Am 29. Oktober 2026 erlitt Binance, was mittlerweile als der größte Krypto-Sicherheitsvorfall aller Zeiten gilt. Nicht autorisierte Abhebungen aus mehreren Hot Wallets führten zum Abfluss von schätzungsweise 6,3 Milliarden US-Dollar über mehrere Chains hinweg. Die ersten Ermittlungsergebnisse von Binance deuten auf den Laptop eines kompromittierten DevOps-Ingenieurs hin, der einem Angreifer den Zugriff auf einen Service-Container und das Einreichen nicht autorisierter Transaktionen ermöglichte. Die Börse erklärte, es gebe keine Hinweise auf einen Verlust privater Schlüssel, die Nutzergelder seien weiterhin sicher und sämtliche Verluste würden aus dem SAFU-Fonds und mit Unternehmensmitteln gedeckt.

Unter den gestohlenen Assets befanden sich große Mengen USDT und USDC. Tether fror rasch mehr als 1,56 Milliarden US-Dollar in USDT ein, während Circle rund 823 Millionen US-Dollar in USDC einfror. Auch andere Emittenten wurden aktiv, sodass der Gesamtwert der eingefrorenen Assets rund 3 Milliarden US-Dollar erreichte.

Zu den raffinierteren Aktionen des Angreifers gehörte eine bei Aave. Zwischen 20:58 und 21:01 UTC – etwa 40 Minuten vor den eigenen Markteinfrierungen von Aave – hinterlegte eine mit dem Angreifer verknüpfte Wallet 60 Millionen USDT als Sicherheit bei Aave V3 Ethereum Core und lieh sich 19.762 WETH (zum damaligen Zeitpunkt etwa 44,6 Millionen US-Dollar wert).

Dieser Schritt war aus einem einfachen Grund effektiv: Sobald die USDT in die Aave-Kontrakte eingezahlt waren, konnte Tethers Blacklist ihre Verwendung als Sicherheit nicht mehr verhindern. Die geliehenen ETH unterliegen jedoch nicht demselben zentralisierten Einfrieren. Der Angreifer transferierte die ETH weiter und ließ Aave mit den eingefrorenen USDT als Sicherheit für ausstehende Schulden in Höhe von rund 43,8 Millionen US-Dollar zurück. Die Position ist weiterhin überbesichert und unterliegt den üblichen Liquidationsregeln. Daher erklärte Aave, dass für die Einleger kein wesentliches Risiko besteht.

Aave reagierte vorsorglich, indem es neue Einzahlungen und Kreditaufnahmen in 175 V3-Reserven auf 16 Netzwerken sowie in 117 V4-Reserven auf vier Netzwerken einfrieren ließ. Bestehende Positionen können weiterhin zurückgezahlt oder abgehoben werden, und Liquidationen laufen normal weiter.

Der Vorfall verdeutlicht eine klare Asymmetrie in der Krypto-Infrastruktur. Von Emittenten kontrollierte Stablecoins können auf Kontraktebene eingefroren werden, native Assets wie ETH hingegen nicht. Indem der Angreifer die einfrierbare Sicherheit über ein großes Kreditprotokoll leitete, bevor die Einfrierungen vollständig wirksam wurden, wandelte er einen Teil der gestohlenen Stablecoins in ein Asset um, das sich deutlich schwerer beschlagnahmen lässt.

Binance arbeitet weiterhin mit Strafverfolgungsbehörden und Blockchain-Partnern an der Wiederbeschaffung. Eine vollständige technische Analyse nach dem Vorfall wird erwartet, sobald die Untersuchung abgeschlossen ist.

Aaves Position bleibt gesund – kein systemisches Risiko

Trotz der hohen öffentlichen Aufmerksamkeit, die die Transaktion erregte, stellt die auf Aave zurückgelassene Position weder für das Protokoll noch für seine Nutzer eine nennenswerte Bedrohung dar.

Der Angreifer hinterlegte innerhalb von etwa drei Minuten 60 Millionen USDT als Sicherheit und lieh sich 19.762 WETH (zum damaligen Zeitpunkt etwa 44,9 Millionen US-Dollar). Die resultierende Position weist einen Gesundheitsfaktor von etwa 1,04 auf – nach den Standards des Protokolls überbesichert, mit Sicherheiten im Wert von 59,9 Millionen US-Dollar gegenüber Schulden in Höhe von 44,9 Millionen US-Dollar.

Wichtige Erkenntnisse aus den Risikoanalysen von Aave und den On-Chain-Daten:

• Die ausstehenden Schulden machen nur etwa 0,9 % der wETH-Reserve von Aave V3 Core aus (die zum Zeitpunkt der Erstellung dieses Artikels rund 2,16 Millionen WETH enthielt).

• Die verfügbare wETH-Liquidität ist weiterhin beträchtlich (rund 345.000 WETH bei einer Auslastung von etwa 81,6 %). Das bedeutet, dass Einleger ihre Gelder nach wie vor jederzeit abheben können.

• Liquidationen funktionieren genau wie vorgesehen. Steigt der ETH-Kurs um etwa 4 % auf rund 2.365 US-Dollar, wird die Position ohne erforderlichen Sondereingriff über die normalen Marktmechanismen liquidiert.

• Anders als bei früheren Vorfällen mit Sicherheiten ohne Wert oder mit toxischen Sicherheiten (wie etwa dem Vorfall im Zusammenhang mit Kelp) handelt es sich bei diesen Sicherheiten um echte USDT. Es gibt keinen Grund für eine Dynamik wie bei einem Bank-Run oder eine koordinierte Reaktion im Stil von „DeFi United“.

Aaves Guardian fror anschließend vorsorglich neue Einzahlungen und Kreditaufnahmen in den betroffenen Märkten ein, um eine weitere Umwandlung gestohlener Assets zu verhindern. Bestehende Positionen, einschließlich dieser, bleiben für Rückzahlungen und Abhebungen uneingeschränkt funktionsfähig. Die Governance könnte theoretisch mit einem individuellen Upgrade gezielt in diese einzelne Position eingreifen, doch der praktische Nutzen wäre gering – es wird erwartet, dass die normalen Liquidationen die Angelegenheit reibungslos lösen.

Kurz gesagt: Das Protokoll hat eine raffinierte, aber vollständig regelkonforme adversarische Nutzung seiner Kreditmärkte verkraftet und läuft weiterhin normal. Die Reserven sind für neue Aktivitäten eingefroren, doch Nutzer können ihre Positionen weiterhin ohne Einschränkungen verwalten. Ein weiterer ereignisreicher Tag in DeFi – und Aave bleibt intakt.