Är Bybit säkert? Vad hackningen 2025 faktiskt visar

Vad som faktiskt hände i februari 2025

Den 21 februari 2025 genomförde Bybit en rutinmässig intern överföring, och flyttade Ethereum från en kall plånbok till en varm plånbok som används för den dagliga verksamheten. Överföringen krävde att flera Bybit-chefer signerade den med Safe{Wallet}, en allmänt använd tredjeparts multisignatur-smart kontraktsplånbok. Undertecknarna granskade vad som såg ut som en vanlig överföring, godkände den, och omkring 401,000 ETH lämnade till adresser de inte kontrollerade.

Det här är delen de flesta bevakningar får fel, och det spelar roll om du bedömer hur säkra dina egna medel skulle vara. Den kalla plånbokens kryptografi var inte knäckt och Bybits egna servrar var inte intrångna. Två oberoende forensiska utredningar, av Sygnia och Verichains, fann inga bevis på kompromettering inuti Bybits infrastruktur. Angriparna hade istället komprometterat en utvecklarmaskin som tillhörde Safe{Wallet} och använt den tillgången för att servera skadlig JavaScript från plånboksgränssnittet på app.safe.global. Koden var villkorad, aktiverades bara för det specifika målet, så vanliga Safe-användare såg inget ovanligt. Den visade en transaktion för Bybits undertecknare och skickade in en annan, och togs sedan bort minuter senare för att dölja angriparnas spår.

Med andra ord, det här var ett fel i blind signering. Undertecknarna godkände det deras skärm sa till dem att de godkände, och deras skärm ljög. Det är en verklig och allvarlig svaghet, och Bybit tog ansvar för den som parten som signerade. Men det är en annan svaghet än slarvig nyckelförvaring eller en insider som försvinner med en privat nyckel, och den säger andra saker om börsen. Den implicerade också en hel branschpraxis snarare än ett enda bolag: vid den tidpunkten signerade gott om stora institutioner högvärdiga överföringar på samma sätt.

Stölden tillskrevs offentligt av FBI till nordkoreanska statskopplade aktörer, klustret som vanligtvis beskrivs som Lazarus Group. Medlen tvättades snabbt genom mixers och cross chain-broar. Bybit lanserade ett belöningsprogram som erbjöd 10% av allt som återfanns, och drev senare civilrättsliga processer. Återvinningen har ändå varit dålig, och per augusti 2026 är merparten av pengarna borta. Rättsprocesser kan frysa tillgångar utredare lyckas identifiera, men en frysning är inte samma sak som att medlen kommer tillbaka till parten som förlorade dem. Anta, när du läser om någon stor kryptostöld, att pengarna inte kommer tillbaka.

Hur Bybit svarade, och om användare fick full ersättning

För det första, uttag stoppades aldrig. Under timmarna efter att stölden blev offentlig uppstod en bankrusning, precis vad man skulle förvänta sig. Bybit behandlade fler än 350,000 uttagsbegäranden, och rapporterade att man slutförde 99.9% av dem inom omkring tio timmar. Kumulativa utflöden under dagarna som följde uppgick till miljarder. En kö byggdes verkligen upp, och Bybit sa det öppet vid tillfället snarare än att tyst strypa den. Koncernchef Ben Zhou uppgav under rusningen att omkring 70% av begärandena hade avklarats under de första ett par timmarna, att vissa användare skulle vänta några timmar, och att nätverksöverbelastning fortfarande kunde försena överföringar. Det som inte hände är delen som spelar roll: uttag pausades aldrig, inget akut underhållsfönster dök upp, och eftersläpningen arbetades av inom omkring tolv timmar. Jämför det med det vanliga misslyckandemönstret i den här branschen, där uttagsknappen slocknar först och tillkännagivandet kommer dagar senare.

För det andra, hålet fylldes snabbt. Bybit stängde ETH-gapet inom ungefär 72 timmar med en blandning av öppna marknadsköp, brolån och stora insättningar från motparter inklusive Galaxy Digital, FalconX och Wintermute. Firman som kör dess reservbevisattesteringar, Hacken, rapporterade därefter att stora tillgångar inklusive BTC, ETH, SOL, USDT och USDC var tillbaka över en säkerhetstäckningsgrad på 100%.

För det tredje, kunderna tog ingen nedskrivning. Det fanns ingen socialiserad förlust, ingen ADL-liknande återkrav tillämpad på spotsaldon, ingen konvertering av användaranspråk till ett återvinningstoken. Förlusten absorberades i Bybits egen balansräkning, delvis finansierad genom lån. Det är en meningsfull datapunkt, och det är det enskilt starkaste argumentet till Bybits fördel.

Nu den ärliga brasklappen. Användare fick full ersättning eftersom Bybit var stort nog att äta en förlust på 1.4 miljarder dollar och eftersom motparter var villiga att låna ut till bolaget. Det var ett kapacitetsutfall, inte en juridisk garanti. Det finns ingen insättningsförsäkringsordning bakom en kryptobörs någonstans i världen, och ingenting i dina kontovillkor skulle ha förpliktat någon att täcka dig.

Vem du faktiskt ingår avtal med: Bybit EU eller offshore-enheten

Vilken enhet du ingår avtal med förändrar svaret helt, beroende på din adress.

"Bybit" är inte ett bolag. Om du befinner dig i Europeiska ekonomiska samarbetsområdet är enheten du ingår avtal med Bybit EU GmbH, ett bolag baserat i Wien som innehar en auktorisation som leverantör av kryptotillgångstjänster från Österrikes finansmarknadsmyndighet enligt MiCA, beviljad genom ett beslut daterat 28 maj 2025 och passporterad till 29 EES-stater. Om du befinner dig utanför EES har du istället att göra med en offshore-koncernenhet, och den österrikiska licensen gör dig ingen nytta alls. Vilken enhet det är har ändrats genom åren, så läs namnet i dina egna kontovillkor snarare än att lita på en lista. Bybit Fintech Limited, namnet som förekommer i de äldre tillsynsåtgärderna mot koncernen, är inget säkert antagande. British Virgin Islands finansiella tillsynsmyndighet uppgav offentligt 2023 att bolaget, registrerat där i augusti 2018, hade strukits från BVI-registret i december 2021, upplösts i juli 2023, och aldrig hade varit licensierat i territoriet för finansiella tjänster över huvud taget. Den nederländska centralbanken namngav ändå den enheten när man bötfällde koncernen i oktober 2024, vilket är precis varför enheten skriven in i dina egna kontovillkor är värd att läsa. Stölden i februari 2025 drabbade koncernens globala verksamhet, inte den österrikiska enheten.

De praktiska konsekvenserna av den uppdelningen är stora. MiCA:s övergångsperiod avslutades den 1 juli 2026, och den 29 juni 2026 tillkännagav Bybit att man successivt skulle begränsa EES-invånare från tjänster på den globala plattformen och flytta dem till Bybit EU, som är passporterad till 29 EES-stater men inte Malta. Bybit sa att berörda användare skulle få meddelande och tidslinjer först, och skulle behålla tillgång till befintliga saldon och positioner så att de kunde avveckla dem snarare än att få något fryst. Bybit EU lanserades med spothandel, spotmarginal, Earn-produkter och Bybit-kortet. Det lanserades inte med eviga terminer, optioner eller den hävstångsderivatsvit Bybit är mest känt för. Att få in dem i Europa är en separat ansökan i ett separat bolag: Bybit X GmbH, en österrikisk enhet skild från Bybit EU GmbH, ansökte hos Österrikes FMA den 5 september 2025 om en licens som värdepappersföretag enligt den österrikiska implementeringen av MiFID II, som är regelverket kryptoderivat faller under. Per augusti 2026 hade den licensen inte beviljats, så europeiska användare får inte de produkterna.

Om du kom till den här sidan eftersom du vill ha Bybit för derivat eller copy trading, och du bor i EES, är det faktumet som avgör ditt svar. Säkerhetsfrågan blir irrelevant, eftersom produkten du ville ha inte är tillgänglig för dig genom den licensierade enheten. Vissa konkurrenter har redan löst det här: Kraken, till exempel, innehar en MiCA-auktorisation genom Irlands centralbank tillsammans med en separat MiFID-auktorisation via CySEC, vilket är vad som gör att en europeisk plattform kan erbjuda derivat lagligt. Det är en genuin fördel jämfört med Bybit i Europa per augusti 2026. Bitvavo är ett annat etablerat europeiskt alternativ, även om det är en spotplattform och inte en derivatplattform.

Användare utanför EES får hela produktutbudet och, i utbyte, svagare skydd. Kontrollera dina kontovillkor för att se vilken enhet som namnges.

Var Bybit är reglerat, och var det ordet gör mindre arbete än det verkar

Offshore-börser tycker om att lista licenser, och de flesta av de licenserna är smalare än ordet antyder. Det är värt att skilja de meningsfulla från de dekorativa.

Den österrikiska MiCA-auktorisationen är den verkliga. MiCA ställer krav på åtskillnad av klienttillgångar, styrning, klagomålshantering, förvaringsansvar och information, och en europeisk myndighet kan agera mot företaget. Bybit EU är auktoriserat för en delmängd av MiCA:s kryptotillgångstjänster snarare än alla, och det täcker inte derivat, som är finansiella instrument och faller under MiFID snarare än MiCA. Bybits betalningsgren, Bybit Payments GmbH, beviljades en licens som institut för elektroniska pengar av Österrikes FMA enligt E-Money Act 2010, tillkännagiven den 4 augusti 2026, vilket är relevant för kort- och betaltjänster snarare än handel.

I Förenade Arabemiraten flyttade Bybit sitt huvudkontor till Dubai 2022, innehar licensiering från Dubais Virtual Assets Regulatory Authority, och fick i oktober 2025 en Virtual Asset Platform Operator-licens från UAE Securities and Commodities Authority. Det är genuina auktorisationer i en jurisdiktion med en verklig regim för virtuella tillgångar, men de skapar ingen ersättningsordning och kommer inte att hjälpa en användare i Brasilien eller Vietnam.

Tillsynshistoriken är inte fläckfri, och du bör väga in den. Den 22 oktober 2024 bötfällde den nederländska centralbanken, De Nederlandsche Bank, Bybit Fintech Limited €2,250,000 för att ha erbjudit kryptotjänster i Nederländerna utan den lagstadgade registreringen, en period som löpte fram till september 2023. I januari 2025 utdömde Indiens finansiella underrättelseenhet ett straff på omkring ₹9.27 crore, ungefär 1 miljon dollar, för att ha bedrivit verksamhet utan registrering enligt indisk penningtvättslag; Bybit betalade, registrerade sig, och återupptog tjänsten där senare 2025. Frankrikes marknadstillsyn hade tidigare listat Bybit som en oauktoriserad leverantör, och man togs bort från den listan i början av 2025.

Mönstret är konsekvent och värt att namnge rakt på sak: Bybit har upprepade gånger agerat på marknader först och reglerat sig efteråt, och betalat böter när man åkt fast. Sedan 2024 har man rört sig beslutsamt mot licensiering. Båda halvorna av den meningen är sanna, och hur mycket vikt du lägger vid var och en är ett omdöme, inte ett faktum.

Reservbevis: användbart, och smalare än det låter

Bybit publicerar reservbevisattesteringar, verifierade av en tredje part, med regelbunden takt, med hjälp av ett Merkle-träd så att enskilda användare kan kontrollera att deras eget saldo ingick i ögonblicksbilden. Efter hackningen bekräftade Hackens attestering att stora tillgångar var tillbaka över 100% säkerhetstäckning. Det är mer transparens än de flesta börser erbjöd före 2022, och det är värt att kontrollera innan du sätter in pengar.

Det säljs också rutinmässigt in för hårt, så här är vad det inte berättar för dig.

En rapport som visar täckning några punkter över 100% för BTC är ett påstående om en tillgång vid ett ögonblick, verifierat av en firma med hjälp av data börsen tillhandahöll. Det är en användbar rökdetektor, inte en garanti och inte en försäkring.

• Det är en ögonblicksbild vid ett enda ögonblick. Tillgångar som finns på attesteringsdagen kan flyttas nästa dag.
• Det täcker bara tillgångarna som ingick i den bedömningen. Allt utanför de listade tokens är overifierat.
• Det visar inte skulder utanför balansräkningen: upplåning, brolån, rättsprocessexponering eller åtaganden mot motparter. En börs kan vara översäkerhetsstäckt på tokens och ändå vara i trubbel.
• Det säger ingenting om derivatexponering, orealiserade förluster på plattformens egna positioner, eller operationell risk.

Försäkringsfonden försäkrar dig inte

Det här är den mest konsekvent missförstådda posten på vilken derivatbörs som helst, och namnet är helt och hållet skulden. Bybit upprätthåller en försäkringsfond för sina terminskontrakt. Många läser det som skydd för sina pengar. Det är det inte.

Fonden finns för att absorbera negativt eget kapital. När en hävstångsposition likvideras till ett pris sämre än dess konkurspris överstiger förlusten handlarens ställda marginal och någon måste täcka underskottet så att den vinnande motparten får full betalning. Det är fondens jobb. Den finansieras av Bybits bidrag plus överskottet från likvidationer som stängs bättre än konkurspriset, och Bybit har lagt till segmenterade pooler för nyligen listade kontrakt och korrelerade portföljer för att öka förlustabsorptionskapaciteten.

Läs den mekaniken igen från ditt eget perspektiv. Vid den tidpunkt då försäkringsfonden blir relevant för din position är din marginal redan borta. Fonden skyddar plattformens avräkningsintegritet och handlaren på andra sidan av dig. Den återbetalar dig inte, den begränsar inte dina förluster, och den har inget som helst samband med ditt spotsaldo eller med en säkerhetsincident som stölden i februari 2025.

Bakom försäkringsfonden ligger auto deleveraging. Om likvidationsförluster under extrema förhållanden överstiger vad fonden kan täcka, tvångsstänger Bybits ADL-system lönsamma positioner på motsatt sida, med start på de mest högt belånade. Om du är på den rätta sidan av en våldsam rörelse kan ADL avsluta din vinnande affär till systemets pris snarare än ditt. Bybits segmenterade pooler är designade för att göra det mer sällsynt, och det förblir en levande risk i en snabb marknad.

Den enkla sammanfattningen: ingen kryptobörs försäkringsfond, hos Bybit eller någon annanstans, är insättningsförsäkring. Det finns ingen motsvarighet till EU:s bankinsättningsgaranti på €100,000 eller Storbritanniens FSCS för krypto som hålls på en börs.

Hävstång och likvidation, rakt på sak

På den globala plattformen erbjuder Bybit upp till 100x hävstång på sina djupaste eviga kontrakt som BTC och ETH, med maximum som trappas ner på mindre par och krymper ytterligare när din positionsstorlek klättrar genom risklimitnivåerna. Positioner hålls i ett Unified Trading Account som kan köra isolerad, kors- eller portföljmarginal, och likvidation utlöses av markpriset snarare än det senast handlade priset, vilket förhindrar att ett enda tunt avtryck stänger ut dig.

Ingen av den ingenjörskonsten ändrar aritmetiken. Vid 100x hävstång utplånar en rörelse på 1% mot dig marginalen bakom positionen. Vilket marginalläge du är i avgör sedan hur mycket annat som exponeras. Under isolerad marginal är förlusten taklad vid marginalen du tilldelade den positionen. Under kors- eller portföljmarginal är den inte det, och en enda dålig affär kan ta resten av saldot i det kontot med sig, så dessa produkter kan kosta dig mer än beloppet du medvetet bestämde dig för att riskera. Likvidation är ingen varning, det är att positionen stängs, och på snabba marknader betyder glidning mellan utlösaren och den faktiska fyllningen att du kan förlora hela marginalen på en affär som skulle ha återhämtat sig minuter senare. Finansieringsräntor på eviga kontrakt debiterar dig kontinuerligt bara för att hålla en position.

Hög hävstång gör inte i sig en börs osäker, och det är ingen dold fälla. Det är helt enkelt det vanligaste sättet folk förlorar pengar på plattformar som den här, långt vanligare än att bli hackad. Varje ärligt svar på "är Bybit säkert" måste sätta det i proportion: statistiskt är hävstångsprodukterna ett mycket större hot mot ditt saldo än säkerheten hos börsen som håller det. Att handla kryptoderivat sätter ditt kapital på spel. Den här sidan är inget investeringsråd och kan inte tala om för dig om någon produkt passar dig.

Uttag, efterlevnadsspärrar och frysta konton

Bybits uttagshistorik under sin värsta vecka var utmärkt, och det förtjänar vikt. Dag för dag är uttag generellt snabba, med on chain-behandling vanligtvis inom en timme när säkerhetskontrollerna är klara.

Det återkommande klagomålet mot Bybit är inte långsamma utbetalningar utan efterlevnadsfrysningar. Sök på vilken recensionsplattform som helst och du hittar användare som beskriver konton begränsade utan förvarning, medel otillgängliga under en efterlevnadsgranskning, ingen angiven anledning, inget angivet slutdatum, och supportärenden som rör sig långsamt. Vissa av dessa följer på insättningar spårade till sanktionerade eller högriskkällor. Storbritannien satte börsen HTX under sanktioner den 26 maj 2026, och användare har sedan dess rapporterat spärrar på överföringar kopplade till den, inklusive användare som inte medvetet gjort något fel.

Två saker bör sägas om det beviset ärligt. Klagomålsurval är självselekterande, eftersom ingen skriver en recension för att rapportera att deras uttag fungerade. Och efterlevnadsspärrar sker på varje KYC-plattform på jorden, eftersom de är en juridisk skyldighet snarare än ett affärspreferens. Vad som är rättvist att kritisera är otydligheten.

Var också försiktig med vem du tar råd från här. En hemslöjdsindustri av "medelsåterställnings"-företag marknadsför sig på precis dessa klagomål, och den har ett kommersiellt intresse av att få börsfrysningar att låta både universella och reversibla mot en avgift. Behandla de källorna som reklam.

• Håll bara det du aktivt använder på börsen, och flytta långsiktiga innehav till en plånbok du kontrollerar. Ingenting du håller på en börs är försäkrat, vilket är lärdomen från februari 2025 upprepad.
• Aktivera tvåfaktorautentisering med en autentiseringsapp snarare än SMS, ställ in en vitlista för uttagsadresser, och använd en nätfiskeskyddskod så att du kan känna igen genuina e-postmeddelanden.
• Slutför verifieringen helt innan du sätter in något betydande, så att en KYC-lucka inte kan strandsätta medel senare.
• Undvik att ta emot insättningar från okända motparter, peer to peer-affärer med främlingar eller medel av oklart ursprung, vilket är den vanligaste utlösaren för en efterlevnadsspärr.

KYC och landbegränsningar

Bybits era utan verifiering är över. Identitetsverifiering av åtminstone standardnivå är nu obligatorisk över Bybits produkter och tjänster, och ett overifierat konto kan inte meningsfullt handla, sätta in eller ta ut. Standardverifiering betyder typiskt en statlig ID-handling plus en liveness-kontroll och klaras inom en dag för okomplicerade fall. Högre verifieringsnivåer höjer uttagsgränser och är, för EES-enheten, helt enkelt ett juridiskt krav.

Landtäckningen ändras ofta, så kontrollera på registreringssidan snarare än att lita på någon lista du läser online, denna inkluderad. Som en generell bild 2026: Bybit betjänar inte USA, och är otillgängligt eller begränsat i Fastlandskina, Singapore och Kanada bland annat. Storbritannien är ett annat fall och rapporteras ofta inaktuellt. Bybit återvände till Storbritannien den 19 december 2025, efter en två år lång frånvaro, genom ett arrangemang med Archax, ett FCA-auktoriserat företag som godkänner och övervakar dess finansiella marknadsföring. Det är ingen FCA-registrering för Bybit självt. Brittiska användare får spothandel över fler än 100 par plus peer to peer-handel, och inga derivat eller hävstångsprodukter. EES-invånare betjänas av Bybit EU snarare än den globala plattformen. Att använda en VPN för att kringgå en landbegränsning är ett bra sätt att få ett konto fryst i det ögonblick du försöker ta ut pengar, och villkoren tillåter precis det.

Att registrera sig via en värvningslänk eller kod ändrar ingenting av det ovanstående. En registreringsbelöning är en marknadsföringskostnad, inte en säkerhetsfunktion, och den uppväger inte förvaringsrisk, likvidationsrisk eller möjligheten till en kontobegränsning. Bybits standardbelöning är en liten mängd Bitcoin för båda sidor när kvalificeringsvillkoren är uppfyllda, och de villkoren ändras regelbundet. Bedöm börsen först.

Så, är Bybit säkert? Ett kalibrerat svar

Den genuint intressanta frågan är om en börs som blev intrångad och gav sina användare full ersättning är säkrare eller riskablare än en som aldrig testats. Det finns inget rent svar, men det finns ett försvarbart.

Vad incidenten bevisade, och den bevisade det verkligen, är att Bybit hade kapitalet, kreditlinjerna och den operativa disciplinen att absorbera den största stölden i börshistorien utan att röra kundsaldon eller någonsin pausa uttag. Väldigt få börser hade kunnat göra det, och de flesta av dem som föll 2022 stoppade uttag långt innan förluster av den storleken.

Vad incidenten också bevisade är att en överföring på 1.4 miljarder dollar godkändes av människor som tittade på en skärm en tredje parts komprometterade laptop kunde manipulera, och att pengarna i praktiken är borta. Att överleva en förlust är inte samma sak som att vara osannolik att drabbas av en. Branschens svar, att röra sig bort från blind signering mot oberoende transaktionsverifiering, hårdvarubekräftelse av överföringsdetaljer, MPC-baserad förvaring och avräkning utanför börsen, är genuina framsteg, men det är framsteg hela branschen gör snarare än en vallgrav någon enskild börs har byggt.

Så den kalibrerade positionen är denna: Bybit är idag ett rimligt val bland stora offshore-börser, med bättre än genomsnittlig transparens, en bevisad villighet att äta en förlust snarare än föra den vidare, och en verklig europeisk licens för EES-användare. Det är inte en säker plats att förvara sparande, eftersom ingen börs är det, och förvarings-, motparts- och efterlevnadsfrysningsrisk är alla levande och ingen av dem försäkrad.

Det praktiska svaret beror på vem du är. Om du är en EES-invånare som vill ha spothandel är Bybit EU ett legitimt reglerat alternativ under samma MiCA-regler som sina licensierade konkurrenter, så jämför avgifter och tillgångstäckning snarare än att grubbla över hackningen. Om du kom för eviga terminer eller copy trading och bor i EES kan Bybit för närvarande inte betjäna dig, och en plattform som innehar både MiCA- och MiFID-tillstånd är den mer användbara platsen att titta. Om du befinner dig utanför EES och vill ha hävstångsderivat är Bybit en av de djupaste och mest likvida plattformarna som finns tillgängliga, och du accepterar offshore-motpartsrisk utan någon tillsynsmyndighet bakom dig. I varje fall, håll bara det saldo din handel faktiskt kräver på börsen.

Vanliga frågor