer försiktigt och kallar kopplingen sannolik — inte säker. Det starkaste offentliga spåret är att medel från Binance-hacket och från det tidigare Bitget-hacket i september möttes i samma adress, efter flera mellanstopp över blockkedjor. Men bara omkring 39 000 dollar av Binance-medlen är spårade dit, mot omkring 510 000 dollar från Bitget. Det är en adress som lika gärna kan tillhöra en penningtvättare som betjänar flera kunder, enligt Thinn.
Ingen myndighet hade, vid Thinns senaste genomgång, offentligt tillskrivit attacken Nordkorea. Det gäller både amerikanska FBI, finansmyndigheten OFAC och sydkoreanska myndigheter.
Källor: Cointegrity
Du har läst det du kan läsa gratis. Med ett konto får du obegränsad tillgång till alla nyheter och artiklar på kaupr.io — och blir en del av nätverket av investerare, professionella och builders som följer onchain finance.