Beim Binance-Hack wurden am Donnerstagabend innerhalb von weniger als drei Stunden schätzungsweise 6,3 Milliarden US-Dollar erbeutet. Blockchain-Daten zeigen nun, wohin der Großteil davon floss: Etwa die Hälfte ist eingefroren, Ether im Wert von rund 480 Millionen US-Dollar liegt in zwei Wallets unter der Kontrolle des Angreifers, und der Rest verteilt sich auf andere Chains.
Die wichtigsten Erkenntnisse
Binance beziffert die Gesamtauswirkungen auf etwa 6,3 Milliarden US-Dollar, von denen bislang rund 3 Milliarden eingefroren wurden
Eine einzige Ethereum-Transaktion leerte die als Binance 14 bekannte Hot Wallet und transferierte 167.464 ETH, 1,6 Milliarden USDT und 62 weitere Token
Der Angreifer nutzte EIP-7702, eine 2025 eingeführte Ethereum-Funktion, sowie 50 zuvor eingeholte signierte Genehmigungen
Stablecoins waren die Schwachstelle des Angreifers: Tether und Circle sperrten innerhalb weniger Stunden rund 2 Milliarden US-Dollar in seiner Haupt-Wallet
Rund 214.700 ETH im Wert von etwa 480 Millionen US-Dollar wurden auf zwei neue Wallets transferiert, die niemand einfrieren kann
Fathom berichtete am Donnerstagabend zuerst über die Abflüsse, während sie stattfanden. Hier ist der vollständige Überblick nach einer Nacht, in der die Geldflüsse auf der Blockchain verfolgt wurden.
Die Nacht Stunde für Stunde
Die Zeitangaben stammen aus Blockchain-Aufzeichnungen oder den unten verlinkten Beiträgen.
Zeit (UTC) | Was geschah Do., 15:59 | Der Angreifer stellt den Vertrag bereit, den er später auf Binance 14 installieren wird Do., 20:10 | Laut Arkham beginnen die ersten Abflüsse aus Binance-Hot-Wallets Do., 20:24 | Binance 14 wird in einer einzigen Transaktion geleert Do., 20:38 | Der Angreifer transferiert 195.460 ETH in eine neue Wallet Do., 20:41 | Binance Hot Wallet 34 sendet 780 Millionen USDC an den Angreifer Do., 21:25 | Tether teilt mit, mehr als 1,567 Milliarden USDT eingefroren zu haben Do., 23:05 | Letzter von Arkham erfasster Abfluss aus einer Hot-Wallet Fr., 00:52 | Binance erklärt, „rund 3 Milliarden US-Dollar“ seien eingefroren Fr., 02:25 | Binance beziffert den Schaden auf rund 6,3 Milliarden US-Dollar und macht den kompromittierten Laptop eines Mitarbeiters dafür verantwortlich Fr., 04:36 | Binance erklärt, Auszahlungen sollten innerhalb von 48 Stunden wieder aufgenommen werden Fr., 05:15 | Der Angreifer schickt 17.260 ETH aus Token-Verkäufen an eine weitere neue Wallet
Auch lesenswert: Bei mutmaßlichem Hack fließen in einer Nacht 2,8 Milliarden US-Dollar aus Binance-Wallets ab
Wie viel wurde erbeutet?
Binance erklärte, der „geschätzte Gesamtschaden liege bei rund 6,3 Milliarden US-Dollar“. Das Blockchain-Analyseunternehmen Arkham zählte Abflüsse von 6,01 Milliarden US-Dollar aus Binance-Hot-Wallets auf neun Blockchains. Chainalysis bezifferte den Betrag auf 6,4 Milliarden US-Dollar. Die Abweichung ist hauptsächlich darauf zurückzuführen, welche Preise die Unternehmen zugrunde legten und welche kleineren Blockchains sie mitzählten.
Der größte Teil floss über Ethereum ab, wo jede Transaktion öffentlich einsehbar ist. Bei diesem einzigen Zugriff auf Binance 14 wurden entwendet:
167.464,25 ETH, zum damaligen Kurs von 2.315 US-Dollar etwa 388 Millionen US-Dollar wert
1.615.409.498,97 USDT
62,6 Millionen RLUSD, 27,8 Millionen USD1 und 9,7 Millionen USDe in anderen Stablecoins
7,18 Billionen PEPE, 198,4 Millionen ENA, 6,19 Millionen UNI, 2,26 Millionen LINK und 127.853 AAVE
11.372 Unzen tokenisiertes Gold in XAUt und 1.898 in PAXG sowie 82,5 WBTC
Zwei weitere Binance-Wallets wurden auf dieselbe Adresse geleert. Eine davon verschickte 28.005,6 ETH und 55,7 Millionen USDT, und Binance Hot Wallet 34 sendete 780 Millionen USDC und danach weitere 43 Millionen. Der Angreifer kehrte außerdem zweimal zu Binance 14 zurück und entwendete weitere 1.699,9 ETH und 204,3 Millionen USDT.
Insgesamt erhielt die Hauptadresse des Angreifers auf Ethereum von Binance 197.169,8 ETH, 1,875 Milliarden USDT und 823 Millionen USDC. Das entspricht allein auf Ethereum etwa 3,1 Milliarden US-Dollar, noch ohne die Dutzenden kleineren Token und die Verluste auf Bitcoin, TRON, Solana und anderen Blockchains.
Wo das Geld jetzt ist
Ein Blick auf die Hauptadresse bei Etherscan zeigt eine klare Aufteilung.
Eingefrorene Stablecoins. In den Verträgen von USDT und USDC ist die Hauptadresse als gesperrt aufgeführt. Sie hält weiterhin 1.175.464.712 USDT und 823.000.000 USDC – rund 2 Milliarden US-Dollar, die nicht bewegt werden können. Weitere 700 Millionen USDT wurden an zwei andere Adressen geschickt, die ebenfalls gesperrt sind. Circle-CEO Jeremy Allaire sagte, das Einfrieren der USDC sei „in Abstimmung mit den Strafverfolgungsbehörden“ erfolgt.
Weitere eingefrorene Beträge. Binance-Mitgründerin Yi He dankte Ripple für das Einfrieren von rund 200 Millionen US-Dollar, World Liberty Financial für das Einfrieren von 27 Millionen US-Dollar in USD1 und etwa 2 Millionen US-Dollar in WLFI sowie dem Arbitrum Security Council für das Einfrieren von rund 30,5 Millionen US-Dollar.
Ether, über den der Angreifer weiterhin verfügt. Die Wallet, die 195.460 ETH und später weitere 2.000 erhielt, hält 197.460 ETH, die am Freitagmorgen rund 442 Millionen US-Dollar wert waren. Seitdem wurde kein einziger Coin bewegt.
Verkaufte Token. Die Stablecoins saßen fest, doch die kleineren Token konnten weiterhin verkauft werden. Im Laufe der Nacht tätigte die Hauptadresse über Uniswap-Router mehr als 500 Trades und etwa 90 über andere Swap-Router und verkaufte dabei PEPE, SHIB, ENA, RSR, SAND und Dutzende weitere Token. Laut den Aufzeichnungen von Etherscan brachten die Verkäufe rund 17.200 ETH ein, etwa 38 Millionen US-Dollar wert. Um 05:15 UTC wurde dieses Ether an eine neue Adresse transferiert, die jetzt 17.260 ETH hält. In der Haupt-Wallet sind nur noch 3 ETH.
Andere Blockchains. Arkham zufolge waren am Freitagmorgen ETH, BTC, TRX, SOL und andere Token im Wert von rund 2,9 Milliarden US-Dollar weiterhin beweglich. Binance hat seine Verluste bislang nicht nach Blockchain aufgeschlüsselt.
Wie der Angriff funktionierte
Binance erklärte, erste Erkenntnisse deuteten auf „den kompromittierten Laptop eines DevOps-Ingenieurs“ hin. Dadurch habe der Angreifer Zugriff auf einen Service-Container erlangt und „nicht autorisierte Auszahlungstransaktionen übermitteln“ können. Das Unternehmen erklärte, es habe „keine Hinweise auf ein Leck privater Wallet-Schlüssel“ gefunden und werde einen vollständigen technischen Bericht veröffentlichen.
Die Ethereum-Aufzeichnungen zeigen, wie ein gestohlener Laptop eine Wallet leeren konnte, ohne dass ein Schlüssel gestohlen wurde. Der Sicherheitsforscher 0xQuit führte den Zugriff auf EIP-7702 zurück, eine Ethereum-Erweiterung aus dem Jahr 2025. Sie ermöglicht es einer gewöhnlichen Wallet, den Code eines Smart Contracts zu nutzen, sobald ihr Besitzer eine Genehmigung unterzeichnet. Der Angreifer stellte seinen Vertrag um 15:59 UTC bereit. Etwa vier Stunden später nutzte er eine signierte Genehmigung, um den Vertrag auf Binance 14 zu installieren. Anschließend transferierte der Vertrag alles auf einmal.
Die Genehmigungen wurden im Voraus eingeholt. 0xQuit stellte fest, dass die Abflusstransaktion 50 Genehmigungen mit fortlaufenden Nummern enthielt – ein Hinweis darauf, dass der Angreifer die Signaturen im Laufe der Zeit sammelte, bevor er sie nutzte. Das Konto, von dem die Transaktionen ausgingen, wurde über Tornado Cash, einen Datenschutzdienst, finanziert. Daher ist sein Besitzer nur schwer zurückzuverfolgen.
Einfach gesagt: Der Angreifer brauchte nicht Binances Schlüssel. Er musste Binances eigene Systeme dazu bringen, das Falsche zu signieren – und der Laptop eines Mitarbeiters verschaffte ihm einen Weg hinein.
Wer steckt dahinter?
Chainalysis erklärte, es bestehe „hohe Zuversicht“, dass Nordkorea den Angriff verübt habe. Die Ermittler des Unternehmens beobachteten, wie Gelder aus dem Hack der Kryptobörse Bitget im vergangenen Monat „mit den von Binance gestohlenen Geldern vermischt wurden“. Sollte sich das bestätigen, wäre es der zweite Rekorddiebstahl von Kryptowährungen in Folge mit mutmaßlicher Beteiligung Nordkoreas. Im Februar 2025 hatte das FBI Nordkorea für den Bybit-Hack im Umfang von rund 1,5 Milliarden US-Dollar verantwortlich gemacht. Binance hat keinen Verdächtigen benannt.
Größer als alle Hacks von 2026 zusammen
Opfer | Datum | Erbeuteter Betrag | Quelle Binance | 29. Okt. 2026 | Rund 6,3 Milliarden US-Dollar | Binance Bybit (bisheriger Rekord) | 21. Feb. 2025 | Rund 1,5 Milliarden US-Dollar | FBI Bitget | 24. Sept. 2026 | 387,5 Millionen US-Dollar | Bitget Kelp DAO | 18. Apr. 2026 | Rund 291 Millionen US-Dollar (Fehlbetrag von 163.200 ETH) | CertiK, Kelp DAO Drift Protocol | April 2026 | Rund 285 Millionen US-Dollar | CertiK
Das Sicherheitsunternehmen CertiK zählte im gesamten ersten Halbjahr 2026 Verluste von 1.315.676.432 US-Dollar bei 344 Sicherheitsvorfällen. Binance verlor in einer einzigen Nacht fast fünfmal so viel. Selbst das Ether, über das der Angreifer weiterhin verfügt – rund 480 Millionen US-Dollar –, übersteigt den Schaden jedes anderen Hacks in diesem Jahr.
Warum die Hälfte eingefroren werden konnte
Beim Bybit-Hack 2025 wurde eine Ether-Wallet angegriffen, und kein Unternehmen kann Ether einfrieren. Dieser Angreifer erbeutete viele Stablecoins – und das erwies sich als seine Schwachstelle. Tether und Circle können beliebige Adressen in den Verträgen ihrer Token sperren, und beide taten dies innerhalb etwa einer Stunde. Ripple, World Liberty Financial und der Arbitrum Security Council nutzten ähnliche Befugnisse.
Deshalb stieg die von Binance gemeldete eingefrorene Summe von 2,54 Milliarden US-Dollar um 23:22 UTC auf rund 3 Milliarden US-Dollar um 00:52 UTC. Auch deshalb verbrachte der Angreifer die Nacht damit, kleinere Token gegen Ether zu verkaufen, das nicht eingefroren werden kann.
Was mit den Kundengeldern geschieht
Binance erklärte, man werde „alle Verluste aus dem SAFU-Fonds und den Mitteln des Unternehmens decken“ und die Kundengelder seien sicher. SAFU ist der Notfallfonds, den Binance 2018 zur Absicherung gegen Hacks eingerichtet hat. Die Börse plant außerdem, einen aktualisierten Nachweis ihrer Reserven zu veröffentlichen. Einzahlungen funktionieren, während Auszahlungen pausiert bleiben, bis das Auszahlungssystem wiederhergestellt ist. Mit einer Wiederaufnahme wird innerhalb von 48 Stunden gerechnet.
Gründer Changpeng Zhao, der die Börse nicht mehr leitet, schrieb am Freitag: „Es tut weh, aber wir werden es überstehen.“
Die Märkte reagierten gelassen auf den Vorfall. Laut Daten von CoinGecko lag BNB am Freitagmorgen mit einem Minus von 5,2 % innerhalb von 24 Stunden bei 715 US-Dollar, Ether verlor 3,6 % und notierte bei 2.237 US-Dollar, und Bitcoin fiel um 2,2 % auf 78.409 US-Dollar.
Weiterlesen: Solana erreicht 5 Milliarden US-Dollar bei Wall-Street-ähnlichen Token
Was wir noch nicht wissen
Wie der Angreifer aus dem Zugriff auf einen Laptop 50 signierte Genehmigungen machte – das sollte Binances technischer Bericht erklären
Wie hoch die Verluste auf den einzelnen Blockchains außerhalb von Ethereum waren
Ob die eingefrorenen 3 Milliarden US-Dollar an Binance zurückgegeben werden und wie schnell
Wohin die 214.700 ETH in den beiden Wallets des Angreifers als Nächstes fließen