Angrepet på Binance i oktober 2026, med anslåtte skader på 6,3 milliarder dollar, markerer det største tyveriet i kryptovalutahistorien. Teknisk analyse avslører at inngangspunktet ikke var en stjålet privatnøkkel, men snarere kompromittering av en DevOps-bærbar PC og misbruk av den nye Ethereum-signaturdelegeringen EIP-7702. Denne saken illustrerer et strukturelt dilemma: jo større og mer likvid en børs er, desto mer attraktiv og kompleks blir angrepsflaten – og desto vanskeligere er det å sikre signaturkjeden fullt ut.
Angrepsvektoren: Fra bærbar PC til hot wallet
Ifølge nåværende informasjon kompromitterte angriperne den bærbare datamaskinen til en Binance DevOps-ingeniør. Denne tilgangen tillot dem å infiltrere en tjenestecontainer og starte uautoriserte uttakstransaksjoner. Binance understreker at det ikke finnes bevis for en lekkasje av en privat nøkkel. Sikkerhetsfirmaet Blockaid bekrefter denne vurderingen og beskriver angrepet som et kompromiss av «signaturinfrastrukturen» – angriperne fikk ikke tak i nøklene selv, men snarere muligheten til å manipulere transaksjonsautorisasjonssystemet.
Det virkelige tekniske trikset lå i å utnytte EIP-7702, en Ethereum-forbedring som, siden Pectra-oppgraderingen, lar kontoer delegere kontrollen sin til smart kontraktskode. Angriperne pakket 50 EIP-7702-autorisasjoner inn i én enkelt Type 4-transaksjon, alle adressert til den aktive lommeboken «Binance 14», og alle pekte mot den samme angriperkontrakten. Fordi angriperne ikke kjente lommebokens nåværende nonce-verdi – lommeboken foretok stadig uttak – sendte de 50 autorisasjoner for forskjellige nonce-verdier. Nøyaktig én samsvarte med riktig nonce og ble gyldig.
Effektiviteten er bemerkelsesverdig: i løpet av sekunder ble omtrent 2,7 milliarder dollar trukket ut fra den aktive lommeboken. Transaksjonen så i utgangspunktet ut til å være en intern lommebokmigrering, ettersom målkontoen var nyopprettet og midlene ikke ble flyttet i utgangspunktet. Bare finansieringen av angriperens adresse via Tornado Cash-mikseren og den påfølgende distribusjonen av tokenene til dusinvis av adresser avslørte angrepet.
Begrense skaden: Frysing av stablecoins som en livline
En strukturell forskjell fra tidligere hacking av børser ligger i den delvise gjenopprettingen av midler. Tether og Circle frøs over 2,5 milliarder dollar i USDT og USDC i løpet av en time. Disse sentraliserte stablecoin-utstederne har den tekniske kapasiteten til å svarteliste adresser – en mekanisme som ikke finnes for desentraliserte eiendeler som ETH eller BTC.
Ironien i denne redningen er strukturell: jo mer desentralisert en eiendel er, desto mer ugjenvinnbar er den etter et tyveri. De 197 460 ETH-ene som angriperen beholdt, er ifølge analyse på kjeden praktisk talt ugjenvinnbare. De "tryggere" desentraliserte eiendelene viser seg å være de mindre sikre i en krise.
Hvorfor kryptovalutabørser fortsatt er strukturelt sårbare
Den tekniske analysen av Binance-saken avdekker flere systematiske sårbarheter som strekker seg utover den spesifikke hendelsen.
Først, signaturkjeden som en neglisjert angrepsflate. Blockaid-sjef Ido Ben-Natan understreker at angrepet ikke var basert på en stjålet nøkkel, men på å kompromittere systemet som autoriserer transaksjoner. Sikkerhetsfirmaet Check Point uttrykte det presist: Hendelsen understreker behovet for å «beskytte hele autorisasjonskjeden for operasjoner» – fra enhetene til privilegerte ansatte til tjenestene som validerer og utfører instruksjonene deres. Hvert ledd i denne kjeden er et potensielt inngangspunkt.
For det andre er det den iboende eksponeringen for «hot wallets» («hot wallets»). Børser må ha internettilkoblede «hot wallets» («hot wallets») for den daglige driften. Disse er per definisjon sårbare. Selv om børser bruker flerlagsarkitekturer med «cold wallets» («kalde lommebøker») for de fleste aktiva, nødvendiggjør det operative behovet for raske uttak eksistensen av sammenkoblede systemer. Binance 14-angrepet med «hot wallet» var rettet mot nettopp denne mest utsatte komponenten.
For det tredje, kompleksiteten i avhengighetskjeden. Angrepet utnyttet EIP-7702, en relativt ny Ethereum-funksjon hvis sikkerhetsmessige implikasjoner kanskje ikke er fullt ut forstått ennå. Integrering av nye protokollstandarder i eksisterende signaturinfrastrukturer skaper angrepsflater som ofte ikke kan forutses fullt ut på implementeringstidspunktet.
For det fjerde, den uunngåelige menneskelige feilen. Inngangspunktet var en DevOps-bærbar PC. Uansett hvor sofistikert det kryptografiske systemet er, kan det ikke beskytte mot at en privilegert ansatt blir kompromittert gjennom phishing, skadelig programvare eller sosial manipulering. Angriperne ventet tålmodig og handlet i det optimale øyeblikket – et mønster som allerede ble sett i Binance-hacket i 2019, da gjerningsmennene «hadde tålmodighet til å vente» og orkestrerte handlingene sine gjennom tilsynelatende uavhengige kontoer.
For det femte, insentivstrukturen. Binance har omtrent 144 milliarder dollar i klientmidler, ifølge estimater fra DefiLlama. Et vellykket angrep på bare en brøkdel av dette ville overstige den totale verdien av alle tidligere aksjemarkedsran. Å konsentrere eiendeler i noen få sentrale depotinstitusjoner skaper mål med et enestående kostnad-til-belønningsforhold.
Klassifisering: Ikke et unntakstilfelle, men et strukturelt trekk
Binance-hacket i 2026 er en del av en kontinuitet som strekker seg fra Mount Gox i 2014, via Binance-hacket i 2019 (7.000 BTC, dekket av SAFU-fondet), til Bybit i 2025 (1,5 milliarder amerikanske dollar). Den teknologiske utviklingen – fra enkle phishing-angrep på API-nøkler i 2019 til manipulering av signaturinfrastrukturen via EIP-7702 i 2026 – demonstrerer den økende sofistikeringen av angripere, som holder tritt med kompleksiteten i utvekslingssystemer.
Binance sier at de vil dekke hele tapet fra egne ressurser og SAFU-fondet. Hendelsen demonstrerer også den økende økonomiske robustheten til den største børsen: et estimert tap på 6,3 milliarder dollar representerer mindre enn fem prosent av klientmidlene som holdes i forvaring. Den tekniske lærdommen er imidlertid fortsatt ubeleilig: så lenge børser opererer sentralisert forvaring med internett-tilkoblede operasjonssystemer og menneskelige administratorer, vil signaturkjeden forbli det svakeste leddet – og den neste innovasjonen innen protokolldesign vil skape den neste angrepsflaten.
