Er Bybit sikker? Det, hacket i 2025 faktisk fortæller dig

Hvad der faktisk skete i februar 2025

Den 21. februar 2025 var Bybit i gang med en rutinemæssig intern overførsel, hvor Ethereum blev flyttet fra en cold wallet til en warm wallet, der bruges til daglig drift. Overførslen krævede, at flere Bybit-ledere underskrev den ved hjælp af Safe{Wallet}, en meget udbredt tredjeparts multisignatur-smart-contract-wallet. Underskriverne gennemgik, hvad der lignede en almindelig overførsel, godkendte den, og omkring 401,000 ETH forsvandt til adresser, de ikke kontrollerede.

Dette er den del, det meste dækning får galt, og det betyder noget, hvis du vurderer, hvor sikre dine egne midler ville være. Cold walletens kryptografi blev ikke brudt, og Bybits egne servere blev ikke gennembrudt. To uafhængige retstekniske undersøgelser, af Sygnia og Verichains, fandt ingen beviser for kompromittering inde i Bybits infrastruktur. Angriberne havde i stedet kompromitteret en udviklermaskine, der tilhørte Safe{Wallet}, og brugt den adgang til at levere ondsindet JavaScript fra wallet-grænsefladen på app.safe.global. Koden var betinget og aktiverede kun for det specifikke mål, så almindelige Safe-brugere så intet usædvanligt. Den viste én transaktion til Bybits underskrivere og indsendte en anden, og blev derefter fjernet få minutter senere for at dække angribernes spor.

Med andre ord var dette en fejl i blind underskrivning. Underskriverne godkendte det, deres skærm fortalte dem, de godkendte, og deres skærm løj. Det er en reel og alvorlig svaghed, og Bybit tog ansvaret som den part, der underskrev. Men det er en anden slags svaghed end sjusket nøgleopbevaring eller en insider, der stikker af med en privat nøgle, og det siger noget andet om børsen. Det involverede også en hel branchepraksis snarere end ét selskab: på det tidspunkt underskrev mange store institutioner overførsler af høj værdi på samme måde.

Tyveriet blev offentligt tilskrevet af FBI til nordkoreanske statstilknyttede aktører, den klynge der som regel omtales som Lazarus Group. Midlerne blev hurtigt hvidvasket gennem mixere og cross chain-broer. Bybit lancerede et dusørprogram, der tilbød 10 procent af alt genfundet, og forfulgte senere civile søgsmål. Genopretningen har ikke desto mindre været ringe, og fra august 2026 er det meste af pengene væk. Retssager kan fastfryse aktiver, som efterforskere formår at identificere, men en fastfrysning er ikke det samme som, at midler kommer tilbage til den part, der mistede dem. Antag, når du læser om et stort kryptotyveri, at pengene ikke kommer tilbage.

Hvordan Bybit reagerede, og om brugerne blev holdt skadesløse

For det første stoppede udbetalinger aldrig. I timerne efter tyveriet blev offentligt kendt, var der et bank run, hvilket er nøjagtig hvad man ville forvente. Bybit behandlede mere end 350,000 udbetalingsanmodninger og rapporterede at have gennemført 99.9 procent af dem inden for omkring ti timer. De samlede udstrømninger i dagene, der fulgte, løb op i milliarder. Der opstod en kø, og Bybit sagde det åbent på det tidspunkt frem for stille at drosle den. Administrerende direktør Ben Zhou udtalte under forløbet, at omkring 70 procent af anmodningerne var blevet klaret i de første par timer, at nogle brugere ville vente et par timer, og at netværksoverbelastning stadig kunne forsinke overførsler. Det, der ikke skete, er den del, der betyder noget: udbetalinger blev aldrig suspenderet, intet akut vedligeholdelsesvindue dukkede op, og efterslæbet blev afviklet inden for omkring tolv timer. Sammenlign det med det sædvanlige svigtmønster i denne branche, hvor udbetalingsknappen først slukkes, og meddelelsen kommer dage senere.

For det andet blev hullet fyldt hurtigt. Bybit lukkede ETH-hullet inden for cirka 72 timer ved hjælp af en blanding af åbne markedskøb, bro-lån og store indskud fra modparter, herunder Galaxy Digital, FalconX og Wintermute. Virksomheden, der står for dens proof of reserves-attesteringer, Hacken, rapporterede efterfølgende, at større aktiver, herunder BTC, ETH, SOL, USDT og USDC, igen var over en dækningsgrad på 100 procent.

For det tredje tog kunderne ingen nedskrivning. Der var ingen socialiseret tab, ingen ADL-lignende tilbagebetaling anvendt på spot-saldi, ingen omdannelse af brugerkrav til et genoprettelsestoken. Tabet blev absorberet på Bybits eget regnskab, delvist finansieret via lån. Det er et betydningsfuldt datapunkt, og det er det enkeltstående stærkeste argument til Bybits fordel.

Nu det ærlige forbehold. Brugerne blev holdt skadesløse, fordi Bybit var stor nok til at absorbere et tab på $1.4 milliarder, og fordi modparter var villige til at låne til virksomheden. Det var et resultat af kapacitet, ikke en juridisk garanti. Der findes ingen indskudsforsikringsordning bag nogen kryptobørs noget sted i verden, og intet i dine kontovilkår ville have forpligtet nogen til at dække dig.

Hvem du reelt indgår aftale med: Bybit EU eller offshore-enheden

Hvilken enhed du indgår aftale med, ændrer svaret fuldstændigt, afhængigt af din adresse.

Bybit er ikke ét selskab. Hvis du er i Det Europæiske Økonomiske Samarbejdsområde, er den enhed, du indgår aftale med, Bybit EU GmbH, et selskab baseret i Wien, der har en godkendelse som udbyder af kryptoaktivtjenester fra Østrigs finanstilsyn under MiCA, tildelt ved en afgørelse dateret 28. maj 2025 og passporteret til 29 EØS-lande. Hvis du er uden for EØS, handler du i stedet med en offshore-koncernenhed, og den østrigske licens gavner dig slet ikke. Hvilken enhed det er, har ændret sig gennem årene, så læs navnet i dine egne kontovilkår frem for at stole på en liste. Bybit Fintech Limited, navnet der optræder i de ældre regulatoriske sager mod koncernen, er ikke en sikker antagelse. British Virgin Islands' finanstilsyn oplyste offentligt i 2023, at selskabet, indregistreret der i august 2018, var blevet slettet fra BVI-registeret i december 2021, var blevet opløst i juli 2023, og aldrig havde været licenseret i territoriet til finansielle tjenester overhovedet. Den hollandske centralbank navngav stadig den enhed, da den bødelagde koncernen i oktober 2024, hvilket er netop grunden til, at den enhed, der står i dine egne kontovilkår, er værd at læse. Tyveriet i februar 2025 ramte koncernens globale drift, ikke den østrigske enhed.

De praktiske konsekvenser af den opdeling er store. MiCA's overgangsperiode sluttede den 1. juli 2026, og den 29. juni 2026 meddelte Bybit, at virksomheden gradvist ville begrænse EØS-beboeres adgang til tjenester på den globale platform og flytte dem over på Bybit EU, som er passporteret til 29 EØS-lande, men ikke Malta. Bybit sagde, at berørte brugere først ville få varsel og tidsplaner, og ville beholde adgang til eksisterende saldi og positioner, så de kunne afvikle dem frem for at få noget frosset. Bybit EU lancerede med spothandel, spotmargin, Earn-produkter og Bybit Card. Den lancerede ikke med perpetual futures, optioner eller den gearede derivatpakke, Bybit er bedst kendt for. At få dem ind i Europa er en separat ansøgning i et separat selskab: Bybit X GmbH, en østrigsk enhed adskilt fra Bybit EU GmbH, ansøgte Østrigs FMA den 5. september 2025 om en investeringsselskabslicens under den østrigske implementering af MiFID II, som er det regelsæt kryptoderivater hører under. Fra august 2026 var den licens ikke blevet givet, så europæiske brugere får ikke de produkter.

Hvis du kom til denne side, fordi du vil have Bybit til derivater eller copy trading, og du bor i EØS, er det den kendsgerning, der afgør dit svar. Sikkerhedsspørgsmålet bliver irrelevant, fordi det produkt, du ville have, ikke er tilgængeligt for dig gennem den licenserede enhed. Nogle konkurrenter har allerede løst dette: Kraken har for eksempel en MiCA-godkendelse gennem den irske centralbank sammen med en separat MiFID-godkendelse via CySEC, hvilket er det, der giver en europæisk handelsplads mulighed for lovligt at tilbyde derivater. Det er en reel fordel frem for Bybit i Europa fra august 2026. Bitvavo er en anden etableret europæisk mulighed, selvom det er en spot-handelsplads og ikke en derivat-handelsplads.

Brugere uden for EØS får det fulde produktsortiment og, til gengæld, svagere beskyttelser. Tjek dine kontovilkår for at se, hvilken enhed der er navngivet.

Hvor Bybit er reguleret, og hvor det ord gør mindre arbejde end det ser ud til

Offshore-børser er glade for at liste licenser, og de fleste af de licenser er smallere, end ordet antyder. Det er værd at adskille de betydningsfulde fra de dekorative.

Den østrigske MiCA-godkendelse er den reelle. MiCA pålægger krav om adskillelse af kundeaktiver, ledelse, klagebehandling, ansvar for opbevaring og oplysning, og en europæisk myndighed kan gribe ind over for virksomheden. Bybit EU er godkendt til en delmængde af MiCA's kryptoaktivtjenester frem for alle, og det dækker ikke derivater, som er finansielle instrumenter og hører under MiFID frem for MiCA. Bybits betalingsgren, Bybit Payments GmbH, fik tildelt en e-pengeinstitutlicens af Østrigs FMA under E-Money Act 2010, annonceret den 4. august 2026, hvilket er relevant for kort- og betalingstjenester frem for handel.

I De Forenede Arabiske Emirater flyttede Bybit sit hovedkvarter til Dubai i 2022, har licens fra Dubais Virtual Assets Regulatory Authority, og opnåede i oktober 2025 en Virtual Asset Platform Operator-licens fra UAE Securities and Commodities Authority. Det er reelle godkendelser i en jurisdiktion med en reel ordning for virtuelle aktiver, men de skaber ingen erstatningsordning og vil ikke hjælpe en bruger i Brasilien eller Vietnam.

Den regulatoriske historik er ikke pletfri, og du bør veje den. Den 22. oktober 2024 bødelagde den hollandske centralbank, De Nederlandsche Bank, Bybit Fintech Limited med €2,250,000 for at tilbyde kryptotjenester i Holland uden den lovpligtige registrering, dækkende en periode frem til september 2023. I januar 2025 pålagde Indiens Financial Intelligence Unit en bøde på omkring ₹9.27 crore, cirka $1 million, for at operere uden registrering under indisk hvidvasklovgivning; Bybit betalte, registrerede sig, og genoptog tjenesten der senere i 2025. Frankrigs markedsmyndighed havde tidligere opført Bybit som en ugodkendt udbyder, og virksomheden blev fjernet fra den liste tidligt i 2025.

Mønstret er konsekvent og værd at nævne ligeud: Bybit har gentagne gange opereret på markeder først og reguleret sig bagefter, og betalt bøder, når virksomheden blev afsløret. Siden 2024 har den bevæget sig afgørende mod licensering. Begge halvdele af den sætning er sande, og hvor meget vægt du giver hver, er et skøn, ikke en kendsgerning.

Proof of reserves: nyttigt, og smallere end det lyder

Bybit offentliggør proof of reserves-attesteringer, verificeret af en tredjepart, med jævne mellemrum, ved brug af et Merkle-træ, så individuelle brugere kan tjekke, at deres egen saldo var med i øjebliksbilledet. Efter hacket bekræftede Hackens attestering, at større aktiver igen var over 100 procent dækning. Det er mere gennemsigtighed, end de fleste børser tilbød før 2022, og det er værd at tjekke, før du indbetaler.

Det bliver også rutinemæssigt oversolgt, så her er, hvad det ikke fortæller dig.

En rapport, der viser dækning nogle få point over 100 procent for BTC, er en påstand om ét aktiv på ét tidspunkt, verificeret af én virksomhed ved brug af data, børsen selv har leveret. Det er en nyttig røgalarm, ikke en garanti og ikke en forsikring.

• Det er et øjebliksbillede på ét enkelt tidspunkt. Aktiver til stede på dagen for attesteringen kan flytte sig næste dag.
• Det dækker kun de aktiver, der indgik i den vurdering. Alt uden for de listede tokens er uverificeret.
• Det viser ikke forpligtelser uden for regnskabet: lån, bro-lån, retstvisteksponering eller forpligtelser over for modparter. En børs kan være overdækket på tokens og stadig være i problemer.
• Det siger intet om derivateksponering, urealiserede tab på platformens egne positioner, eller operationel risiko.

Forsikringsfonden forsikrer dig ikke

Dette er det punkt, der mest konsekvent misforstås på enhver derivatbørs, og navnet er hele skylden. Bybit opretholder en forsikringsfond for sine futureskontrakter. Mange læser det som beskyttelse af deres penge. Det er det ikke.

Fonden findes for at absorbere negativ egenkapital. Når en geared position bliver likvideret til en pris, der er værre end dens konkurspris, overstiger tabet traderens indbetalte margin, og nogen skal dække underskuddet, så den vindende modpart bliver betalt fuldt ud. Det er fondens opgave. Den finansieres af Bybit-bidrag plus overskuddet fra likvidationer, der lukker bedre end konkursprisen, og Bybit har tilføjet segmenterede puljer for nyligt noterede kontrakter og korrelerede porteføljer for at øge tabsabsorptionsevnen.

Læs den mekanisme igen fra dit eget synspunkt. På det tidspunkt, forsikringsfonden bliver relevant for din position, er din margin allerede væk. Fonden beskytter platformens afregningsintegritet og traderen på den anden side af dig. Den refunderer dig ikke, den lofter ikke dine tab, og den har intet som helst forhold til din spot-saldo eller til en sikkerhedshændelse som tyveriet i februar 2025.

Bag forsikringsfonden sidder auto-deleveraging. Hvis likvidationstab under ekstreme forhold overstiger, hvad fonden kan dække, tvinger Bybits ADL-system profitable positioner på den modsatte side til at lukke, startende med de mest gearede. Hvis du er på den rigtige side af en voldsom bevægelse, kan ADL afslutte din vindende handel til systemets pris frem for din. Bybits segmenterede puljer er designet til at gøre det sjældnere, og det forbliver en levende risiko i et hurtigt marked.

Den enkle konklusion: ingen kryptobørs' forsikringsfond, hos Bybit eller noget andet sted, er indskudsforsikring. Der findes ingen modstykke til EU's €100,000 bankindskudsgaranti eller Storbritanniens FSCS for krypto opbevaret på en børs.

Gearing og likvidation, sagt ligeud

På den globale platform tilbyder Bybit op til 100x gearing på sine dybeste perpetual-kontrakter som BTC og ETH, hvor maksimum trappes ned på mindre par og skrumper yderligere, efterhånden som din positionsstørrelse klatrer gennem risikogrænseniveauerne. Positioner holdes i en Unified Trading Account, der kan køre isoleret, cross- eller porteføljemargin, og likvidation udløses af markedsprisen frem for den sidst handlede pris, hvilket forhindrer et enkelt tyndt aftryk i at lukke dig ud.

Intet af den ingeniørkunst ændrer regnestykket. Ved 100x gearing udsletter en bevægelse på 1 procent imod dig marginen bag positionen. Hvilken margin-tilstand du er i, afgør så, hvor meget andet der er eksponeret. Under isoleret margin er tabet loftsat til den margin, du tildelte den position. Under cross- eller porteføljemargin er det ikke, og en enkelt dårlig handel kan tage resten af saldoen på den konto med sig, så disse produkter kan koste dig mere end det beløb, du bevidst besluttede at risikere. Likvidation er ikke en advarsel, det er positionen der bliver lukket, og i hurtige markeder betyder slippage mellem udløseren og den faktiske udførelse, at du kan tabe hele marginen på en handel, der ville have rettet sig få minutter senere. Funding-satser på perpetuals opkræver dig løbende blot for at holde en position.

Høj gearing gør ikke i sig selv en børs usikker, og det er ikke en skjult fælde. Det er blot den mest almindelige måde, folk taber penge på handelspladser som denne, langt mere almindelig end at blive hacket. Ethvert ærligt svar på om Bybit er sikker skal sætte det i proportion: statistisk set er gearingsprodukterne en langt større trussel mod din saldo end sikkerheden på den børs, der opbevarer den. Handel med kryptoderivater sætter din kapital på spil. Denne side er ikke investeringsrådgivning og kan ikke fortælle dig, om noget produkt passer til dig.

Udbetalinger, compliance-tilbageholdelser og frosne konti

Bybits udbetalingshistorik i sin værste uge var fremragende, og det fortjener vægt. Til hverdag er udbetalinger generelt hurtige, med on-chain-behandling typisk inden for en time, når sikkerhedstjek er klaret.

Den tilbagevendende klage mod Bybit er ikke langsomme udbetalinger, men compliance-spærringer. Søg på en hvilken som helst anmeldelsesplatform, og du finder brugere, der beskriver konti begrænset uden varsel, midler utilgængelige under en compliance-gennemgang, ingen angivet grund, ingen angivet slutdato, og supportsager der bevæger sig langsomt. Nogle af disse følger indskud sporet til sanktionerede eller højrisikokilder. Storbritannien udpegede børsen HTX under sanktioner den 26. maj 2026, og brugere har siden rapporteret spærringer på overførsler forbundet med den, inklusive brugere, der ikke bevidst havde gjort noget forkert.

To ting bør siges ærligt om de beviser. Klageeksempler er selvselekterende, for ingen skriver en anmeldelse for at rapportere, at deres udbetaling virkede. Og compliance-spærringer sker på enhver KYC'et handelsplads på jorden, da de er en juridisk forpligtelse frem for en forretningspræference. Det, der med rette kan kritiseres, er uigennemsigtigheden.

Vær også forsigtig med, hvem du tager råd fra her. En hjemmeindustri af "fund recovery"-firmaer markedsfører sig selv på netop disse klager, og de har en kommerciel interesse i at få børsspærringer til at lyde både universelle og reversible mod et gebyr. Betragt de kilder som reklame.

• Hold kun det på børsen, du aktivt bruger, og flyt langsigtede beholdninger til en wallet, du kontrollerer. Intet, du opbevarer på en børs, er forsikret, hvilket er lektien fra februar 2025 gentaget.
• Aktiver totrinsbekræftelse med en autentificeringsapp frem for SMS, opsæt en hvidliste over udbetalingsadresser, og brug en anti-phishing-kode, så du kan genkende ægte e-mails.
• Gennemfør verifikationen fuldt ud, før du indbetaler noget nævneværdigt, så et KYC-hul ikke kan strande midler senere.
• Undgå at modtage indskud fra ukendte modparter, peer-to-peer-handler med fremmede eller midler af uklar oprindelse, hvilket er den hyppigste udløser for en compliance-spærring.

KYC og landerestriktioner

Bybits æra uden verifikation er slut. Identitetsverifikation på mindst standardniveau er nu obligatorisk på tværs af Bybits produkter og tjenester, og en uverificeret konto kan ikke i praksis handle, indbetale eller hæve. Standardverifikation betyder typisk et statsligt ID plus et liveness-tjek og klares inden for en dag i ligetil tilfælde. Højere verifikationsniveauer hæver udbetalingsgrænser og er for EØS-enheden simpelthen et lovkrav.

Landedækning ændrer sig ofte, så tjek på tilmeldingssiden frem for at stole på en liste, du læser online, denne inklusive. Som et generelt billede i 2026: Bybit betjener ikke USA, og virksomheden er utilgængelig eller begrænset i det kinesiske fastland, Singapore og Canada, blandt andre. Storbritannien er et andet tilfælde og ofte rapporteret forældet. Bybit vendte tilbage til Storbritannien den 19. december 2025, efter et to-årigt fravær, gennem en aftale med Archax, en FCA-godkendt virksomhed, der godkender og fører tilsyn med dens finansielle markedsføring. Det er ikke en FCA-registrering for Bybit selv. Britiske brugere får spothandel på tværs af mere end 100 par plus peer-to-peer-handel, og ingen derivater eller gearede produkter. EØS-beboere betjenes af Bybit EU frem for den globale platform. At bruge en VPN til at omgå en landerestriktion er en god måde at få en konto frosset i det øjeblik, du forsøger at hæve, og vilkårene tillader netop det.

At tilmelde sig via et henvisningslink eller en kode ændrer intet af det ovenstående. En tilmeldingsbelønning er en markedsføringsomkostning, ikke en sikkerhedsfunktion, og den opvejer ikke opbevaringsrisiko, likvidationsrisiko eller muligheden for en kontobegrænsning. Bybits standardbelønning er et lille beløb i Bitcoin til begge sider, når kvalificerende betingelser er opfyldt, og de betingelser ændrer sig regelmæssigt. Vurder børsen først.

Så, er Bybit sikker? Et afstemt svar

Det reelt interessante spørgsmål er, om en børs, der blev brudt ind i og holdt sine brugere skadesløse, er sikrere eller mere risikabel end én, der aldrig er blevet testet. Der er intet rent svar, men der er et forsvarligt et.

Det, hændelsen beviste, og den beviste det faktisk, er, at Bybit havde kapitalen, kreditlinjerne og den operationelle disciplin til at absorbere det største tyveri i børshistorien uden at røre kundesaldi eller nogensinde suspendere udbetalinger. Meget få børser kunne have gjort det, og de fleste af dem, der kollapsede i 2022, stoppede udbetalinger længe før tab af den størrelsesorden.

Det, hændelsen også beviste, er, at en overførsel på $1.4 milliarder blev godkendt af mennesker, der kiggede på en skærm, en tredjeparts kompromitterede bærbare computer kunne manipulere, og at pengene i det væsentlige er væk. At overleve et tab er ikke det samme som at være usandsynlig til at lide et. Branchens reaktion, en bevægelse væk fra blind underskrivning mod uafhængig transaktionsverifikation, hardwarebekræftelse af overførselsdetaljer, MPC-baseret opbevaring og off-exchange-afregning, er reel fremgang, men det er fremgang, hele branchen skaber, frem for en voldgrav, én enkelt børs har bygget.

Så den afstemte position er denne: Bybit er i dag et fornuftigt valg blandt store offshore-børser, med bedre end gennemsnitlig gennemsigtighed, en påvist villighed til at absorbere et tab frem for at videregive det, og en reel europæisk licens til EØS-brugere. Det er ikke et sikkert sted at opbevare opsparing, for ingen børs er det, og opbevarings-, modparts- og compliance-spærringsrisiko er alle levende og ingen af dem forsikrede.

Det praktiske svar afhænger af, hvem du er. Hvis du er EØS-beboer, der ønsker spothandel, er Bybit EU en legitim reguleret mulighed under de samme MiCA-regler som dens licenserede konkurrenter, så sammenlign gebyrer og aktivdækning frem for at plage dig selv over hacket. Hvis du kom for perpetuals eller copy trading og bor i EØS, kan Bybit i øjeblikket ikke betjene dig, og en handelsplads med både MiCA- og MiFID-tilladelser er det mere nyttige sted at kigge. Hvis du er uden for EØS og ønsker gearede derivater, er Bybit en af de dybeste og mest likvide handelspladser til rådighed, og du accepterer offshore-modpartsrisiko uden nogen myndighed bag dig. I alle tilfælde skal du kun holde den saldo på børsen, din handel faktisk kræver.

Ofte stillede spørgsmål