Historiens största kryptokupp: 6,3 miljarder dollar stulna från Binance på 20 minuter

På 20 minuter och 24 sekunder den 29 oktober 2026 tömdes Binances heta plånbok på tillgångar värda 6,3 miljarder dollar — spridda över tio blockkedjor, i vad som nu är historiens största kryptostöld. För att sätta siffran i perspektiv: det är ungefär fyra gånger större än Bybit-hacket i februari 2025, som dittills hållit rekorden. Händelsen är relevant långt utanför kryptokretsar: den visar hur sårbar finansiell infrastruktur i dag kan vara mot välplanerade, tekniskt sofistikerade angrepp.

Vad hände?

Minst 36 timmar före själva attacken förberedde angriparna marken noggrant. Små uttag via mixertjänsten Tornado Cash finansierade en operatörsplånbok. Attackkoden testades och repeterades på flera plånböcker. Slutligen installerades den slutgiltiga versionen på Binances riktiga heta plånbok — allt utan att utlösa larm.

Attacken startade runt kl. 20:05 UTC den 29 oktober. Det tekniska hjärtat i exploiten var EIP-7702, en funktion som introducerades i Ethereums Pectra-uppgradering i maj 2025. Mekanismen tillåter vanliga plånboksadresser att tillfälligt bete sig som smarta kontrakt. Angriparna hade samlat in 50 förhandssignerade auktoriseringar, vilket räckte för att få Binances heta plånbok att delegera kontroll till ett eget så kallat sweeper-kontrakt. Kontraktet tömde sedan plånboken på tre minuter och 24 sekunder.

Fördelningen av det stulna sträckte sig över tio blockkedjor:

Binances vd Richard Teng bekräftade att angriparna utnyttjat EIP-7702-mekanismen. Bolaget pekade också på en komprometterad bärbar dator tillhörig en mjukvaruingenjör som del av intrångsvägen, och uppgav senare att ytterligare sårbarheter identifierats. En fullständig grundorsaksanalys hade ännu inte publicerats per den 30 oktober.

Vilka ligger bakom?

Analysföretagen TRM Labs och Chainalysis pekar båda ut TraderTraitor som ansvariga — en grupp med kopplingar till Nordkorea och som anses vara en del av det bredare Lazarus Group-nätverket. Attributeringen görs med hög konfidensgrad och bygger på en kombination av on-chain- och off-chain-mönster som liknar tidigare nordkoreanska kryptostölder, däribland KelpDAO-hacket i april 2026.

TRM Labs tekniska genomgång beskriver angreppet som en noggrant förberedd men i grunden klassisk blockkedje-exploit: missbruk av EIP-7702, förhandssignerade auktoriseringar och strukturerad penningtvätt via så kallade peel chains. Inget i denna analys pekar på att AI använts i den faktiska attacken.

Hur reagerade Binance och branschen?

Reaktionen var snabb, åtminstone delvis. Stablecoin-utgivarna Tether och Circle frös tillsammans omkring 3 miljarder dollar i stulna stablecoins inom loppet av ungefär en timme — Tether runt kl. 21:01 UTC, Circle runt 21:04 UTC. Ripple frös ytterligare cirka 40,5 miljoner dollar i RLUSD. Sammantaget var uppskattningsvis 2,7–3 miljarder dollar frysta eller under kontroll redan natten mot den 30 oktober.

Binance stoppade all handel och alla uttag som en försiktighetsåtgärd och återkallade hackarnas behörigheter i den komprometterade plånboken. Bolaget meddelade att användarnas medel är säkra och att börsen själv täcker samtliga förluster: "Binance will absorb the financial impact of these stolen funds, not our users." Enligt tillgängliga uppgifter hade Binance den 31 oktober återställt 90 procent av förlusterna, med plan att återuppta uttag den 1 november och publicera proof of reserves den 2 november. Den amerikanska Secret Service uppgavs arbeta med att spåra och återfå stulna tillgångar.

Marknaden reagerade direkt. Bitcoin föll med omkring 5 procent och sjönk under 80 000 dollar. Börsnoterade kryptobolag som Coinbase och Robinhood tappade också tydligt i värde.

Angriparna hade per den 30 oktober fortfarande kvar över 420 000 ETH och 18 270 BTC — tillgångar värda ungefär 2,4 miljarder dollar i okontrollerade plånböcker som utgivarna inte kan frysa. TRM Labs bedömer att nästa steg i penningtvätten sannolikt involverar cross-chain-broar, växlingstjänster och OTC-mäklare.

Var AI inblandat?

Här är det viktigt att skilja på vad som faktiskt är bekräftat och vad som härstammar från enskild rapportering.

Enligt New York Times ska Binance-hacket beskrivas som startskottet på en era där AI spelar en central roll i nordkoreansk cyberbrottslighet, och tidningens rapportering ska koppla penningtvätten efter attacken till automatiserade, AI-assisterade processer. AI-Magasinet har inte haft tillgång till NYT-artikeln i sin helhet och kan inte självständigt verifiera dessa specifika påståenden om just detta hack.

Det är en viktig distinktion, eftersom TRM Labs tekniska analys av Binance-attacken — den mest detaljerade oberoende genomgången som publicerats — inte nämner AI överhuvudtaget. Den beskriver angreppet som en mycket välplanerad men tekniskt sett konventionell blockkedje-exploit. Det utesluter inte att AI användes i delar av operationen som inte syns på kedjan, men det finns heller inget verifierat underlag som stöder påståendet specifikt för detta fall.

Den större bilden: Nordkorea och AI i cyberbrottslighet

Oavsett vad som gäller specifikt för Binance-hacket är det bredare mönstret tydligt dokumenterat av flera oberoende aktörer.

Säkerhetsföretaget CertiK uppger att nordkoreakopplade aktörer stod för omkring 2,06 miljarder dollar av alla kryptostölder under 2025 — 60 procent av det totala beloppet det året. TRM Labs rapporterar ytterligare 643 miljoner dollar i nordkoreakopplade kryptostölder under första halvåret 2026, vilket enligt företaget motsvarar 66 procent av alla kända hackingförluster globalt den perioden.

På AI-fronten finns konkreta, verifierade exempel. Säkerhetsföretaget Expel har dokumenterat en kampanj kallad HexagonalRodent, där nordkoreanska hackare använt AI-verktyg för att skriva skadlig kod, bygga falska företagswebbplatser och utforma phishing-lockbeten — framför allt falska jobberbjudanden riktade mot mjukvaruutvecklare. Kampanjen kopplas till stölder på omkring 12 miljoner dollar över tre månader. Säkerhetsforskare vid Genians har separat rapporterat att den nordkoreakopplade gruppen Kimsuky kör egna, offline-körda språkmodeller och använder generativ AI för att producera phishing-dokument riktade mot kryptovaluta- och fintechbolag.

Men det är också värt att hålla fast vid ett faktum som oberoende säkerhetsanalytiker återkommande betonar: social manipulation — falska jobbintervjuer, infiltrerade utvecklare, komprometterade anställda — är fortfarande det dominerande angreppssättet i de flesta stora kryptostölder. AI är ett verktyg som förstärker dessa metoder, inte en ersättning för dem.

Vad betyder det framåt?

Binance-hacket blottlägger en specifik sårbarhet: nya protokollfunktioner som EIP-7702, utformade för att göra plattformar mer flexibla, kan också introducera angreppsytor som ingen förutsett. Det är ett strukturellt problem som drabbar hela ekosystemet, inte bara en aktör.

I takt med att AI-drivna verktyg blir billigare och mer kapabla — för kodgenerering, social manipulation och automatiserad penningtvätt — väntas fler aktörer, både statliga och kriminella, integrera dem i finansiella attacker. Samtidigt accelererar investeringarna på försvarssidan: detektering av ovanliga transaktionsmönster i realtid, automatiserad hotanalys och AI-driven identifiering av komprometterade plånböcker är områden där flera säkerhetsbolag nu konkurrerar. I vår genomgång av AI-verktyg för cybersäkerhet går vi igenom vilka lösningar som faktiskt är i drift och vad de klarar av.

Det som gör Binance-fallet så svårsmält är inte bara skalan. Det är kombinationen: en noga förberedd attack, en relativt ny och ofullständigt granskad protokollfunktion, och en angripare som uppenbarligen hade gott om tid och resurser att planera. Att Binance sedan kan täcka förlusterna ur egen ficka säger något om börsens storlek — men ingenting om hur nästa offer ser ut.