Rund 6,3 Milliarden US-Dollar sind am 29. Oktober aus den Hot Wallets der Krypto-Börse Binance abgeflossen – innerhalb von etwa 20 Minuten und über zehn Blockchains hinweg. Vier Tage später meldet das Unternehmen eine Abdeckung von zuletzt nahezu 100 Prozent und öffnet die Auszahlungen schrittweise. Das FBI attributiert den Diebstahl der nordkoreanischen Einheit TraderTraitor. Für einen Abfluss personenbezogener Kundendaten gibt es keine Belege; im Zentrum steht die Signaturinfrastruktur für Hot Wallets.
Ein Abfluss in etwa zwanzig Minuten
Am Abend des 29. Oktober, kurz nach 20:05 UTC, beginnen die ersten Überweisungen. Innerhalb von Minuten schicken Binance-Wallets auf dem XRP Ledger, auf Solana und auf Optimism ihre Bestände an Adressen, die ein einzelner Angreifer kontrolliert 2. Um 20:20 UTC folgt ein Bitcoin-Hot-Wallet mit 18.270 BTC, kurz darauf ein Tron-Wallet mit 612,7 Millionen USDT. Auf Ethereum verschiebt eine einzige Transaktion 167.464 ETH und 63 weitere Token, darunter 1,615 Milliarden USDT. Eine zweite Welle erreicht um 23:05 UTC Wallets auf Avalanche und Polygon 2.
TRM Labs beziffert den Abfluss auf rund 6,36 Milliarden Dollar, bewertet zu Preisen des Diebstahlszeitpunkts und verteilt über zehn Blockchains; bei aktuellen Kursen sind dieselben Bestände etwa 6,23 Milliarden Dollar wert 2. Binance selbst spricht von rund 6,3 Milliarden Dollar betroffener Vermögenswerte 1. Die frühe Lesart, es handele sich lediglich um die Obergrenze eines möglichen Schadens, ist damit überholt: Die Transfers sind on-chain nachvollziehbar, das Unternehmen hat den Betrag bestätigt und eigene Mittel in dieser Größenordnung zurückgelegt 3 4.
Was die Krypto-Börse bislang preisgibt
Binance setzte Auszahlungen zunächst aus, Einzahlungen blieben nach Unternehmensangaben unberührt 8. Am Sonntag öffnete die Börse die Auszahlungen schrittweise, zuerst für Bitcoin, dann für Ethereum, BNB Smart Chain und weitere Netzwerke 3 6. Nach eigenen Angaben hat Binance mehr als 6,34 Milliarden Dollar eigener Mittel zurückgelegt, um die Verluste zu decken 4 5. „Binance wird die finanziellen Auswirkungen dieser gestohlenen Gelder tragen, nicht unsere Nutzer“, heißt es in der Mitteilung des Unternehmens 3. Am Samstag meldete es eine Abdeckung von 90 Prozent; die restlichen zehn Prozent entfielen auf weniger liquide Token außerhalb der zehn größten Werte 3 4. Am Sonntag erklärte Binance laut NPR, nahezu 100 Prozent ersetzt zu haben 7. Bitcoin, Ethereum, Tether, BNB, Solana, USDC, XRP, USD1, RLUSD und ZEC seien vollständig gedeckt 3. Für die Aufstockung nutzt Binance nach eigenen Angaben einen Teil des Secure Asset Fund for Users (SAFU), einen Teil des Futures-Versicherungsfonds und die eigene Konzernkasse 3 5.
Wie viele Nutzer oder Konten betroffen sind, hat das Unternehmen nicht veröffentlicht. Bekannt ist nur die Größe der Plattform: mehr als 300 Millionen registrierte Nutzer und 2024 ein Verwahrvolumen von über 160 Milliarden Dollar 8; nach dem jüngsten Proof-of-Reserves-Snapshot verwaltet Binance rund 171 Milliarden Dollar 6. Für eine Kompromittierung personenbezogener Kundendaten gibt es in den bisherigen Mitteilungen und Berichten keine Belege. Im Zentrum stehen Guthaben und die Infrastruktur, über die Auszahlungen signiert werden.
Der Angriffsweg: Signaturen statt gestohlener Schlüssel
Die offizielle Ursachenanalyse steht aus. Zunächst hieß es, ein Laptop eines DevOps-Ingenieurs sei kompromittiert worden; das habe dem Angreifer Zugang zu einem Service-Container verschafft und unautorisierte Auszahlungstransaktionen ermöglicht 1. Später meldete Binance „weitere Punkte des Eindringens“ 1. Co-CEO Richard Teng sagte: „Das wurde nicht von einer Person durchgeführt. Unsere erste Untersuchung deutete darauf hin, dass der Sicherheitsvorfall mit einem kompromittierten Laptop zusammenhängen könnte; unsere anschließende Untersuchung hat jedoch weitere Punkte des Eindringens aufgedeckt“ 8. Der Angreifer habe nicht einfach die Berechtigungen eines Ingenieurs genutzt, es sei keine Ein-Klick-Aktion gewesen, Verantwortung sei keinem Einzelnen zugewiesen worden, und Hinweise auf ein Leck privater Wallet-Schlüssel gebe es nicht 1. Zudem habe eine Selbstzerstörungsmechanik Werkzeuge und Spuren beseitigt 8.
TRM Labs liest die On-Chain-Daten präziser. Auf Ethereum nutzte der Angreifer eine EIP-7702-Delegation, um ein Binance-Hot-Wallet in einen von ihm steuerbaren Sweeper zu verwandeln; die Transaktion enthielt 50 vorab signierte Autorisierungen für 50 aufeinanderfolgende Nonces 2. Entscheidend ist die Breite: Wallets auf zehn Chains mit unterschiedlichen Schlüsseltypen und Signaturschemata lieferten binnen einer knappen halben Stunde gültige Signaturen für den Angreifer. TRMs Einschätzung: Wahrscheinlich verschaffte sich der Angreifer die Fähigkeit, das Signatursystem für Hot Wallets zu Transaktionen seiner Wahl zu veranlassen 2.
Eine Supply-Chain-Kompromittierung oder ein Insider ist damit nicht belegt. Die Indizien deuten auf kompromittierte Endpunkte und Signaturwege – auf Systeme und Personen mit Berechtigung, nicht auf gestohlene Tresorschlüssel. Jayant Dave von Check Point sagte der BBC, Angreifer bräuchten „die Schlüssel des Tresors nicht mehr“; sie zielten „auf die Systeme und Menschen, die befugt sind, sie zu benutzen“ 1.
Rund 2,7 Milliarden eingefroren, 2,4 Milliarden außer Reichweite
Tether fror rund 1,77 Milliarden USDT ein, Circle etwa 825 Millionen USDC, Ripple 40,5 Millionen RLUSD, World Liberty Financial 27,8 Millionen USD1 2. Der Sicherheitsrat von Arbitrum verschob mit Notfallbefugnissen 8.426 ETH und 74,6 Millionen ARB im Wert von rund 30 Millionen Dollar aus der Angreiferwallet. Insgesamt sind damit etwa 2,7 Milliarden Dollar blockiert 2.
Der Angreifer reagierte: Er verkaufte USDT mit einem Abschlag von mehr als zehn Prozent gegen ETH – rund 325 Millionen USDT für etwa 122.300 ETH – und hinterlegte 60 Millionen USDT als Sicherheit bei Aave, um rund 19.760 ETH zu leihen; Aave fror die betroffenen Märkte ein 2. Nach TRM-Berechnung kontrolliert er derzeit mehr als 420.000 ETH und 18.270 BTC, rund 2,4 Milliarden Dollar, die kein Emittent einfrieren kann 2. Das FBI beobachtet den Tausch in Ethereum und erwartet weitere Waschschritte über dezentrale Finanzprotokolle; es forderte Unternehmen auf, Transaktionen mit den identifizierten Adressen zu blockieren 5 9.
3,6 Milliarden Dollar Nettoabfluss
Bis Sonntagnachmittag wickelte Binance 4,6 Milliarden Dollar an Auszahlungen und 1 Milliarde Dollar an Einzahlungen ab – ein Nettoabfluss von rund 3,6 Milliarden Dollar oder 2,1 Prozent des verwalteten Vermögens von 171 Milliarden Dollar 6. Die Börse erklärte, nach einem ersten Anstieg gingen die Auszahlungen zurück, die Einzahlungen blieben substanziell 6. Die Kurse reagierten deutlicher: Bitcoin fiel um bis zu fünf Prozent auf rund 76.800 Dollar, Ethereum um sechs, BNB um zehn Prozent; Coinbase gab zwölf Prozent nach, auch wegen schwacher Quartalszahlen 5 8.
Wer am Ende für die Verluste aufkommt
Die Zusage, alle Verluste zu tragen, ist beruhigend, aber nicht automatisch durchsetzbar. „Ob das trägt, hängt davon ab, was den Kunden in ihren Verträgen versprochen wurde – und wo Binance bei Nichterfüllung verklagt werden kann“, sagte Daniel Tunkel von der Londoner Kanzlei Edwin Coe der BBC 8. Anders als Broker in den USA müssen Krypto-Börsen keine Versicherung für Kundengelder vorhalten. „Der regulatorische Rahmen für Krypto ist deutlich schwächer als das, was Anleger in den USA in anderen Märkten gewohnt sind“, sagte Amanda Fischer von der Verbraucherorganisation Better Markets dem US-Sender NPR 7.
Der Branchenvergleich liegt nahe: Der Bybit-Hack von 2025 kostete 1,5 Milliarden Dollar, der Angriff auf Bitget im September 388 Millionen 1. Vor vier Jahren griff FTX auf Kundengelder zu und kollabierte. Offen ist nicht nur die Ursachenanalyse, die Binance seit Donnerstag ankündigt. Offen ist auch, wie schnell das Unternehmen die fehlenden zehn Prozent beschafft – und ob die verbleibenden 2,4 Milliarden Dollar gestoppt werden, bevor sie über Bridges und OTC-Schalter verteilt sind.
Ähnliche Artikel
