Da krypto blev banken: indefrysningen efter rekordhacket

Den 29. oktober 2026, kort efter klokken 20 UTC, begyndte penge at forlade verdens største kryptobørs hurtigere, end nogen kunne nå at reagere. På omkring tyve minutter forsvandt mere end seks milliarder dollar, cirka 43 milliarder kroner, ud af Binances wallets på ti forskellige blockchains. Det var ikke et smart contract, der svigtede. Det var børsens egen signeringsmaskine, der blev vendt mod den selv.

I ti år har kryptos post-mortem-kultur stillet det samme spørgsmål efter hvert hack: hvad gik galt i koden, og hvem skriver obduktionen? Men svaret på det største tyveri i branchens historie blev ikke en køligt formuleret teknisk rapport. Det blev en indefrysning. Inden for tre minutter trykkede to amerikanske selskaber på en knap, som de fleste brugere ikke vidste fandtes, og låste milliarder fast. Den knap, viste det sig, er den samme nødbremse, banker har brugt i årtier. Det rejser et ubehageligt spørgsmål for en branche, der blev bygget på løftet om, at ingen skulle kunne røre dine penge.

Tyve minutter, seks milliarder dollar

Angrebet begyndte klokken 20.05 UTC med en overførsel på XRP Ledger. Få minutter senere, omkring 20.20, ramte det Ethereum og Bitcoin, og 20.24 gik den store Ethereum-transaktion igennem med 64 overførsler i træk. Da støvet havde lagt sig, var regnskabet svimlende. TRM Labs opgjorde tabet til cirka 6,36 milliarder dollar og kaldte det det største hack i historien, langt større end de 1,5 milliarder dollar, samme nordkoreanske gruppe stjal fra Bybit i februar 2025.

Tabet var spredt over ti kæder: omkring 3,8 milliarder dollar i ether, 1,5 milliarder i Bitcoin (18.270 BTC), 628 millioner på TRON, 296 millioner i XRP, 96 millioner på Solana og mindre beløb på Arbitrum, Optimism, Base, Avalanche og Polygon. Sikkerhedsfirmaet Blockaid, der opdagede angrebet med AI-drevne modeller, beskrev det som det største tyveri i kryptohistorien.

Markedet reagerede prompte. Bitcoin faldt omkring fem procent til under 80.000 dollar i timerne efter meldingen, og aktier i børsnoterede kryptoselskaber som Coinbase og Robinhood tabte terræn. For en branche, der havde brugt efteråret på at tale om institutionel modenhed, var det et ubarmhjertigt øjeblik: det største regnestykke nogensinde stod på den forkerte side af bogen.

EIP-7702: da en opgradering blev et kapervåben

Det tekniske hjerte i angrebet var en Ethereum-funktion ved navn EIP-7702, eller Set Code for EOAs, der blev aktiveret med Pectra-opgraderingen den 7. maj 2025. Funktionen lader en almindelig wallet midlertidigt låne smart-contract-kode uden at skifte adresse, tænkt til nyttige ting som at samle flere transaktioner i én, lade andre betale gas eller oprette nøgler med begrænsede rettigheder.

Angriberen vendte den logik om. For at slå den konstant stigende nonce fik vedkommende Binances signeringssystem til at producere 50 EIP-7702-autorisationer på forhånd, én for hver nonce fra 18.914.775 til 18.914.824. Hver autorisation bar en ægte Binance-signatur, og ingen af dem kunne forfalskes. En wallet finansieret gennem Tornado Cash indsendte dem og forvandlede en Binance hot wallet til en sweeper, som angriberen styrede.

Her ligger pointen, der gør hændelsen til et vendepunkt: delegationen krævede gyldige signaturer fra Binances egen konto. Som TRM Labs vurderede, kontrollerede angriberen selve signeringspipelinen, ikke en enkelt sivet privatnøgle; Binance tabte seks milliarder dollar uden at miste en nøgle. Co-CEO Richard Teng beskrev det bagefter som en multi-signatur-protokol kaldet EIP-7702. Og fordi tilladelsen lå direkte på Ethereum, var det nytteløst at standse udbetalinger: pengene kunne stadig trækkes ud.

Den kompromitterede laptop og manden der aldrig blev ansat

Hvordan trænger nogen ind i et af verdens mest bevogtede signeringssystemer? Binance meldte først, at angrebet var kommet via en softwareingeniørs kompromitterede laptop. Det fulde billede, der tegnede sig i dagene efter, var værre: måneders forberedelse, falske jobsamtaler med video-opkald og skadelig software plantet på en medarbejders enhed, indtil angriberen kunne nå fra en DevOps-laptop videre til den service-container, der taler med hot wallet-signeren.

Efterforskerne var hurtigt enige om, hvem der stod bag. FBI, TRM Labs og analysefirmaet Elliptic pegede alle på TraderTraitor, en undergruppe af Nordkoreas Lazarus Group og den samme aktør, der tømte Bybit for 1,5 milliarder dollar halvandet år tidligere. Nordkorea afviste: den 3. november udsendte Kim Yo Jong en benægtelse gennem det statslige nyhedsbureau KCNA. Men sporet i blockchainen fortalte sin egen historie.

Det er værd at dvæle ved, hvor angrebet faktisk begyndte. Ikke i en linje Solidity, men i en ansættelsesproces. Den sårbarhed, der kostede 43 milliarder kroner, var et menneske, der troede, det talte med en rekrutterer eller en kollega. Det er samme mønster, HOGE Wire har beskrevet i sagen om den opdigtede direktør og det falske CV: infiltration gennem HR, ikke gennem koden. Post-mortemet for den slags hack kan ikke pege på en commit. Det må pege på en samtale.

Tre minutter senere: da Tether og Circle trykkede på knappen

Mens pengene stadig bevægede sig, reagerede dem, der kunne. Klokken 21.01 UTC, mindre end en time inde i angrebet, begyndte Tether at fryse wallets. Circle fulgte efter tre minutter senere, 21.04. Klokken 22.06 blokerede Tether direkte Binances kaprede hot wallet, og 23.53 gjorde Circle det samme. To private selskaber greb ind i realtid mod et statsstøttet angreb, før nogen domstol havde sagt et ord.

Beløbene var ikke små. Tilsammen frøs udstederne omkring tre milliarder dollar, cirka 20 milliarder kroner (Binance opgjorde det til godt tre milliarder, Chainalysis til cirka 2,8 og TRM Labs til cirka 2,7). Tether oplyste senere, at selskabet havde låst 1,5 milliarder USDT, og Circle, at det havde frosset 1,1 milliarder USDC. Ripple bidrog med omkring 200 millioner dollar, og Arbitrums Security Council flyttede cirka 30 millioner i ether og ARB væk fra angriberens adresser.

Angriberen vidste, hvad der kom. For at undslippe sortlisterne blev de stjålne midler straks spredt ud over cirka 12.000 wallets, et forsøg på at bevæge sig hurtigere, end udstederne kunne klikke. Den kamp, mellem en fryseknap og en spreder, blev efterårets egentlige obduktion.

Hvad en indefrysning i virkeligheden er

For at forstå, hvad der skete, må man vide, hvad en stablecoin er. En USDT eller en USDC er ikke en neutral token som Bitcoin. Den er et gældsbevis udstedt af et selskab, dækket af dollar på en bankkonto. Og inde i kontrakten ligger en funktion, de fleste brugere aldrig tænker på: en sortliste. Med et enkelt kald kan udstederen fastfryse en adresse, så dens tokens bliver stående for evigt, men aldrig kan flyttes igen.

Det er ikke en fejl, nogen glemte at fjerne. Det er bygget ind med vilje. Tether og Circle har i årevis brugt sortlisten mod svindlere, mod adresser på amerikanske sanktionslister og efter retskendelser. Det nye i oktober var skalaen. Mod Binance-angriberen blev fryseknappen trykket i industrielt omfang, og den reddede milliarder, der ellers var tabt.

Dermed står et ubekvemt faktum klart: den token, der dominerer kryptohandel verden over, har en indbygget afbryder, som ét selskab styrer. Det er på én gang systemets stærkeste værn mod tyveri og dets største afvigelse fra sit eget ideal. En stablecoin er kun fri, så længe ingen vælger at fryse den.

Masken faldt: da krypto opførte sig som en bank

Reaktionen blev hurtigt en kulturkamp. Teknologimediet Gizmodo opsummerede den skarpt: masken var faldet, og kryptobranchen havde reageret på det største hack nogensinde ved at opføre sig som en bank. Det, der i årevis var blevet udråbt som netop den magt, krypto skulle gøre overflødig, blev nu branchens redning.

Kritikerne lod ikke vente på sig. Izabella Kaminska, grundlægger og redaktør af The Blind Spot, stillede det nærliggende spørgsmål: var hele pointen med krypto ikke censurmodstand og umuligheden af, at nogen kunne konfiskere dine penge? Hvis aktiver kan fryses med et klik, mente hun, var det hele tiden bare endnu en udgave af traditionel finans.

Amanda Fischer, COO i tænketanken Better Markets, var inde på det samme: indefrysningerne skærer tværs igennem hele kryptoetos og låner fra præcis de centraliserede systemer, branchen påstår at være et alternativ til. Ironien er total. Det redskab, der inddrev milliarder i oktober, er samtidig det bedste bevis på, at kritikerne havde ret. Krypto kunne ikke på samme tid være ustoppeligt og reddes af en nødbremse.

THORChain og retten til ikke at adlyde

Hvor Tether og Circle adlød, nægtede en anden del af systemet. THORChain, et decentralt netværk til at bytte den ene kryptovaluta til den anden på tværs af kæder, blev angriberens motorvej. Gennem det kunne de aktiver, der ikke kan fryses, først og fremmest ether og Solana, veksles om til Bitcoin, væk fra udstedernes rækkevidde.

Myndighederne forsøgte at lukke vejen. FBI udsendte sammen med Secret Service og skattemyndighedens efterforskningsenhed en alarm, der bad private firmaer blokere de adresser, TraderTraitor brugte, og satte THORChains node-operatører øverst på listen. Men THORChain er permissionless. Der er ingen central compliance-afdeling, der kan trykke på en knap, og operatørerne har tidligere afvist at blokere udvalgte transaktioner.

Netværket kørte videre. Dets token RUNE steg omkring 10 procent, mens hvidvasken tog fart igen. Den 7. november havde angriberen vekslet 124 millioner dollar til 1.650 Bitcoin, og omkring 3,1 milliarder lå stadig i tilknyttede wallets. Her stod de to poler over for hinanden: en token-udsteder, der kan og gør det, og et protokol, der hverken kan eller vil.

Bitcoin, den eneste der ikke kan fryses

Grunden til, at angriberen omhyggeligt konverterer alt til Bitcoin, er enkel. Bitcoin har ingen udsteder. Der er ingen sortliste-funktion, intet security council, ingen knap. En bekræftet Bitcoin-transaktion kan ikke rulles tilbage af nogen, heller ikke af dem, der skrev koden.

Det er præcis det, der gør Bitcoin til på én gang det sikreste tilflugtssted for en hvidvasker og det reneste udtryk for kryptos oprindelige løfte. De to ting er uadskillelige. Man kan ikke bygge et netværk, ingen kan standse, og så forvente, at det standser de forkerte.

Da Lorenzo Valente fra kapitalforvalteren ARK Invest luftede tanken om, at tilbageførsler (rollbacks) kunne være en fremtidig mulighed, mødte forslaget kraftig modstand, netop fordi Bitcoins uforanderlighed er hele pointen. Et Bitcoin, der kan rulles tilbage efter et tyveri, kan rulles tilbage efter hvad som helst, og så er det ikke længere Bitcoin.

Hacket tegnede dermed en skarp streg gennem kryptouniverset. På den ene side de aktiver, der kan fryses: stablecoins og visse Layer 2-netværk, hvor nogen holder en nøgle. På den anden side de aktiver, der ikke kan: Bitcoin og ether på base-laget. Afbryderen findes kun, hvor nogen holder nøglen til den.

Obduktionen der blev skrevet med fryseknapper

Kryptos post-mortem-genre lærte af to forældre: Googles SRE-kultur gav den struktur, den køligt formulerede og skyldfri rapport, og spilbranchens gamle Postmortem-spalte gav den den offentlige, bekendende stemme. Men obduktionen af det største hack nogensinde blev ikke skrevet i den form. Der kom ingen samlet Binance-rapport med en tidslinje og en liste over, hvad der gik galt.

Den blev skrevet i realtid og af andre hænder. I fryse-transaktionerne fra Tether og Circle. I FBI’s liste over adresser. I Arbitrum-rådets governance-forslag. Selve årsagsanalysen, at det var en kompromitteret signeringsmaskine og ikke en kodefejl, kom i brudstykker fra TRM Labs og Blockaid, ikke fra børsen selv. Binance meldte først om en ingeniørs laptop og udfyldte billedet senere; krisekommunikation før obduktion.

Det er pointen, kryptos post-mortem-kultur hele tiden har levet på: obduktionen træder i stedet for den retsforfølgelse, et offer sjældent får. Efter Binance-hacket var substitutionen bogstavelig. Ingen domstol frøs pengene. To selskabers admin-nøgler gjorde.

• Den egentlige årsag lå i menneskene og infrastrukturen omkring koden, ikke i en smart contract.
• Redningen kom fra centraliserede aktører (udstedere, børs, Layer 2-råd), ikke fra protokollen selv.
• Det meste af obduktionen blev skrevet af tredjeparter: analysefirmaer, efterforskere og journalister, ikke af den ramte.

Mønsteret er ikke tilfældigt. I første halvår af 2026 kom omkring 76 procent af den stjålne værdi fra kompromitterede nøgler, drift og infrastruktur, ikke fra fejl i selve koden, selv om kodefejl stadig udgjorde flertallet af hændelserne. Den offentlige obduktion er god til at dissekere en contract, man kan læse on-chain. Den er dårlig til at dissekere en samtale på Telegram eller en laptop i et hjemmekontor. Binance-hacket var hele den udvikling kogt ned til én nat.

To hacks på én uge: Mercado Bitcoin og det brasilianske ekko

Fire dage efter Binance ramte det igen. Mercado Bitcoin, Brasiliens største kryptobørs, mistede omkring 46 millioner dollar, cirka 310 millioner kroner, natten til den 2. november. Tabet var spredt over mindst ti blockchains, og hver eneste overførsel bar en gyldig signatur. Samme form som Binance, bare i mindre skala: nøgler, ikke kode.

Og samme svar. Tethers direktør Paolo Ardoino bekræftede, at selskabet havde frosset mere end 4,5 millioner USDT knyttet til hændelsen. Mercado Bitcoin genåbnede gradvist fra den 9. november og forsikrede, at ingen kunde havde mistet en øre. Fryseknappen var igen den første forsvarslinje.

Sæt de tre store efterårshacks op ved siden af hinanden, og et mønster tegner sig. Bitget i september (omkring 387 millioner dollar), Binance i oktober (6,36 milliarder) og Mercado Bitcoin i november. Hver gang var det ikke en audit, en bug bounty eller en DAO-afstemning, der afgjorde udfaldet. Det var, om nogen kunne nå at trykke på afbryderen, og hvor stor en kasse de havde bag sig.

Hvem betaler, og hvem står tilbage med ingenting

Binance dækkede hele tabet. Co-CEO Richard Teng forsikrede fra scenen ved Hong Kong Fintech Week, at børsen var i meget stærk finansiel sundhed, og at ingen kunder ville miste penge. Midlerne kom fra Secure Asset Fund for Users (SAFU), fra en forsikringsfond for futures, fra en Bitcoin-reserve og fra selskabets egen kasse. Inden for få dage havde Binance genopfyldt mere end 90 procent af det stjålne, og kort efter over 95 procent.

Det er den store børs’ privilegium: en balance stor nok til at sluge 43 milliarder kroner uden at vakle. Men privilegiet er ikke fordelt ligeligt. En DeFi-protokol uden en kasse, et selvforvaltet wallet, en bruger ramt direkte, har ingen fond at trække på og ingen udsteder til at fryse for sig. For dem findes der ingen SAFU.

Afbryderens placering afgør, hvem der reddes. Og ansvaret er lige så ujævnt fordelt. Når en DAO står bag en ramt protokol, er det ikke altid klart, hvem der overhovedet kan holdes til ansvar, et spørgsmål HOGE Wire har fulgt i Lido-sagen om personligt ansvar i en DAO. Tabellen nedenfor viser, hvor i kæden afbryderen sidder, og hvor lidt en almindelig bruger kan stille op, jo længere mod det decentrale ideal man bevæger sig.

Det danske perspektiv: MiCA, Finanstilsynet og grænsen for indefrysning

For en dansk sparer melder spørgsmålet sig: hvad kan myndighederne her gøre? Siden 30. december 2024 har MiCA-forordningen reguleret kryptobørser og udstedere (CASP’er) i hele EU, og det er Finanstilsynet, der udsteder licenserne i Danmark. I løbet af 2026 er navne som Danske Penning og Firi kommet igennem den proces.

Men MiCA rammer tjenesteudbyderen, ikke protokollen. En decentral konstruktion som THORChain falder uden for, og Finanstilsynet har selv understreget, at fuldt decentraliserede tjenester ligger uden for reglerne; dedikerede DeFi-rammer ventes først i 2027 eller 2028. DORA, der har været i kraft siden 17. januar 2025, pålægger regulerede CASP’er at indberette alvorlige hændelser hurtigt, første melding inden for timer og en endelig rapport inden for en måned, men stiller ingen krav til kodegennemgang og rammer heller ikke DeFi.

Binance er ikke licenseret som CASP i EU på samme måde, og i Storbritannien åbnede FCA en undersøgelse, selv om børsen ikke er registreret der. For brugeren betyder det noget ganske konkret: den reelle beskyttelse efter hacket kom fra Tethers og Circles frivillige indefrysning, ikke fra et tilsyn. Et privat selskabs beslutning, ikke en myndigheds, afgjorde, om pengene blev reddet.

Og den danske sikkerhedsmodel rækker ikke hertil. Garantiformuen dækker indskud i banker op til omkring 750.000 kroner, men ikke kryptoaktiver på en børs. Kronen er bundet til euroen gennem Nationalbankens fastkurspolitik, så en dansk bruger mærker globale kryptochok gennem EUR/USD, mens der ingen statsgaranti er bag en kryptobørs. Da Bitcoin faldt efter hacket, var det en del af det samme makrobillede, HOGE Wire har beskrevet, da guld og Bitcoin begge tabte til dollaren. Og hvor grænsen går for, hvornår en token overhovedet bliver et reguleret værdipapir, som Finanstilsynet kan nå, er en diskussion i sig selv, som vi har fulgt fra NFT til ISIN.

Afbryderen er også en bagdør

Her ligger den egentlige lektie. Den afbryder, der reddede milliarder i oktober, er den samme magt, der kan vendes mod dig. En udsteder, der kan fryse en tyvs adresse, kan fryse din, hvis en retskendelse, en sanktion eller bare en fejl peger på den. Et security council, der kan tilbageføre et angreb, er et council, der kan tilbageføre en handel, nogen ikke bryder sig om. Governance kan være en livline, som da et veto reddede Compounds DAO fra et stemmekup, men den samme magt kan lige så let misbruges.

Binance-angrebet viste begge sider på én gang. Den EIP-7702-delegation, der blev kapret, var selv en tilladelse, et account abstraction-redskab bygget for at gøre wallets smartere og mere fleksible. I de forkerte hænder blev den til et kapervåben. Afbryderen og bagdøren var det samme stykke kode; det afhang kun af, hvem der holdt nøglen.

Krypto har brugt ti år på post-mortems, der dissekerer koden linje for linje. Men den obduktion, efteråret 2026 fremtvinger, handler slet ikke om en bug. Den handler om magt: hvem der holder nøglerne til at standse pengene, hvem der tør bruge dem, og om en branche, der blev grundlagt for at afskaffe netop den slags magt, nu ikke kan undvære den. Da krypto havde mest brug for en nødbremse, greb den efter bankens. Spørgsmålet, resten af årtiet skal besvare, er, om den nogensinde giver slip igen.

Ofte stillede spørgsmål

Hvor mange penge mistede Binance i hacket i oktober 2026?

Omkring 6,3 til 6,4 milliarder dollar, cirka 43 milliarder kroner, på tværs af ti blockchains. TRM Labs opgjorde tabet til cirka 6,36 milliarder dollar og kaldte det det største kryptotyveri nogensinde. Binance dækkede hele tabet med egne midler, og ingen kunder mistede penge.

Hvad er EIP-7702, og hvordan blev det brugt i angrebet?

EIP-7702 (Set Code for EOAs) er en Ethereum-funktion fra Pectra-opgraderingen i maj 2025, der lader en almindelig wallet midlertidigt køre smart-contract-kode. Angriberen fik Binances signeringssystem til at underskrive 50 autorisationer på forhånd og forvandlede en hot wallet til en sweeper. Det krævede kontrol over selve signeringsmaskinen, ikke en enkelt stjålet privatnøgle.

Kan stablecoins som USDT og USDC virkelig fryses?

Ja. Både Tether (USDT) og Circle (USDC) har en sortliste-funktion bygget ind i deres kontrakter, der lader udstederen gøre en adresses tokens ubevægelige. Efter Binance-hacket frøs de tilsammen omkring tre milliarder dollar. Bitcoin og ether på base-laget har ingen udsteder og kan ikke fryses.

Hvorfor konverterede angriberen de stjålne midler til Bitcoin?

Fordi Bitcoin ikke kan fryses. Der er ingen udsteder, ingen admin-nøgle og intet security council til at rulle en transaktion tilbage. Angriberen brugte det decentrale netværk THORChain til at veksle de ufrysbare aktiver om til Bitcoin, på trods af en advarsel fra FBI.

Hvad kan Finanstilsynet gøre for en dansk bruger ramt af et kryptohack?

Begrænset. MiCA og Finanstilsynet regulerer kryptobørser og udstedere (CASP’er), men ikke decentrale protokoller, og indskydergarantien dækker ikke kryptoaktiver. I praksis kom beskyttelsen efter Binance-hacket fra Tethers og Circles frivillige indefrysning, ikke fra et tilsyn. Dedikerede DeFi-regler ventes først i 2027 eller 2028.

Marcus Okafor dækker kryptokultur, sikkerhed og den nordiske reguleringsscene for HOGE Wire.