Binance förlorade 6,3 miljarder dollar i rekordstora kryptostöld

En av de största enskilda digitala stöldarna i historien har avslöjat en skrämmande sårbarhet i hur tekniktalanger rekryteras och hanteras. Den 29 oktober 2026 drabbades kryptobörsern Binance av en uttömning av dess plånbokssystem som kostade företaget cirka 6,34 miljarder dollar. Bakom attacken står inte en ny sårbarhet i kryptografi eller ett komplext nätverksintrång, utan klassisk social engineering kombinerad med avancerat spionprogramvara. Det är en påminnelse om att den mänskliga faktorn ofta är det svagaste länket, även för världens största techföretag.

Vad som hände

Enligt Binances incidentrapport inleddes infiltrationsförsöket redan i september. En programvaruingenjör på Binance kontaktades via en legitim rekryteringsplattform av personer som utgav sig för att vara en projektchef och HR-representant på ett fiktivt bolag. Attackerna, som FBI har tillskrivit den nordkoreanska gruppen TraderTraitor (även känd som Lazarus Group), var noggrant planerade. Den falske rekryteraren använde levande videomöten och delade personliga sociala mediekonton för att bygga förtroende innan de arrangerade en andra intervju via en chattapplikation.

Under den andra "intervjun" instruerades ingenjören att ladda ner en kodbaserad uppgift från ett online-kodarkiv. Arkivet innehöll skadlig kod som, vid körning, infekterade den anställdas dator med tidigare okänd malware. Programvaran var utformad för att undvika detektion av antivirusprogram genom avancerad obfuskering. Specifikt ersatte skriptet en legitim komponent i macOS-pakethanteraren Homebrew – verktyget pyenv – med en ondskefull version döpt till pyenv_. Detta möjliggjorde för hackarna att köra kommandon från en extern server och etablera en backdörr. Till den 20 oktober hade angriparna, via den komprometterade datorn och ett internt AI-verktyg, fått tillgång till inloggningsuppgifter och behörigheter för två ytterligare medarbetare som arbetade med plånboksinfrastrukturen. Slutligen användes dessa behörigheter den 29 oktober för att deploya skadliga skript mot Binances signerings tjänst, vilket ledde till massuttag av kryptovalutor över flera blockkedjor.

Teknisk analys

Det mest alarmerande med detta fall är inte bara stöldens omfattning, utan hur attackvektorn utnyttjade moderna utvecklingspraxis. Hackarna ersatte pyenv, ett verktyg som ofta används för att hantera Python-versioner i utvecklingsmiljöer, med en trojansk häst. Genom att modifiera symboliska länkar och dölja den legitima filen skapades en beständig backdörr som integrerades djupt i operativsystemets pakethanteringsstruktur.

Enligt Binance utnyttjade malwaren noll-day-tekniker och maskerade sin aktivitet genom att radera spår efter komprometteringen. Det kritiska steget var dock övergången från en enskild arbetsstation till kritisk infrastruktur. Angriparna utnyttjade ett internt AI-verktyg för att eskalera privilegier och kringgå säkerhetsprotokoll. Detta visar på en farlig koppling mellan produktivitetshöjande AI-assistenter och operativsäkerhet: om input till AI:n är komprometterad, eller om AI:n har för breda behörigheter i produktionssystem, kan den bli ett verktyg för angripare snarare än en försvarsmur. Att hackarna även utnyttjade EIP-7702 (en Ethereum-standard för kontoutgivande) för att fortsätta stölden även efter att uttag hade suspenderats vittnar om djup teknisk kunskap om blockkedjeteknik.

Nordisk kontext och regulatoriska konsekvenser

Även om Binance är ett globalt företag med stark närvaro i Europa, påminner händelsen om de strikta krav som DORA (Digital Operational Resilience Act) ställer på finansiella aktörer inom EU. Regleringen kräver att företag identifierar, hanterar och begränsar operativa IT-risker. Att en social engineering-attack kunde leda till en förlust av denna magnitud väcker frågor om tillräckligheten i nuvarande "human firewall"-åtgärder.

För svenska och nordiska fintech-företag blir det tydligt att traditionell IT-säkerhet inte längre räcker. Fokus måste flyttas från enbart tekniska kontroller till omfattande utbildning i social engineering, särskilt riktad mot rekryteringsprocesser. Att medarbetare som är i jobbletande fas eller som söker nya utmaningar ofta har en öppen inställning till externa kontakter gör dem till primära mål för attacker av typen "Contagious Interview". Nordiska företag bör granska hur internt AI-verktyg och DevOps-miljöer isoleras, samt säkerställa att behörighetsprincipen "least privilege" strikt följs även för interna verktyg som hanterar kryptografiska nycklar.

Vad händer härnäst

Binance har inlett en omfattande sanering av sina system. Företaget har bytt ut komprometterade enheter, återställt drabbade system och återkallat stulna inloggningsuppgifter. Enligt co-CEO Richard Teng har 98 procent av de påverkade tillgångarna återställts via företagets egna reserver, och cirka 2,85 miljarder dollar av de stulna medlen har fryst eller blockerats i blockkedjorna per den 3 november. Oavhänga säkerhetsföretag har anlitats för att granska incidenten.

Denna händelse kommer sannolikt att leda till en hårdare ton från regulatorer gällande hur kryptobörser hanterar mänskliga sårbarheter. Vi kan förvänta oss ökad efterfrågan på specialiserad utbildning i social engineering-försvar och mer rigorös granskning av tredjepartsrekryteringsflöden. För utvecklare innebär det en påminnelse om att aldrig köra kod från okända källor, även om den presenteras som en del av en legitim rekryteringsprocess. I en tid där AI-verktyg integreras djupare i utvecklingspipelines, blir säkerheten i dessa verktygs kedja lika viktig som säkerheten i själva applikationen.