Seit dem Angriff auf Binance vom 29. Oktober 2026 verfolgen Analysten vor allem die Spur des Geldes – und die Frage, ob dahinter nordkoreanische Hacker stecken. Rund 6,3 bis 6,4 Milliarden Dollar sind aus den Hot Wallets der Börse abgeflossen, also aus den online verbundenen Wallets für Auszahlungen. Ein großer Teil steckt inzwischen fest. Der Rest wandert über neue Adressen, Tauschbörsen ohne zentrale Betreiber und Brücken zwischen Blockchains weiter. Blockchain-Firmen wie Chainalysis, TRM Labs und Elliptic sehen starke Indizien für Nordkorea; FBI und Binance haben das offiziell nicht bestätigt.
Vom Hot Wallet in Dutzende Angreifer-Adressen
Laut Elliptic begann der Abfluss gegen 20:05 Uhr UTC. Innerhalb von etwa 30 Minuten wurden Binance-Wallets auf rund elf Blockchains geleert, darunter Ethereum, Bitcoin, Tron, Solana, Avalanche und das XRP-Ledger. Allein auf Ethereum gingen rund 3,8 Milliarden Dollar weg, darunter etwa 1,9 Milliarden USDT und 823 Millionen USDC. Dazu kamen unter anderem 18.270 Bitcoin (damals rund 1,48 Milliarden Dollar) und hunderte Millionen USDT auf Tron.
Auf Ethereum nutzten die Angreifer nach übereinstimmenden Berichten von Elliptic, Chainalysis und Binance Co-Chef Richard Teng das Protokoll EIP-7702: Damit konnte ein Hot Wallet so umgestellt werden, dass es Angreifer-Code ausführte. Vorbereitungswallets waren zuvor über Tornado Cash mit kleinen Ether-Beträgen gefüllt worden – ein Mixer, der Ein- und Auszahlungen vermischt, um die Herkunft zu verschleiern. Binance betont, es gebe keinen Hinweis auf gestohlene private Schlüssel; die Untersuchung habe jedoch weitere Einbruchspunkte gefunden und spreche von einem komplexen Angriff mit mehreren Beteiligten.
Der Wettlauf ums Einfrieren
Stablecoins – also Token, die an den Dollar gekoppelt sind und von einem Herausgeber gesteuert werden – machten Elliptic zufolge rund 3,46 Milliarden Dollar der Beute aus. Genau hier setzte die Gegenwehr an: Tether sperrte Adressen mit mehr als 1,5 Milliarden USDT, Circle mehr als 800 Millionen USDC. Auch Ripple, Paxos, First Digital und weitere Emittenten sowie der Arbitrum Security Council zogen nach. Binance spricht von rund drei Milliarden Dollar eingefrorener Assets; Elliptic hat on-chain etwa 2,84 Milliarden verifiziert – fast ausschließlich Stablecoins.
Der Angreifer versuchte, dem Einfrieren zuvorzukommen. Chainalysis beschreibt, wie innerhalb von rund 20 Minuten Hunderte Millionen Stablecoins in Ether getauscht wurden. Elliptic sieht auf Ethereum allein rund 434 Millionen USDT, die über Uniswap, 1inch und Marktmacher gegen Ether gingen – teils mit deutlichen Abschlägen. Ein weiteres Wallet hinterlegte rund 60 Millionen USDT als Sicherheit bei Aave und lieh sich Ether; Aave stoppte daraufhin betroffene Märkte. Einfrieren stoppt nur die Bewegung. Die Rückgabe braucht laut TRM-Labs-Policy-Chef Ari Redbord gegenüber CNBC einen gerichtlichen Weg und die Zusammenarbeit mit den Emittenten.
Was sich nicht einfrieren lässt – und schon weiterwandert
Bitcoin, Ether, XRP und ähnliche Native Assets haben keinen Emittenten mit Sperrschalter. Die 18.270 Bitcoin wurden über eine kurze Peel-Chain auf 19 Adressen verteilt – meist je 1.000 Bitcoin. Bis Freitagabend (Berliner Zeit) war davon laut Elliptic und früherer CoinDesk-Spur noch nichts an eine Börse oder einen Dienst geflossen. XRP (233 Millionen), Solana und NEAR lagen ebenfalls weitgehend unbewegt.
Bewegung gab es woanders: Auf Tron wurden Hunderte Millionen USDT in TRX getauscht und auf neue Adressen gesplittet; Teile fließen über Swap-Dienste und Bridges ab. Am Freitagvormittag (UTC) verkaufte der Angreifer gestohlenes AVAX gegen USDC, schickte es über Circles Cross-Chain Transfer Protocol nach Ethereum und tauschte es in Ether. Elliptic schätzt den noch beweglichen, nicht einfrierbaren Bestand auf rund 3,28 Milliarden Dollar – verteilt auf etwa 72 Adressen, darunter mehr als 500.000 Ether und die 18.270 Bitcoin. Chainalysis beobachtet zudem automatisierte Muster: Tausende Transaktionen, viele Adressen mit genau einem TRX als erstem Eingang.
Steckt wirklich Nordkorea dahinter?
TRM Labs ordnet den Angriff mit hoher Sicherheit der nordkoreanischen Hackergruppe TraderTraitor zu – derselben Einheit, die das FBI im Februar 2025 für den Bybit-Diebstahl von rund 1,5 Milliarden Dollar verantwortlich machte. Als typische Muster nennt TRM unter anderem kleine Tornado-Cash-Auszahlungen zur Finanzierung eines Operator-Wallets, lange Vorbereitung und im Voraus erzeugte Signaturen, die dann in einem Rutsch ausgeführt wurden. Chainalysis kommt zum gleichen Schluss und nennt als stärkstes Indiz, dass Binance-Beute on-chain mit Mitteln aus dem mutmaßlich nordkorea-verbundenen Bitget-Diebstahl vom September 2026 vermischt wurde. Elliptic hält eine Nordkorea-Verbindung für wahrscheinlich und bestätigt, dass ein Teil der Tron-Mittel dieselbe Adresse erreicht hat wie Bitget-Beute – zuerst vom On-Chain-Ermittler ZachXBT gemeldet. Die Methode erinnert außerdem an Bybit 2025: Nicht die Kryptografie der Wallets wurde geknackt, sondern die Infrastruktur und die Menschen darum herum.
Was Behörden und Binance sagen, ist zurückhaltender. Das FBI erklärt laut Reuters und BBC nur, es sei über den Vorfall informiert und arbeite mit Partnern an Umfang, Auswirkungen und nächsten Ermittlungsschritten – ohne Täter zu benennen. Der US Secret Service teilte am Freitag mit, rund um die Uhr mit Partnern Gelder zu identifizieren, einzufrieren, zu verfolgen und zurückzuholen; auch dort keine Zuordnung zu Nordkorea. Binance äußert sich öffentlich nicht dazu, wer hinter dem Angriff steckt.
Gegen eine voreilige Festlegung spricht einiges: Elliptic selbst warnt, die Überschneidung mit Bitget-Mitteln sei bislang klein, und Waschnetze können mehreren Auftraggebern dienen. Außerdem war der Angreifer bei den Stablecoins ungewöhnlich langsam – mehr als 2,6 Milliarden Dollar konnten eingefroren werden; nordkorea-verbundene Gruppen bewegen Geld typischerweise schneller. Beim Bybit-Hack hatte das FBI Nordkorea binnen fünf Tagen benannt; eine vergleichbare Erklärung fehlt hier bisher.
Fazit: Die On-Chain-Indizien, die TRM Labs, Chainalysis, Elliptic und ZachXBT vorlegen, sind stark. Offiziell bestätigt – weder vom FBI noch von Binance – ist die Nordkorea-Zuordnung bislang nicht.
Was das für Börsen, Stablecoins und den Markt heißt
Binance will alle Schäden aus dem SAFU-Notfallfonds und eigenen Mitteln decken und hat nach eigenen Angaben mehr als 6,34 Milliarden Dollar reserviert. Auszahlungen bleiben Freitagabend weiter geschlossen, bis der neu aufgebaute Dienst Tests besteht; Co-Chefin Yi He sprach von einer 48-Stunden-Frist für den Beginn der Wiederherstellung, Richard Teng von einem Ziel innerhalb von rund 40 Stunden und einem Reservenachweis bis Montag. Der Bybit-Fall von 2025 wirkte ähnlich; der Binance-Diebstahl ist um ein Vielfaches größer.
Stablecoin-Herausgeber sind damit Teil der Krisenabwehr: Wer Token mit Blacklist ausgibt, kann Milliarden stoppen – wer nur Native Coins hält, nicht. Bitcoin notierte am Freitag gegen 17:15 Uhr (Berliner Zeit) laut CoinGecko bei rund 77.400 Dollar (minus etwa 5,2 Prozent in 24 Stunden), Ether bei rund 2.227 Dollar, BNB bei rund 700 Dollar. Sean Farrell von Fundstrat sieht derzeit kein klares Zahlungsfähigkeitsrisiko für Binance; entscheidend sei, wie schnell und geordnet die Auszahlungen zurückkommen. Wer größere Beträge länger lagert, kann sie in einer eigenen Wallet halten, deren Schlüssel nur er selbst kennt – statt alles dauerhaft auf einer Börse zu lassen.
Quellen: Binance Security Incident Update; Elliptic; Chainalysis; TRM Labs; CNBC; BBC; Reuters/CNA (FBI, Secret Service); CoinGecko (Preise).
Schreibe einen Kommentar
Du musst angemeldet sein, um einen Kommentar abzugeben.