Obduktionen återvänder till börsen: Binance och DeFi-gapet

Den 29 oktober 2026, klockan 20:05 UTC, började pengar lämna Binance. På ungefär tjugo minuter flyttades krypto värt omkring 6,36 miljarder dollar, drygt 62 miljarder kronor, ut från börsens hot wallets och vidare över tio olika blockkedjor. Det var den största stölden som någonsin dokumenterats i någon form, ungefär fyra gånger så stor som Bybit-hacket året innan. Och ändå var den mening som betydde mest för en svensk Binance-kund inte siffran, utan ett löfte från bolaget: dina pengar är trygga.

Fyra dagar senare tömdes Mercado Bitcoin, Brasiliens största kryptobörs, på omkring 46 miljoner dollar, cirka 450 miljoner kronor, via samma sorts angrepp: giltiga signaturer, inte en bugg i koden. Också där kom samma besked. Vi täcker förlusten. Två av höstens största incidenter, båda på centraliserade börser, båda avslutade inte med en dödsruna utan med en återbetalning. Det vänder upp och ner på vad en post-mortem har betytt i krypto i tio år. Obduktionen håller på att flytta hem till börsen igen.

Tjugo minuter, 62 miljarder kronor, noll kundförlust

Enligt blockkedjeanalysföretaget TRM Labs var det inte ett fel i något smart kontrakt som dränerade Binance. Angriparen skaffade sig i stället förmågan att få börsens signeringssystem att signera precis de transaktioner som önskades, över kedja efter kedja. På Ethereum skedde det genom EIP-7702-delegering med femtio förhandssignerade auktoriseringar som dirigerade en hot wallet till ett sweeper-kontrakt. Pengarna rörde sig över tio nätverk samtidigt: Ethereum, Bitcoin, Tron, XRP Ledger, Solana, Arbitrum, Avalanche, Optimism, Base och Polygon.

Binances vd Richard Teng kallade EIP-7702 ett «multisignaturprotokoll», vilket inte riktigt stämmer. EIP-7702 är en standard för kontoabstraktion från Ethereums Pectra-uppgradering som låter en vanlig plånbok tillfälligt delegera kontrollen till kontraktskod, en funktion som på bara några månader har blivit ett av angriparnas favoritverktyg (hur det går till i detalj gick vi igenom i analysen av EIP-7702 som vapen). Poängen är att det inte fanns någon exploit att dissekera på kedjan. Transaktionerna var kryptografiskt giltiga. Börsen trodde först att allt började med en komprometterad laptop hos en av bolagets ingenjörer, och att angriparna hade förberett sig i minst 36 timmar.

Det anmärkningsvärda var inte bara storleken, utan reaktionen. Dagen efter meddelade Binance att bolaget skulle täcka alla förluster och att kundernas medel var trygga. Börsens interna försäkringsfond SAFU, värderad till omkring 1,2 miljarder dollar (cirka 12 miljarder kronor), räcker enligt CNBC till ungefär en tredjedel av de förluster som återstår efter frysningar. Omkring 2,7 miljarder dollar (drygt 26 miljarder kronor) i stablecoins och andra tillgångar frystes snabbt av utgivarna själva: Tether, Circle, Ripple, World Liberty Financial och Arbitrums Security Council. Angriparen sitter fortfarande på mer än 420 000 ETH och 18 270 BTC, ungefär 2,4 miljarder dollar, som ligger utom räckhåll för någon utgivare.

Läs den sista meningen en gång till. Den största stölden i historien, och den kris som kunden faktiskt mötte handlade om en garanti, inte om en obduktion. Så brukar inte en dödsruna i DeFi sluta.

Fyra dagar senare: Mercado Bitcoin och samma signatur

Den 2 november bekräftade Mercado Bitcoin, Brasiliens största kryptobörs, att omkring 46 miljoner dollar (cirka 450 miljoner kronor) hade dränerats över tio kedjor: Base, Optimism, Arbitrum, andra Ethereum-kompatibla nätverk, Bitcoin, Solana, Stellar och Tron. Bland tillgångarna fanns ungefär 106 BTC (runt 80 miljoner kronor), omkring 10 700 SOL och en rad stablecoins och altcoins. Enligt Tech Times utnyttjade angriparen inget fel i någon blockkedjas kod. De hade giltiga signeringsuppgifter, inte en sårbarhet.

Analytiker som CertiKs Dickson Wu och Arkham-analytikern Emmett Gallic pekade på samma sak: en transaktion kan vara fullständigt giltig på kedjan och ändå vara en stöld, om nycklarna som skapade den har hamnat i fel händer. Det fanns ingen etablerad koppling till Binance-hacket och ingen attribution till Mercado Bitcoin-incidenten när den blev känd. Men mönstret var identiskt, och svaret likaså: börsen lovade att täcka förlusten från sin egen balansräkning, vilket är ett åtagande från ett bolag, inte en försäkringsgaranti.

I Brasilien delas tillsynen mellan värdepappersmyndigheten CVM och centralbanken Banco Central under landets PSAV-ramverk, men varken börsen eller myndigheterna hade när det begav sig berättat vad licensgranskningen egentligen täckte. Två börser, en vecka, samma angreppssätt och samma utgång: bolaget äter förlusten. Det är så en stor kryptoincident ser ut 2026, och det ser helt annorlunda ut än den genre som gjorde post-mortem till kryptons mest hyllade kulturform.

Vad en post-mortem egentligen är

En post-mortem, på svenska ofta kallad obduktion, är den offentliga självgranskning ett team publicerar efter en incident. Den ska svara på fyra frågor: vad hände, varför kunde det hända, vad förlorades och vad görs nu. De bästa följer ett igenkännbart recept, lånat från Google SRE och dess «blameless postmortem»: en minut-för-minut-tidslinje, en teknisk grundorsak, länkar till de faktiska transaktionerna på kedjan och en konkret åtgärdslista. Formen har också en röst, och den rösten uppfann rekt.news, vars anonyma, nästan nekrologartade texter och ständigt uppdaterade topplista blev kryptons kollektiva minne och skampåle i ett.

Men formen är inte poängen. Poängen är varför krypto över huvud taget gjorde den offentliga obduktionen till en hel kulturform, när traditionell finans sällan publicerar något liknande. Svaret ligger i var genren föddes.

Obduktionen föddes i DeFi, av nödvändighet

DeFi hade inget bolag att stämma, ingen myndighet att klaga hos och ingen insättningsgaranti att falla tillbaka på. Koden var lag, och lagen var frånvarande. När ett protokoll tömdes fanns det ofta ingen juridisk väg alls till pengarna. I det vakuumet blev den offentliga obduktionen själva ansvarsmekanismen, och den enda «rättvisa» som stod till buds var ofta att angriparen frivilligt lämnade tillbaka bytet.

Arketypen är Euler Finance. I mars 2023 dränerades utlåningsprotokollet på cirka 197 miljoner dollar (runt 1,9 miljarder kronor) i ett flash loan-angrepp. Det som följde fanns inte i någon lagbok. Euler-teamet förhandlade med angriparen direkt på kedjan, erbjöd en bounty på tio procent och lät resten vara ett moraliskt argument. Angriparen svarade till slut med ett meddelande inbäddat i en transaktion, «No intention of keeping what is not ours», och lämnade tillbaka i princip allt. Obduktionen var rättsmedlet. DAO-omröstningen var rättssalen. Och utgången hängde på en främlings samvete.

Tre sätt att dö: Euler, Curve och Multichain

Euler fick tillbaka pengarna och byggde om. Men det är bara ett av tre möjliga slut i DeFi, och de andra två är mörkare. Curve Finance drabbades sommaren 2023 av ett fel som inte ens låg i protokollets egen kod, utan i ett reentrancy-skydd i kompilatorn Vyper. Mellan 50 och 70 miljoner dollar (ungefär 490 till 690 miljoner kronor) var i spel. En del återlämnades, och styrningen röstade igenom en ersättningsplan i CRV-token. Protokollet överlevde, men krympt, och ersättningen kom från en community-kassa, inte från någon garanti.

Det tredje slutet är det som ingen obduktion kan fånga. Bryggan Multichain tappade sommaren 2023 omkring 265 miljoner dollar (cirka 2,6 miljarder kronor) under omständigheter som Chainalysis beskrev som en möjlig insiderstöld. Bolagets vd hade gripits av kinesisk polis, och verksamheten lades ner permanent. Det skrevs aldrig någon post-mortem, av det enkla skälet att det inte fanns någon kvar att skriva den. Det är det värsta utfallet i hela genren: när teamet försvinner tar både obduktionen och varje chans till pengarna tillbaka slut samtidigt.

Här är det gemensamma för alla tre: ingenstans fanns en garanti. Om en DeFi-användare fick tillbaka sina pengar berodde det på en angripares samvete, en DAO-omröstning eller en finansiärs checkhäfte. Obduktionen var ibland det enda du fick, och ibland fick du inte ens den.

Börsens obduktion är en annan genre

En centraliserad börs som hackas skriver en helt annan sorts obduktion, för den har något DeFi aldrig hade: en balansräkning, en juridisk avdelning, en tillsynsmyndighet och en kundbas den vill behålla. Den första riktigt stora börsobduktionen kom i februari 2025, när Bybit förlorade omkring 1,5 miljarder dollar (cirka 14,7 miljarder kronor), fram till i höstas den största kryptostölden någonsin. Inte heller det var en bugg i ett smart kontrakt. Angriparen hade komprometterat gränssnittet hos Safe{Wallet} via ett angrepp i leveranskedjan, med skadlig JavaScript, och FBI pekade snabbt på Nordkoreas Lazarus-grupp.

Men det kulturellt avgörande var hur Bybits vd Ben Zhou hanterade det. I stället för tystnad valde han radikal transparens: liveuppdateringar timme för timme, och inom dagar publicerade forensiska rapporter från Sygnia och Verichains, plus en bounty på omkring 140 miljoner dollar för att spåra pengarna. Zhou sade i efterhand att hela linjen gick ut på att använda transparens och kommunikation för att ta bort tvivlen hos kunderna. Skillnaden mot DeFi var total. Bolaget förblev solvent, fortsatte handla och gjorde användarna hela. Obduktionen var kriskommunikation, forensik och ett soliditetsbevis, inte en vädjan till en anonym tjuv.

SAFU och balansräkningen: vem äter förlusten

En lönsam börs kan svälja en förlust på nio eller tio nollor ur egen kassa eller en försäkringsfond. Binance har SAFU, Bybit tog smällen på 1,5 miljarder dollar och fortsatte, Mercado Bitcoin täcker sina 46 miljoner från balansräkningen. Den avgörande variabeln är alltså inte riktigt «DeFi mot börs». Den är om det finns en solvent, identifierbar aktör som är villig att betala.

Det syns tydligast i DeFi:s «lyckliga» fall, där räddaren nästan aldrig var protokollet självt utan en rik finansiär. När bryggan Wormhole tömdes på 320 miljoner dollar (cirka 3,1 miljarder kronor) i februari 2022 var det inte protokollet som gjorde användarna hela, utan handelsfirman Jump Crypto, som ersatte hela beloppet på ungefär ett dygn. Samma mönster syns i spelvärlden: när Ronin, bron bakom Axie Infinity, förlorade 625 miljoner dollar (runt 6,1 miljarder kronor) i mars 2022, var det studion Sky Mavis som reste kapital och ersatte spelarna, inte en anonym kod. Ronin betedde sig som ett bolag därför att det fanns ett bolag bakom.

Mönstret är obekvämt entydigt. Finns det en djup, namngiven ficka blir användarna hela, och snabbt. Finns det ingen, som i rent ägarlöst DeFi, gör de det inte. Och den fickan är per definition centraliserad.

Den frusna miljarden: kryptons sociala nödbroms

Det finns ett andra sätt som börsobduktionen skiljer sig från DeFi-obduktionen, och det är minst lika viktigt som balansräkningen. Stora delar av Binance-bytet försvann aldrig på riktigt. Som nämnts frystes omkring 2,7 miljarder dollar av utgivarna själva, Tether, Circle, Ripple och World Liberty Financial, tillsammans med Arbitrums Security Council. Det är en spak som rent ägarlöst DeFi inte har: en central utgivare eller en validatoruppsättning som kan frysa stulna medel med ett knapptryck.

Spaken har använts länge. Samarbetet T3, mellan Tether, Tron och TRM Labs, har sedan 2024 fryst mer än 450 miljoner dollar över 23 jurisdiktioner. Och det är här en del av post-mortem-kulturen tyst har blivit en industri: det är analysföretag och utgivare, inte frivilliga på en forumtråd, som i dag utför det tunga spårnings- och frysningsarbetet (något vi grävde i när vi skrev om miljardaffären bakom kryptons obduktioner). Ironin är att själva centraliseringen som krypto byggdes för att slippa är det som ger en hackad börs, och dess kunder, en reell chans till pengarna.

Men spaken har en gräns, och den gränsen är upplysande. Frysning fungerar bara på centraliserade tillgångar, som stablecoins, och på kedjor med en Security Council. Angriparens kvarvarande 2,4 miljarder dollar i ETH och BTC ligger utom räckhåll just för att de tillgångarna är decentraliserade. Decentralisering skär åt båda hållen: den skyddar också tjuvens byte.

Samma signatur, inte samma bugg

Lägg de tre största incidenterna bredvid varandra, Binance, Bybit och Mercado Bitcoin, och ett mönster träder fram som definierar 2026. Ingen av dem var en kontraktsbugg. Alla tre handlade om att få ett signeringssystem att signera, antingen via förhandssignerade auktoriseringar, komprometterade gränssnitt eller stulna signeringsuppgifter. Transaktionerna som tömde kassan var alla, rent tekniskt, giltiga.

Siffrorna bekräftar skiftet. Enligt TRM Labs halvårsrapport för 2026 stod infrastruktur-, nyckel- och driftskompromisser för bara omkring 15 procent av antalet incidenter men hela 76 procent av värdet, medan rena kontraktsexploits var 125 av 207 incidenter och ändå bara en liten del av pengarna. CertiK kom med en annan metod fram till samma slutsats: komprometterade plånböcker och nycklar var den dyraste kategorin, över 444 miljoner dollar bara under det första halvåret.

För obduktionen är det ett existentiellt problem. Genren byggdes för att läsa bevis på kedjan: en diff, en reentrancy, ett avrundningsfel. Men när transaktionen är giltig finns det ingen diff att publicera. Den verkliga historien ligger off-chain: en socialt manipulerad anställd, en komprometterad signeringsserver, en blint signerad delegering. Kedjan säger att allt var auktoriserat. Post-mortem-genren har med andra ord förlorat sin hemmaplan.

Vem skriver börsens obduktion

I DeFi skrevs obduktionen ofta av teamet självt, med hjälp av frivilliga: den pseudonyma utredaren ZachXBT, snabbinsatsgruppen SEAL 911, en handfull forskare på natten. På en börs skrivs den i allt högre grad av professionella bolag och brottsbekämpande myndigheter. Det var TRM Labs, Chainalysis och Elliptic som spårade och beräknade Binance-flödena, Sygnia och Verichains som gjorde forensiken efter Bybit, och FBI som ställde ut attributionen. Obduktionen är inte längre ett gräsrotsdokument. Den är en beviskedja som kan hamna i en rättssal.

Det betyder också att attributionen blivit en egen disciplin, med egna gråskalor. För Binance pekade TRM på den nordkoreanska enheten TraderTraitor och gjorde bedömningen med hög säkerhet, byggd på både on-chain- och off-chain-underrättelser och på mönster från tidigare dåd. För Mercado Bitcoin fanns ingen attribution alls när incidenten blev känd, bara CertiKs Dickson Wu och Arkhams Emmett Gallic som konstaterade att nycklarna, inte koden, var problemet. En läsare som vill förstå en obduktion behöver därför veta skillnaden mellan «hög säkerhet med flera källor» och «inga indikationer än». Båda är legitima, men de betyder helt olika saker.

Nordkorea, igen

Binance-attributionen pekade åt samma håll som Bybit: TraderTraitor, en del av det som västliga myndigheter kallar Lazarus-gruppen. Det är inte längre en enskild tjuv med ett samvete att vädja till, som i Euler-fallet, utan en statlig apparat som stjäl i industriell skala för att finansiera en sanktionerad regim. Nordkorea avvisade, via Kim Yo Jong, varje inblandning några dagar efter dådet, vilket inget utrett fall hittills har tagit på allvar.

För post-mortem-kulturen är det ett tungt skifte. En obduktion vars grundorsak är en nationalstat kan inte avslutas med en bounty-förhandling eller en DAO-omröstning. Den blir en fråga för underrättelsetjänster och sanktionsmyndigheter, och för de centraliserade utgivare som kan frysa pengarna innan de tvättas. Ju större och mer statligt dådet är, desto mindre liknar obduktionen den gräsrotsgenre krypto en gång uppfann, och desto mer liknar den en incidentrapport i vilken reglerad bransch som helst.

Så ser gapet ut för en svensk sparare: banken, börsen, DeFi

Det här är poängen som betyder något för en svensk läsare, bortom dramatiken i siffrorna. Var dina pengar råkade ligga när det small avgör vilken sorts obduktion du får, och vad den är värd. Det finns i praktiken fyra nivåer, och de ger dig fyra helt olika sorters skydd.

Högst upp ligger banken. Svenska bankkonton omfattas av den statliga insättningsgarantin, som den 1 januari 2026 höjdes från 1 050 000 till 1 150 000 kronor per kund och institut. Går banken omkull betalar Riksgälden ut pengarna, oftast inom några dagar. Det är en garanti i lagens mening, inte ett löfte.

I mitten ligger den reglerade kryptobörsen. Sedan MiCA gäller måste varje kryptoföretag som vänder sig till svenska kunder ha tillstånd från Finansinspektionen. Företag som var i gång före den 30 december 2024 skulle ha ansökt senast den 30 september 2025 och fick fortsätta under FI:s prövning om ansökan kom in före den 1 oktober. En licensierad börs står under tillsyn, måste följa MiCA:s uppföranderegler och rapportera allvarliga it-incidenter under DORA. Du kan klaga till FI. Men, och det är hela poängen, kryptotillgångar omfattas inte av insättningsgarantin. Din ersättning efter ett hack vilar därför på bolagets goodwill, en SAFU-fond eller en balansräkning, inte på en statlig garanti.

Längst ner ligger DeFi, och därunder din egen plånbok. MiCA täcker börser och utgivare, inte fullt ut decentraliserade protokoll; särskilda DeFi-regler väntas först 2027 eller 2028, vilket vi gått igenom i texten om hur obduktionen möter MiCA och DORA. I DeFi finns ingen tillsyn och ingen garanti, och obduktionen är fortfarande det enda «rättsmedel» som står till buds. Och sköter du förvaringen själv är du din egen backstop: läcker dina nycklar, via nätfiske eller ett manipulerat chip, som vi beskrev i genomgången av plånbokens oktober, finns det ingen att rapportera till och ingen som täcker dig. Obduktionen blir din egen, och bara din.

Nästa gång en börs eller ett protokoll publicerar en obduktion efter ett hack, läs den som en kravspecifikation snarare än en ursäkt. Fem saker avgör om den är värd förtroendet:

• Står det tydligt vem som bär förlusten, och har kunderna redan gjorts hela eller bara lovats det?
• Finns en minut-för-minut-tidslinje, eller bara vaga formuleringar som «omfattande granskning pågår»?
• Namnges grundorsaken konkret (nyckel, signering, kontrakt), eller sveps den in i dimridåer?
• Är attributionen försedd med en konfidensnivå och flera källor, eller är «Nordkorea» bara en reflex?
• Och det viktigaste för dig: var låg pengarna, på ett konto med tillstånd, i ett protokoll utan, eller i din egen plånbok?

Varför en MiCA-licens inte är en garanti

Det är lätt att läsa «står under FI:s tillsyn» som att pengarna är trygga. Det är de inte, inte på det sätt ett bankkonto är det. FI granskar en börs uppförande, styrning, hur kundernas tillgångar hålls åtskilda och, via DORA, hur incidenter rapporteras. Myndigheten garanterar däremot inte din krypto, driver ingen ersättningsfond för den och kan inte tvinga en börs att betala tillbaka efter ett hack. Vägrar en licensierad börs att ersätta dig är dina realistiska vägar en anmälan till FI, som kan sanktionera beteende men inte skriver ut en check, de allmänna domstolarna, och det bolaget frivilligt erbjuder.

Till det kommer en obekväm sanning om själva modellen. En börs samlar förvaringen på ett ställe, och den koncentrationen är precis den enda felpunkt som de här hacken utnyttjar. Signeringssystemet för hot wallets är måltavlan, därför att det är där allt kan auktoriseras på en gång. Problemet är strukturellt och välkänt; vi har tidigare visat hur stor del av den svenska marknadens krypto som i praktiken vilar hos en enda förvarare. Det som gör dig hel på en börs, ett solvent bolag som väljer att betala, är alltså samma sak som gör börsen till ett saftigt och samlat mål. Skyddet och sårbarheten är samma föremål.

Obduktionen flyttar hem

Krypto uppfann den offentliga obduktionen därför att DeFi inte kunde erbjuda något rättsmedel. Autopsin var rättsmedlet. Men 2026 har tyngdpunkten i stölderna flyttat till centraliserade börser, där ett rättsmedel faktiskt finns. Därmed centraliseras också genren: från en ägarlös ritual på kedjan till en företags- och myndighetsdriven incidentrapport som allt oftare slutar med ett «vi har dig täckt».

Det är en pikant ironi för en rörelse byggd på misstro mot mellanhänder. Den «ostoppbara, tillitslösa» DeFi-obduktionen ger dig i praktiken sämre skydd än den «centraliserade, betrodda» börsobduktionen. Binance-kunden som satt mitt i den största stölden i historien var tryggare än den Curve-långivare som förlorade en bråkdel av summan. Den som vill slippa lita på ett bolag får i gengäld lita på sin egen förmåga att hålla nycklar hemliga, och de flesta hack 2026 handlade just om att den förmågan svek.

Men recentraliseringen har ett pris. Den samlar både pengarna och måltavlan: Binance blev det största rånet någonsin just för att det är den största honungskrukan, och den återinför precis de betrodda mellanhänder krypto skulle göra sig av med. Slutsatsen för en läsare är inte att börsen är «säker» och DeFi «farligt», utan att läsa obduktionen för det rättsmedel den antyder, inte för dramatiken. En garanti, goodwill eller ingenting. Autopsin berättar vilken av de världarna du levde i, och numera, allt oftare, vilken av dem som faktiskt betalar tillbaka.

Vanliga frågor

Vad är skillnaden mellan en post-mortem på en kryptobörs och i DeFi?

En börs-obduktion skrivs av ett bolag med balansräkning, tillsyn och kunder att behålla, och slutar oftast med att företaget täcker förlusten. En DeFi-obduktion skrivs ofta av teamet och frivilliga, saknar garanti, och ersättningen hänger på en DAO-omröstning, en finansiär eller att angriparen frivilligt lämnar tillbaka bytet.

Får jag tillbaka pengarna om min kryptobörs blir hackad?

Kanske, men det är ingen garanti. Kryptotillgångar omfattas inte av den svenska insättningsgarantin, även om börsen har tillstånd från Finansinspektionen. Efter stora hack har bolag som Binance, Bybit och Mercado Bitcoin valt att täcka förlusten ur egen kassa eller en försäkringsfond, men det är ett frivilligt åtagande, inte en lagstadgad rättighet.

Hur stort var Binance-hacket 2026?

Omkring 6,36 miljarder dollar, drygt 62 miljarder kronor, lämnade Binance på ungefär tjugo minuter den 29 oktober 2026, över tio blockkedjor. Det är den största kryptostölden som dokumenterats, ungefär fyra gånger större än Bybit-hacket 2025, och TRM Labs attribuerade dådet till Nordkoreas TraderTraitor.

Täcker insättningsgarantin kryptovaluta?

Nej. Den svenska insättningsgarantin, som den 1 januari 2026 höjdes till 1 150 000 kronor per kund och institut, skyddar pengar på konto hos institut med FI:s tillstånd att ta emot kundmedel. Krypto hos en börs eller annan leverantör som inte är bank räknas inte som ett sådant konto och omfattas inte.

Varför handlar de flesta stora kryptohack 2026 inte om buggar i koden?

Därför att pengarna har flyttat. Enligt TRM Labs stod nyckel-, infrastruktur- och driftskompromisser för omkring 76 procent av värdet men bara 15 procent av antalet incidenter under första halvåret 2026. Angriparen behöver inte längre hitta ett fel i ett smart kontrakt, det räcker att få ett signeringssystem att signera en i övrigt giltig transaktion.

Av Marcus Okafor, kulturredaktör, HOGE Wire.