Er Bybit trygg? Hva 2025-hacket egentlig forteller deg

Hva som faktisk skjedde i februar 2025

21. februar 2025 utførte Bybit en rutinemessig intern overføring, og flyttet Ethereum fra en cold wallet til en warm wallet brukt til daglig drift. Overføringen krevde at flere Bybit-ledere signerte den ved hjelp av Safe{Wallet}, en mye brukt tredjeparts multisignatur-smartkontraktlommebok. Signererne gjennomgikk det som så ut som en ordinær overføring, godkjente den, og rundt 401,000 ETH forsvant til adresser de ikke kontrollerte.

Dette er delen mesteparten av dekningen får feil, og det betyr noe hvis du vurderer hvor trygge dine egne midler ville være. Cold wallet-ens kryptografi ble ikke brutt, og Bybits egne servere ble ikke brutt inn i. To uavhengige rettstekniske granskninger, av Sygnia og Verichains, fant ingen bevis for kompromittering inne i Bybits infrastruktur. Angriperne hadde i stedet kompromittert en utviklermaskin som tilhørte Safe{Wallet}, og brukte den tilgangen til å levere ondsinnet JavaScript fra lommeboksgrensesnittet på app.safe.global. Koden var betinget, og aktiverte seg bare for det spesifikke målet, så vanlige Safe-brukere så ingenting uvanlig. Den viste én transaksjon til Bybits signerere og sendte inn en annen, og ble deretter fjernet minutter senere for å dekke over sporene til angriperne.

Med andre ord var dette en blind signing-svikt. Signererne godkjente det skjermen fortalte dem at de godkjente, og skjermen løy. Det er en reell og alvorlig svakhet, og Bybit tok ansvar for den som parten som signerte. Men det er en annen type svakhet enn slurvete nøkkeloppbevaring eller en innsider som stikker av med en privat nøkkel, og den sier noe annet om børsen. Den impliserte også en hel bransjepraksis snarere enn ett selskap: på den tiden signerte mange store institusjoner høyverdioverføringer på samme måte.

Tyveriet ble offentlig tilskrevet av FBI til nordkoreanske statstilknyttede aktører, klyngen vanligvis beskrevet som Lazarus Group. Midlene ble raskt hvitvasket gjennom mixere og kryssjede broer. Bybit lanserte et dusørprogram som tilbød 10% av alt som ble gjenvunnet, og forfulgte senere sivile søksmål. Gjenvinningen har likevel vært dårlig, og per august 2026 er mesteparten av pengene borte. Søksmål kan fryse eiendeler etterforskerne klarer å identifisere, men en frysing er ikke det samme som at midlene kommer tilbake til parten som mistet dem. Anta, når du leser om et hvilket som helst stort kryptotyveri, at pengene ikke kommer tilbake.

Hvordan Bybit responderte, og om brukere ble holdt skadesløse

For det første stanset uttakene aldri. I timene etter at tyveriet ble offentlig kjent, oppstod det et bank run, akkurat som man skulle forvente. Bybit behandlet mer enn 350,000 uttaksforespørsler, og rapporterte at 99.9% av dem var fullført innen omtrent ti timer. De samlede utstrømningene i dagene som fulgte, løp opp i milliarder. En kø bygde seg faktisk opp, og Bybit sa det åpent på det tidspunktet i stedet for å stille strupe den. Konsernsjef Ben Zhou uttalte under stormløpet at rundt 70% av forespørslene var blitt avklart i løpet av de første par timene, at noen brukere måtte vente noen timer, og at nettverksoverbelastning fortsatt kunne forsinke overføringer. Det som ikke skjedde, er den delen som betyr noe: uttak ble aldri suspendert, ingen akutt vedlikeholdsvindu dukket opp, og etterslepet ble arbeidet av innen omtrent tolv timer. Sammenlign det med det vanlige sviktmønsteret i denne bransjen, der uttaksknappen først slukner og kunngjøringen kommer dager senere.

For det andre ble hullet tettet raskt. Bybit lukket ETH-gapet innen omtrent 72 timer ved hjelp av en kombinasjon av kjøp i det åpne markedet, brolån og store innskudd fra motparter, inkludert Galaxy Digital, FalconX og Wintermute. Selskapet som står for proof of reserves-attesteringene, Hacken, rapporterte deretter at hovedeiendeler inkludert BTC, ETH, SOL, USDT og USDC var tilbake over en sikringsgrad på 100%.

For det tredje tok kundene ingen kutt. Det var ingen sosialisert tap, ingen ADL-stil tilbakebetaling anvendt på spot-saldoer, ingen konvertering av brukerkrav til et gjenvinningstoken. Tapet ble absorbert på Bybits egen balanse, delvis finansiert gjennom lån. Det er et betydelig datapunkt, og det er det enkeltsterkeste argumentet til Bybits fordel.

Nå det ærlige forbeholdet. Brukere ble holdt skadesløse fordi Bybit var stort nok til å absorbere et tap på $1.4 milliarder, og fordi motparter var villige til å låne ut til selskapet. Det var et resultat av kapasitet, ikke en juridisk garanti. Det finnes ingen innskuddsforsikringsordning bak noen kryptobørs noe sted i verden, og ingenting i kontovilkårene dine ville ha forpliktet noen til å dekke deg.

Hvem du faktisk inngår avtale med: Bybit EU eller offshore-enheten

Hvilken enhet du inngår avtale med, endrer svaret fullstendig, avhengig av adressen din.

«Bybit» er ikke ett selskap. Hvis du er i Det europeiske økonomiske samarbeidsområdet, er enheten du inngår avtale med, Bybit EU GmbH, et selskap basert i Wien som har en autorisasjon som tilbyder av kryptoaktivatjenester fra Østerrikes finanstilsyn under MiCA, innvilget ved et vedtak datert 28. mai 2025 og passportert inn i 29 EØS-stater. Hvis du er utenfor EØS, forholder du deg i stedet til en offshore-konsernenhet, og den østerrikske lisensen gjør deg ingen nytte i det hele tatt. Hvilken enhet det er, har endret seg gjennom årene, så les navnet i dine egne kontovilkår i stedet for å stole på en liste. Bybit Fintech Limited, navnet som fremstår i de eldre regulatoriske sakene mot konsernet, er ingen trygg antakelse. Financial Services Commission på De britiske jomfruøyene uttalte offentlig i 2023 at selskapet, stiftet der i august 2018, var blitt strøket fra BVI-registeret i desember 2021, var oppløst i juli 2023, og aldri hadde vært lisensiert i territoriet for finansielle tjenester i det hele tatt. Den nederlandske sentralbanken navnga fortsatt den enheten da den bøtela konsernet i oktober 2024, noe som er akkurat hvorfor enheten skrevet inn i dine egne kontovilkår er verdt å lese. Tyveriet i februar 2025 rammet konsernets globale virksomhet, ikke den østerrikske enheten.

De praktiske konsekvensene av det skillet er store. MiCAs overgangsperiode ble avsluttet 1. juli 2026, og 29. juni 2026 kunngjorde Bybit at selskapet gradvis ville begrense EØS-innbyggeres tilgang til tjenester på den globale plattformen og flytte dem over til Bybit EU, som er passportert inn i 29 EØS-stater, men ikke Malta. Bybit sa at berørte brukere først ville få varsel og tidslinjer, og ville beholde tilgang til eksisterende saldoer og posisjoner slik at de kunne avvikle dem i stedet for å få noe frosset. Bybit EU lanserte med spothandel, spotmargin, Earn-produkter og Bybit Card. Selskapet lanserte ikke med evigvarende futures, opsjoner eller gearingsderivat-sortimentet Bybit er best kjent for. Å få de produktene inn i Europa er en separat søknad i et separat selskap: Bybit X GmbH, en østerriksk enhet atskilt fra Bybit EU GmbH, søkte den østerrikske FMA 5. september 2025 om en investeringsforetakslisens under den østerrikske implementeringen av MiFID II, som er regelverket kryptoderivater faller under. Per august 2026 var den lisensen ikke innvilget, så europeiske brukere får ikke de produktene.

Hvis du kom til denne siden fordi du vil ha Bybit for derivater eller copy trading, og du bor i EØS, er det det faktumet som avgjør svaret ditt. Trygghetsspørsmålet blir irrelevant, fordi produktet du ville ha, ikke er tilgjengelig for deg gjennom den lisensierte enheten. Noen konkurrenter har allerede løst dette: Kraken, for eksempel, har en MiCA-autorisasjon gjennom Irlands sentralbank i tillegg til en separat MiFID-autorisasjon via CySEC, noe som er det som lar en europeisk plattform tilby derivater lovlig. Det er en reell fordel over Bybit i Europa per august 2026. Bitvavo er et annet etablert europeisk alternativ, selv om det er en spotplattform og ikke en derivatplattform.

Brukere utenfor EØS får hele produktspekteret og, til gjengjeld, svakere beskyttelse. Sjekk kontovilkårene dine for å se hvilken enhet som er navngitt.

Hvor Bybit er regulert, og hvor det ordet gjør mindre jobb enn det ser ut til

Offshore-børser er glade i å liste opp lisenser, og de fleste av de lisensene er snevrere enn ordet antyder. Det er verdt å skille de meningsfulle fra de dekorative.

Den østerrikske MiCA-autorisasjonen er den reelle. MiCA pålegger krav om adskillelse av kundemidler, styring, klagehåndtering, forvaringsansvar og opplysningsplikt, og en europeisk myndighet kan handle mot selskapet. Bybit EU er autorisert for en delmengde av MiCAs kryptoaktivatjenester snarere enn alle sammen, og det dekker ikke derivater, som er finansielle instrumenter og faller under MiFID snarere enn MiCA. Bybits betalingsarm, Bybit Payments GmbH, fikk en e-pengeforetakslisens fra Østerrikes FMA under E-Money Act 2010, kunngjort 4. august 2026, noe som er relevant for kort- og betalingstjenester snarere enn handel.

I De forente arabiske emirater flyttet Bybit hovedkontoret til Dubai i 2022, har lisensiering fra Dubais Virtual Assets Regulatory Authority, og fikk i oktober 2025 en Virtual Asset Platform Operator-lisens fra UAE Securities and Commodities Authority. Dette er ekte autorisasjoner i en jurisdiksjon med et reelt regime for virtuelle eiendeler, men de skaper ingen erstatningsordning og vil ikke hjelpe en bruker i Brasil eller Vietnam.

Den regulatoriske historikken er ikke pletfri, og du bør veie den. 22. oktober 2024 bøtela den nederlandske sentralbanken, De Nederlandsche Bank, Bybit Fintech Limited med €2,250,000 for å tilby kryptotjenester i Nederland uten den lovpålagte registreringen, dekkende en periode frem til september 2023. I januar 2025 påla Indias Financial Intelligence Unit en straff på omtrent ₹9.27 crore, rundt $1 million, for å drive uten registrering under indisk hvitvaskingslovgivning; Bybit betalte, registrerte seg, og gjenopptok tjenesten der senere i 2025. Frankrikes markedstilsyn hadde tidligere ført Bybit opp som en uautorisert tilbyder, og selskapet ble fjernet fra den listen tidlig i 2025.

Mønsteret er konsekvent og verdt å nevne rett ut: Bybit har gjentatte ganger operert i markeder først og regularisert i etterkant, og betalt bøter når selskapet ble tatt. Siden 2024 har det beveget seg bestemt mot lisensiering. Begge halvdelene av den setningen er sanne, og hvor mye vekt du legger på hver, er en vurderingssak, ikke et faktum.

Proof of reserves: nyttig, og snevrere enn det høres ut som

Bybit publiserer proof of reserves-attesteringer, verifisert av en tredjepart, med jevne mellomrom, ved bruk av et Merkle-tre slik at enkeltbrukere kan sjekke at deres egen saldo var inkludert i øyeblikksbildet. Etter hacket bekreftet Hackens attestering at hovedeiendeler var tilbake over 100% sikring. Det er mer åpenhet enn de fleste børser tilbød før 2022, og det er verdt å sjekke før du setter inn penger.

Det blir også rutinemessig oversolgt, så her er hva det ikke forteller deg.

En rapport som viser dekning noen få poeng over 100% for BTC, er en påstand om én eiendel på ett tidspunkt, verifisert av ett selskap ved bruk av data børsen selv leverte. Det er en nyttig røykvarsler, ikke en garanti og ikke en forsikring.

• Det er et øyeblikksbilde på ett bestemt tidspunkt. Eiendeler til stede på dagen for attesteringen kan flytte seg dagen etter.
• Det dekker bare eiendelene inkludert i den vurderingen. Alt utenfor de listede tokenene er uverifisert.
• Det viser ikke utenfor balanse-forpliktelser: lån, brolån, søksmålseksponering eller forpliktelser overfor motparter. En børs kan være overkollateralisert på tokener og likevel være i trøbbel.
• Det sier ingenting om derivateksponering, urealiserte tap på plattformens egne posisjoner, eller operasjonell risiko.

Forsikringsfondet forsikrer deg ikke

Dette er den tingen som konsekvent misforstås mest på en hvilken som helst derivatbørs, og navnet er hele grunnen. Bybit opprettholder et forsikringsfond for futures-kontraktene sine. Mange folk tolker det som beskyttelse for pengene sine. Det er det ikke.

Fondet finnes for å absorbere negativ egenkapital. Når en gearet posisjon likvideres til en pris verre enn konkursprisen, overstiger tapet traderens innskutte margin, og noen må dekke underskuddet slik at den vinnende motparten får betalt fullt ut. Det er fondets jobb. Det finansieres av Bybit-bidrag pluss overskuddet fra likvidasjoner som lukker bedre enn konkursprisen, og Bybit har lagt til segmenterte pooler for nylig noterte kontrakter og korrelerte porteføljer for å øke tapsabsorberingskapasiteten.

Les den mekanismen igjen fra ditt eget ståsted. Innen forsikringsfondet blir relevant for posisjonen din, er marginen din allerede borte. Fondet beskytter plattformens oppgjørsintegritet og traderen på den andre siden av deg. Det refunderer deg ikke, det begrenser ikke tapene dine, og det har ingen sammenheng i det hele tatt med spot-saldoen din eller en sikkerhetshendelse som tyveriet i februar 2025.

Bak forsikringsfondet ligger auto-deleveraging. Hvis likvidasjonstap under ekstreme forhold overstiger det fondet kan dekke, tvangslukker Bybits ADL-system profitable posisjoner på motsatt side, og starter med de mest gearede. Hvis du er på riktig side av en voldsom bevegelse, kan ADL avslutte den vinnende traden din til systemets pris i stedet for din egen. Bybits segmenterte pooler er designet for å gjøre det sjeldnere, og det er fortsatt en reell risiko i et raskt marked.

Den enkle oppsummeringen: intet forsikringsfond på noen kryptobørs, verken hos Bybit eller andre steder, er innskuddsforsikring. Det finnes ingen tilsvarende ordning som EUs €100,000 bankinnskuddsgaranti eller Storbritannias FSCS for krypto holdt på en børs.

Gearing og likvidasjon, forklart rett fram

På den globale plattformen tilbyr Bybit opptil 100x gearing på sine dypeste evigvarende kontrakter som BTC og ETH, med maksimumet som trappes ned på mindre par og krymper ytterligere etter hvert som posisjonsstørrelsen din klatrer gjennom risikogrensenivåene. Posisjoner holdes i en Unified Trading Account som kan kjøre isolert, cross eller portefølje-margin, og likvidasjon utløses av markørprisen snarere enn den sist omsatte prisen, noe som hindrer en enkelt tynn kursnotering fra å tvinge deg ut.

Ingenting av den tekniske løsningen endrer regnestykket. Ved 100x gearing visker en bevegelse på 1% mot deg ut hele marginen bak posisjonen. Hvilken marginmodus du er i, avgjør da hvor mye annet som er eksponert. Under isolert margin er tapet begrenset til marginen du tildelte den posisjonen. Under cross- eller portefølje-margin er det ikke det, og en enkelt dårlig trade kan ta med seg resten av saldoen i den kontoen, så disse produktene kan koste deg mer enn beløpet du bevisst bestemte deg for å risikere. Likvidasjon er ikke en advarsel, det er posisjonen som lukkes, og i raske markeder betyr slippage mellom utløseren og selve utførelsen at du kan tape hele marginen på en trade som ville ha hentet seg inn igjen minutter senere. Funding-satser på evigvarende kontrakter belaster deg kontinuerlig bare for å holde en posisjon.

Høy gearing gjør ikke i seg selv en børs utrygg, og det er ingen skjult felle. Det er ganske enkelt den vanligste måten folk taper penger på slike plattformer, langt vanligere enn å bli hacket. Ethvert ærlig svar på «er Bybit trygg» må sette det i perspektiv: statistisk sett er gearingsproduktene en langt større trussel mot saldoen din enn sikkerheten til børsen som holder den. Å handle kryptoderivater setter kapitalen din i fare. Denne siden er ikke investeringsråd og kan ikke fortelle deg om noe produkt passer for deg.

Uttak, compliance-holdeperioder og frosne kontoer

Bybits uttakshistorikk i sin verste uke var utmerket, og det fortjener vekt. Til daglig er uttak generelt raske, med on-chain-behandling vanligvis innen en time når sikkerhetssjekkene er klarert.

Den tilbakevendende klagen mot Bybit er ikke trege utbetalinger, men compliance-frysinger. Søk på en hvilken som helst anmeldelsesplattform, og du finner brukere som beskriver kontoer begrenset uten varsel, midler utilgjengelige under en compliance-gjennomgang, ingen oppgitt grunn, ingen oppgitt sluttdato, og supportsaker som beveger seg tregt. Noen av disse følger innskudd sporet til sanksjonerte eller høyrisikokilder. Storbritannia satte børsen HTX under sanksjoner 26. mai 2026, og brukere har siden rapportert holdeperioder på overføringer knyttet til den, inkludert brukere som ikke bevisst hadde gjort noe galt.

To ting bør sies ærlig om det bevismaterialet. Klageutvalg er selvselekterende, fordi ingen skriver en anmeldelse for å rapportere at uttaket deres fungerte. Og compliance-holdeperioder skjer på enhver KYC-plattform på jorden, siden de er en juridisk forpliktelse snarere enn en forretningspreferanse. Det som er rettferdig å kritisere, er ugjennomsiktigheten.

Vær også forsiktig med hvem du tar råd fra her. En hjemmeindustri av «fund recovery»-selskaper markedsfører seg selv på nettopp disse klagene, og de har en kommersiell interesse i å få børsfrysinger til å høres både universelle og reversible ut mot en avgift. Behandle de kildene som reklame.

• Hold bare det du aktivt bruker på børsen, og flytt langsiktige beholdninger til en lommebok du kontrollerer selv. Ingenting du holder på en børs, er forsikret, noe som er lærdommen fra februar 2025 gjentatt.
• Slå på tofaktorautentisering med en autentiseringsapp fremfor SMS, sett opp en hviteliste for uttaksadresser, og bruk en anti-phishing-kode slik at du kan gjenkjenne ekte e-poster.
• Fullfør verifiseringen helt før du setter inn noe betydelig, slik at et KYC-hull ikke kan strande midler senere.
• Unngå å motta innskudd fra ukjente motparter, peer-to-peer-handler med fremmede eller midler med uklar opprinnelse, som er den vanligste utløseren for en compliance-holdeperiode.

KYC og landbegrensninger

Bybits æra uten verifisering er over. Identitetsverifisering på minst standardnivå er nå obligatorisk på tvers av Bybits produkter og tjenester, og en uverifisert konto kan ikke reelt handle, sette inn eller ta ut. Standardverifisering betyr vanligvis et offentlig ID-dokument pluss en liveness-sjekk, og godkjennes i løpet av en dag for enkle tilfeller. Høyere verifiseringsnivåer hever uttaksgrensene, og for EØS-enheten er de rett og slett et juridisk krav.

Landdekning endres ofte, så sjekk på registreringssiden i stedet for å stole på noen liste du leser på nett, denne inkludert. Som et generelt bilde i 2026: Bybit betjener ikke USA, og er utilgjengelig eller begrenset i det kinesiske fastlandet, Singapore og Canada, blant andre. Storbritannia er et annet tilfelle og ofte rapportert utdatert. Bybit vendte tilbake til Storbritannia 19. desember 2025, etter et to år langt fravær, gjennom en avtale med Archax, et FCA-autorisert selskap som godkjenner og fører tilsyn med de finansielle markedsføringene. Det er ingen FCA-registrering for Bybit selv. Brukere i Storbritannia får spothandel på tvers av mer enn 100 par pluss peer-to-peer-handel, og ingen derivater eller gearede produkter. EØS-innbyggere betjenes av Bybit EU i stedet for den globale plattformen. Å bruke en VPN for å komme rundt en landbegrensning er en god måte å få en konto frosset på i det øyeblikket du prøver å ta ut penger, og vilkårene tillater akkurat det.

Å registrere seg gjennom en henvisningslenke eller -kode endrer ingenting av det ovenstående. En registreringsbelønning er en markedsføringskostnad, ikke en sikkerhetsfunksjon, og den oppveier verken forvaringsrisiko, likvidasjonsrisiko eller muligheten for en kontobegrensning. Bybits standardbelønning er et lite beløp bitcoin for begge sider når kvalifiseringsvilkårene er oppfylt, og de vilkårene endres jevnlig. Vurder børsen først.

Så, er Bybit trygg? Et kalibrert svar

Det genuint interessante spørsmålet er om en børs som ble brutt inn i og holdt brukerne sine skadesløse, er tryggere eller mer risikabel enn en som aldri har blitt testet. Det finnes ikke noe rent svar, men det finnes et forsvarlig et.

Det hendelsen beviste, og den beviste det faktisk, er at Bybit hadde kapitalen, kredittlinjene og den operasjonelle disiplinen til å absorbere det største tyveriet i børshistorien uten å røre kundesaldoer eller noen gang suspendere uttak. Svært få børser kunne ha gjort det, og de fleste av dem som sviktet i 2022, stanset uttak lenge før tap av den størrelsen.

Det hendelsen også beviste, er at en overføring på $1.4 milliarder ble godkjent av mennesker som så på en skjerm en tredjeparts kompromitterte laptop kunne manipulere, og at pengene stort sett er borte. Å overleve et tap er ikke det samme som å være lite sannsynlig å lide et. Bransjens respons, en bevegelse bort fra blind signing mot uavhengig transaksjonsverifisering, maskinvarebekreftelse av overføringsdetaljer, MPC-basert forvaring og oppgjør utenfor børsen, er reell fremgang, men det er fremgang hele bransjen gjør, ikke en voll noen enkelt børs har bygget.

Så den kalibrerte posisjonen er denne: Bybit er i dag et rimelig valg blant store offshore-børser, med bedre enn gjennomsnittlig åpenhet, en bevist vilje til å absorbere et tap i stedet for å føre det videre, og en ekte europeisk lisens for EØS-brukere. Det er ikke et trygt sted å lagre sparepenger, for ingen børs er det, og forvaringsrisiko, motpartsrisiko og compliance-fryserisiko er alle reelle og ingen av dem er forsikret.

Det praktiske svaret avhenger av hvem du er. Hvis du er EØS-innbygger og vil ha spothandel, er Bybit EU et legitimt regulert alternativ under de samme MiCA-reglene som de lisensierte konkurrentene, så sammenlign gebyrer og eiendelsdekning i stedet for å gruble over hacket. Hvis du kom for evigvarende kontrakter eller copy trading og bor i EØS, kan Bybit for øyeblikket ikke betjene deg, og en plattform med både MiCA- og MiFID-tillatelser er et mer nyttig sted å se. Hvis du er utenfor EØS og vil ha gearede derivater, er Bybit en av de dypeste og mest likvide plattformene tilgjengelig, og du aksepterer offshore motpartsrisiko uten noen tilsynsmyndighet bak deg. I alle tilfeller, hold bare den saldoen handelen din faktisk krever på børsen.

Ofte stilte spørsmål