Der Binance-Hack im Detail: Was geschah, wie 6,3 Milliarden US-Dollar gestohlen wurden und wie es weitergeht

Am 29. Oktober 2026 erlitt Binance einen schwerwiegenden Sicherheitsvorfall, bei dem unbefugte Kryptowährungstransfers im geschätzten Wert von 6,3 Milliarden US-Dollar durchgeführt wurden. Der Vorfall betraf mehrere Blockchain-Netzwerke und löste branchenweite Bemühungen aus, die gestohlenen Vermögenswerte aufzuspüren und einzufrieren.
Die vorläufigen Ermittlungen von Binance deuten darauf hin, dass möglicherweise der Laptop eines DevOps-Ingenieurs kompromittiert wurde und als Einfallstor diente. Die Börse hat mitgeteilt, dass es keine Hinweise auf den Verlust eines privaten Wallet-Schlüssels gibt, und zugesagt, sämtliche Verluste über ihren Secure Asset Fund for Users (SAFU) und Unternehmensmittel zu decken.
1. Wie begann der Vorfall?
Blockchain-Überwachungssysteme entdeckten am 29. Oktober verdächtige Bewegungen aus mit Binance verknüpften Wallets. Die ersten Untersuchungen konzentrierten sich auf Ethereum-basierte Transfers. Spätere Analysen stellten jedoch Aktivitäten auf Bitcoin, Tron, Solana, dem XRP Ledger und anderen Netzwerken fest.
Als Ermittler weitere Transaktionen nachverfolgten, stieg die geschätzte Schadenssumme. Binance selbst schätzte sie auf 6,3 Milliarden US-Dollar.
Der Vorfall entwickelte sich rasch zu einer umfassenden chainübergreifenden Untersuchung. Blockchain-Analysefirmen und Kryptowährungsunternehmen arbeiteten daran, die betroffenen Wallets zu identifizieren und weitere Bewegungen der Vermögenswerte zu verhindern.
2. Wie die Angreifer Binance mutmaßlich hackten
Der mutmaßliche Einstiegspunkt
Binances vorläufige Untersuchung deutet darauf hin, dass möglicherweise der Laptop eines DevOps-Ingenieurs kompromittiert wurde, wodurch der Angreifer Zugriff auf einen internen Service-Container erlangen konnte. Dieser Zugriff könnte genutzt worden sein, um nicht autorisierte Auszahlungstransaktionen einzureichen.
Die genaue Methode, mit der das Gerät kompromittiert wurde, wurde nicht öffentlich festgestellt. Binance berichtete außerdem, es gebe keine Hinweise darauf, dass private Wallet-Schlüssel offengelegt wurden.
Wie nicht autorisierte Auszahlungen möglich waren
Die vorläufigen Erkenntnisse deuten darauf hin, dass der Angreifer möglicherweise den Zugriff auf einen autorisierten internen Dienst ausnutzte, anstatt private Wallet-Schlüssel direkt zu erlangen.
Diese Unterscheidung ist wichtig, denn Kryptowährungsauszahlungen hängen von mehreren miteinander verbundenen Systemen ab, darunter interne Dienste, Zugriffsberechtigungen und die Infrastruktur zum Signieren von Transaktionen. Wird eines dieser Systeme kompromittiert, kann dies die Möglichkeit eröffnen, legitime Transaktionsabläufe zu missbrauchen.
Die vollständige Abfolge, wie der Angreifer Zugriff und ausreichende Berechtigungen erlangte, wird noch untersucht.
Die Ethereum-Wallet-Technik
Eine unabhängige Blockchain-Sicherheitsanalyse identifizierte bei dem Angriff auf Binances Ethereum-Hot-Wallet die Verwendung des Kontodelegierungsmechanismus EIP-7702 von Ethereum.
EIP-7702 ermöglicht es extern verwalteten Ethereum-Konten, bestimmte Ausführungsfunktionen an Smart-Contract-Code zu delegieren. Die gemeldeten Aktivitäten deuten darauf hin, dass dieser Mechanismus möglicherweise missbraucht wurde, um nicht autorisierte Übertragungen von Vermögenswerten zu ermöglichen.
Dies bedeutet nicht, dass Ethereum selbst kompromittiert wurde. Welche genaue Rolle der Mechanismus spielte und wie er ausgenutzt wurde, muss Binances technischem Untersuchungsbericht entnommen werden.
3. Ausmaß und zeitlicher Verlauf des Angriffs
Am 30. Oktober veröffentlichte Blockchain-Analysen geben einen vorläufigen Überblick über den Verlauf des Vorfalls.
Datum und Uhrzeit (UTC)Verlauf28. OktoberVorläufige On-Chain-Aktivitäten, die mit Wallets in Verbindung standen, die später dem Vorfall zugeordnet wurden, wurden festgestellt.29. OktoberVerdächtige größere Transfers erschienen auf dem XRP Ledger.29. OktoberWeitere Aktivitäten wurden auf Solana und anderen Netzwerken entdeckt.29. OktoberEs folgten bedeutende Transfers über Bitcoin-, Tron- und Ethereum-verknüpfte Wallets.29. OktoberEine größere Ethereum-Transaktion bewegte erhebliche Mengen an ETH, USDT und anderen Token.29. Oktober, später AbendTether, Circle und weitere Akteure des Ökosystems begannen, betroffene Vermögenswerte einzufrieren oder einzuschränken.30. OktoberBinance identifizierte einen möglicherweise kompromittierten DevOps-Laptop als möglichen Einstiegspunkt und meldete eingefrorene Vermögenswerte im Wert von etwa 3 Milliarden US-Dollar.30. Oktober, späteres UpdateBinance bestätigte, dass Einzahlungen normal funktionierten, während Auszahlungen während einer Sicherheitsüberarbeitung weiterhin ausgesetzt blieben.
Der Zeitablauf spiegelt gemeldete Blockchain-Aktivitäten und Unternehmensmitteilungen wider. Die endgültige Abfolge der Ereignisse muss noch forensisch untersucht werden.
4. Welche Kryptowährungen waren betroffen?
Der Vorfall betraf mehrere Kryptowährungen, Stablecoins und kleinere digitale Vermögenswerte auf verschiedenen Blockchain-Netzwerken.
In Blockchain-Analysen identifizierte wichtige Vermögenswerte
VermögenswertGemeldete MengeUngefährer WertBitcoin (BTC)18.270 BTC1,47 Milliarden US-DollarEthereum (ETH)200.630 ETHIn der Gesamtsumme des Ethereum-Netzwerks enthaltenTether (USDT)1,875 Milliarden auf Ethereum und 612,7 Millionen auf TronZusammen mehr als 2,4 Milliarden US-DollarUSD Coin (USDC)Etwa 823 MillionenEtwa 823 Millionen US-DollarRipple USD (RLUSD)Etwa 88,5 MillionenIn der Gesamtsumme des Ethereum-Netzwerks enthaltenXRP233,46 Millionen XRPEtwa 296 Millionen US-DollarSolana (SOL)Etwa 970.500 SOLEtwa 96 Millionen US-DollarTRXEtwa 46,4 Millionen direkt identifiziertZusätzliche TRX durch nachfolgende Swaps erworbenArbitrum (ARB)Etwa 74,6 Millionen ARBTeil der umfassenderen chainübergreifenden Gesamtsumme
Weitere beteiligte Token
Zu den weiteren Vermögenswerten, die in den betroffenen Wallets identifiziert wurden, gehörten Wrapped Beacon ETH (wBETH), Tether Gold (XAUt), Uniswap (UNI), Ethena (ENA), Pepe (PEPE), World Liberty Financial USD (USD1), Chainlink (LINK), Aave (AAVE), Avalanche (AVAX), Optimism (OP), USDT0, Paxos Gold (PAXG), Zama (ZAMA) und Lagrange sowie mehrere kleinere Token.
Arkham Intelligence hat mehrere Adressen markiert, die mit dem mutmaßlichen Angreifer in Verbindung stehen. So können Ermittler nachfolgende Bewegungen überwachen. Die Token-Liste kann sich ändern, sobald weitere Transaktionen identifiziert werden.
Verfolge den Binance-Hacker auf Arkham:https://t.co/hp8dDvAdQl
— Arkham (@arkham) 30. Oktober 2026
5. Wer hat Binance gehackt?
Die nordkoreanische Verbindung
Unsere Ermittler beobachteten, wie von der DVRK beim Bitget-Exploit im vergangenen Monat gestohlene Gelder mit Geldern vermischt wurden, die von Binance gestohlen worden waren.

Wir sind mit hoher Zuversicht der Ansicht, dass die DVRK für den Binance-Hack im Umfang von 6,4 Milliarden US-Dollar verantwortlich ist. https://t.co/xj9dQYcbKr
— Chainalysis (@chainalysis) 30. Oktober 2026
Am 30. Oktober erklärte das Blockchain-Analyseunternehmen Chainalysis, es sei mit hoher Zuversicht der Ansicht, dass Nordkorea für den Vorfall bei Binance verantwortlich sei. Ermittler des Unternehmens berichteten, sie hätten Gelder aus einem früheren Bitget-Exploit identifiziert, die mit Geldern vermischt wurden, die mit dem Binance-Diebstahl in Verbindung stehen.
Diese Einschätzungen deuten auf eine mögliche nordkoreanische Verbindung hin, doch die Identität der Verantwortlichen wurde nicht öffentlich festgestellt. Binance erklärte, mit den Strafverfolgungsbehörden zusammenzuarbeiten, um die Beteiligten zu identifizieren und vor Gericht zu bringen.
Die Zuschreibung sollte daher als nachrichtendienstliche Einschätzung und nicht als endgültige rechtliche Feststellung betrachtet werden.
Update: Die derzeit verifizierte Gesamtsumme der eingefrorenen Gelder beträgt rund 3 Milliarden US-Dollar. 

Unsere Teams arbeiten weiterhin eng mit Strafverfolgungsbehörden, Emittenten, Blockchain-Analysefirmen und Branchenpartnern zusammen, um weitere Vermögenswerte aufzuspüren und einzufrieren.

Wir werden nur bestätigte Zahlen veröffentlichen und … pic.twitter.com/e5RHM1VwOU
— Binance (@binance) 30. Oktober 2026
6. Wie viel Geld wurde eingefroren und zurückgewonnen?
Binance berichtete zunächst, dass durch die Zusammenarbeit mit Blockchain-Partnern, Token-Emittenten und anderen Branchenvertretern Vermögenswerte im Wert von etwa 3 Milliarden US-Dollar eingefroren worden seien.
Mehrere Unternehmen und Netzwerke trugen zu den Maßnahmen bei:
Tether (USDT): Berichten zufolge wurden mehr als 1,567 Milliarden US-Dollar eingefroren, die mit dem Vorfall in Verbindung standen. Spätere Analysen stellten zusätzliche gesperrte USDT auf mehreren Adressen fest.
Circle (USDC): Fror etwa 823 Millionen US-Dollar in USDC ein, die mit dem Vorfall in Verbindung standen.
Ripple (RLUSD): Bestätigte, den Vorfall zu überwachen und betroffene Gelder aktiv einzufrieren.
Arbitrum: Der Sicherheitsrat führte eine Maßnahme aus, um etwa 30,5 Millionen US-Dollar einzufrieren, die mit dem Exploit in Verbindung standen.
Weitere Emittenten und Partner: Zusätzliche Vermögenswerte, darunter USD1, FDUSD und goldgedeckte Token, wurden eingefroren oder anderweitig eingeschränkt.
Warum das Einfrieren wichtig ist
Stablecoins wie USDT und USDC können von ihren Emittenten eingefroren werden, die Überweisungen von bestimmten Adressen beschränken können. Dadurch konnte der mutmaßliche Angreifer daran gehindert werden, einen Teil der betroffenen Vermögenswerte zu bewegen.
Die Nutzergelder sind sicher!

Es sieht tatsächlich nach einem Hack bei Binance aus. Danke an Tether (~971 Mio. US-Dollar) und Circle (~823 Mio. US-Dollar) für das schnelle Einfrieren.

Ich leite Binance (.com) nicht mehr, aber als Aktionär erwarte ich, dass alle Nutzergelder vollständig abgesichert sind. https://t.co/oufpyNChxI
— CZ 🔶 BNB (@cz_binance) 29. Oktober 2026
Bitcoin und Ether haben keinen zentralen Emittenten, der Adressen auf dieselbe Weise auf eine Sperrliste setzen kann. Ihre Wiederbeschaffung hängt stärker von der Nachverfolgung von Transaktionen, der Zusammenarbeit mit Börsen und Vermittlern sowie rechtlichen Maßnahmen ab.
Es ist wichtig, eingefrorene Vermögenswerte von zurückgewonnenen Geldern zu unterscheiden. Eingefrorene Kryptowährungen können weiterhin unzugänglich bleiben, während Ermittler die Eigentumsverhältnisse klären und feststellen, wie sie rechtmäßig zurückgegeben werden können.
Uns sind die unterschiedlichen öffentlich kursierenden Angaben zur eingefrorenen Summe bekannt, darunter auch Verweise auf 1,8 Milliarden US-Dollar.

Zur Klarstellung: Die derzeit verifizierte Gesamtsumme der eingefrorenen Gelder beträgt 2,54 Milliarden US-Dollar. Dieser Betrag kann weiter steigen, während unsere Teams eng mit den Strafverfolgungsbehörden zusammenarbeiten, … pic.twitter.com/Kx68qptfXk
— Binance (@binance) 29. Oktober 2026
7. Was geschah mit den gestohlenen Geldern?
Blockchain-Ermittler verfolgten Gelder, die über Ethereum, Bitcoin, Tron, Solana, das XRP Ledger und mehrere Layer-2-Netzwerke bewegt wurden.
Ein Teil der Vermögenswerte wurde durch Swaps in andere Kryptowährungen umgetauscht und über mehrere Adressen verschoben. Zu den gemeldeten Aktivitäten gehörten Transaktionen mit Ether und TRX sowie Interaktionen mit dezentralen Börsen und anderen Blockchain-Diensten.
Diese Bewegungen erschweren die Wiederbeschaffung. Öffentliche Blockchain-Datensätze ermöglichen es Ermittlern jedoch, Transaktionen nachzuverfolgen und Verbindungen zwischen Wallets zu identifizieren.
Die Bewegung von Geldern bedeutet nicht zwangsläufig, dass es dem Angreifer gelungen ist, sie in Bargeld umzuwandeln. Der endgültige Verbleib aller betroffenen Vermögenswerte war am 30. Oktober noch nicht geklärt.
8. Was geschah mit den Binance-Kunden?
Sind Kundengelder verloren gegangen?
Binance erklärte, dass die Kundengelder sicher seien, und verpflichtete sich, alle Verluste durch den SAFU-Fonds und Unternehmensmittel abzudecken. Berichten zufolge hat die Börse außerdem 6,34 Milliarden US-Dollar an Unternehmensmitteln zur Deckung der durch den Vorfall entstandenen Verluste zurückgestellt und damit ihr Engagement für den Schutz ihrer Kunden bekräftigt.
Diese Zusage ist für Kunden wichtig. Ihre Umsetzung muss jedoch anhand des von der Börse zugesagten aktualisierten Reservenachweises und späterer Offenlegungen beurteilt werden.
Waren Auszahlungen betroffen?
Binance setzte Ein- und Auszahlungen vorübergehend aus, während Sicherheitsprüfungen durchgeführt wurden.
In ihrem Update vom 30. Oktober erklärte die Börse, dass Einzahlungen normal funktionierten, während Auszahlungen während einer Sicherheitsüberarbeitung des Auszahlungsdienstes und der zugehörigen Adressen weiterhin ausgesetzt blieben. Sie erwartete, die Auszahlungen innerhalb von 48 Stunden wieder aufzunehmen.
Wie sah es beim Handel aus?
Auch der Handel über Binance Alpha sowie bestimmte damit verbundene Sofortkauf- und Prognosemarktdienste, bei denen Gelder aus Spot-Wallets verwendet wurden, wurden vorübergehend ausgesetzt.
Die Börse erklärte, diese Dienste würden wieder aufgenommen, sobald das Sicherheitsproblem behoben sei. Die Einschränkungen waren Teil ihrer umfassenderen vorsorglichen Reaktion.
9. Binances Reaktion und branchenweite Unterstützung
Binance reagierte sowohl mit internen Sicherheitsmaßnahmen als auch mit der Zusammenarbeit mit Unternehmen aus der gesamten Kryptowährungsbranche.
Changpeng Zhao (CZ), Mitgründer und ehemaliger CEO von Binance, versicherte den Nutzern, dass ihre Gelder sicher seien. Außerdem würdigte er die Mitarbeitenden, die über Nacht an der Bewältigung des Vorfalls gearbeitet hatten, und dankte den Branchenvertretern, darunter auch Wettbewerbern, für ihre Unterstützung.
Yi He, Mitgründerin und Co-CEO von Binance, dankte der Community für ihre Unterstützung und erklärte, das Team führe Sicherheitsprüfungen durch, bevor die Auszahlungen wieder freigegeben würden.
Die Maßnahmen der Börse konzentrierten sich auf:
Widerruf der mit der betroffenen Adresse verbundenen Autorisierung.
Vorübergehende Einschränkung betroffener Dienste.
Zusammenarbeit mit Strafverfolgungsbehörden und Blockchain-Analysefirmen.
Koordination mit Token-Emittenten und Branchenpartnern, um Vermögenswerte einzufrieren.
Verbesserung des Auszahlungsdienstes und der zugehörigen Adressen.
Erstellung eines ausführlichen technischen Untersuchungsberichts.
Veröffentlichung eines aktualisierten Reservenachweises nach Behebung des Problems.
Auch Tether, Circle, Ripple und Arbitrum unterstützten die Reaktion mit Einschränkungen und dem Einfrieren von Vermögenswerten. Blockchain-Analysefirmen verfolgten weiterhin Transaktionen und identifizierten zugehörige Adressen.
Die koordinierte Zusammenarbeit zeigt, wie Börsen, Token-Emittenten, Blockchain-Netzwerke und Ermittler bei einem größeren Sicherheitsvorfall gemeinsam vorgehen können.
10. Warum der Vorfall für die gesamte Kryptoindustrie wichtig ist
Der Vorfall verdeutlicht die Risiken, die mit privilegiertem Mitarbeiterzugriff und internen Auszahlungssystemen verbunden sind.
Selbst wenn private Wallet-Schlüssel sicher bleiben, können kompromittierte interne Dienste Möglichkeiten für nicht autorisierte Transaktionen schaffen. Daher sind die Gerätesicherheit der Mitarbeitenden, Zugriffsberechtigungen und Genehmigungssysteme für Auszahlungen ebenso wichtig wie der Schutz privater Schlüssel.
Der Vorfall wirft auch Fragen zu den Schutzmaßnahmen auf, mit denen Börsen verhindern, dass ein kompromittiertes internes System eigenständig große Auszahlungen genehmigt.
Strengere Zugriffskontrollen für Mitarbeitende, unabhängige Transaktionsprüfungen, Auszahlungslimits und Echtzeitüberwachung können dazu beitragen, das Risiko ähnlicher Vorfälle zu verringern.
Für die gesamte Branche ist der Vorfall eine Erinnerung daran, dass die Sicherheit von Börsen ein erhebliches Risiko bleibt, selbst wenn die zugrunde liegenden Blockchain-Netzwerke normal weiterlaufen.
11. Auswirkungen auf den Markt und offene Fragen
Der Vorfall verstärkte die Unsicherheit an den Kryptowährungsmärkten. Zeitnahe Berichte deuteten darauf hin, dass Bitcoin unter 77.000 US-Dollar fiel und auch Ether sowie andere Vermögenswerte Verluste verzeichneten. Sicherheitsbedenken könnten den Druck auf die Märkte verstärkt haben, doch die Kursbewegungen lassen sich nicht ausschließlich dem Binance-Vorfall zuschreiben.
Mehrere wichtige Fragen sind noch offen:
Wie wurde der Laptop des DevOps-Ingenieurs kompromittiert?
Wie erlangte der Angreifer ausreichenden Zugriff auf das Auszahlungssystem?
Wie viel der betroffenen Kryptowährungen wird letztlich zurückgewonnen?
Welche Erkenntnisse wird der abschließende technische Untersuchungsbericht über den Angriff liefern?
Wird der aktualisierte Reservenachweis zeigen, dass die Kundenvermögen weiterhin ausreichend gedeckt sind?
Wann werden alle betroffenen Dienste wieder normal funktionieren?
Binances unmittelbare Prioritäten sind der Abschluss der Sicherheitsüberarbeitung, die sichere Wiederaufnahme der Auszahlungen, die weitere Abstimmung mit den Ermittlern und die Veröffentlichung des technischen Untersuchungsberichts.
12. Abschließende Einschätzung
Wir arbeiten ununterbrochen daran, dieses Problem zu beheben. Binance wird alle Verluste abdecken.

Vorsorglich sind alle Ein- und Auszahlungen vorübergehend ausgesetzt, während unser Team Sicherheitsprüfungen durchführt, Gelder einfriert und mit den Strafverfolgungsbehörden zusammenarbeitet.

Wir arbeiten rund um die Uhr und werden … pic.twitter.com/zufWJ6V05D
— Binance (@binance) 30. Oktober 2026
Der Binance-Vorfall stellt ein schwerwiegendes Versagen der Börsensicherheit dar. Der geschätzte Schaden beläuft sich auf etwa 6,3 Milliarden US-Dollar. Vorläufige Erkenntnisse deuten darauf hin, dass eine kompromittierte interne Infrastruktur nicht autorisierte Auszahlungen ermöglicht haben könnte, ohne dass private Wallet-Schlüssel direkt offengelegt wurden.
Das koordinierte Einfrieren von Vermögenswerten im Umfang von etwa 3 Milliarden US-Dollar zeigt, wie wichtig die branchenweite Zusammenarbeit bei Kryptowährungsermittlungen ist. Die endgültige Höhe der wiederbeschafften Gelder, die Identität der Täter und die genaue Angriffsmethode sind jedoch weiterhin Gegenstand der Ermittlungen.
Binances Zusage, alle Verluste abzudecken, gibt den Kunden Sicherheit. Die langfristige Glaubwürdigkeit der Börse wird jedoch davon abhängen, ob sie Auszahlungen sicher wieder aufnehmen, einen aktualisierten Reservenachweis veröffentlichen und eine transparente technische Erklärung liefern kann.
Der Vorfall sollte als schwerwiegender Sicherheitsverstoß betrachtet werden, der noch untersucht wird – nicht als Beweis dafür, dass Kundengelder dauerhaft verloren oder alle betroffenen Vermögenswerte wiederbeschafft wurden. Der abschließende technische Bericht, unabhängig überprüfbare Angaben zu den wiederbeschafften Geldern und die Wiederherstellung des normalen Betriebs werden die wichtigsten Entwicklungen sein, die es zu verfolgen gilt.