Am Abend des 29. Oktober 2026 wurde die weltweit größte Kryptowährungsbörse Binance Opfer des bislang größten Cyberdiebstahls der Geschichte. Daten mehrerer Blockchain-Analysefirmen wie TRM Labs, Chainalysis und Elliptic zufolge zogen die Angreifer innerhalb von etwa 20 Minuten Vermögenswerte im Wert von rund 6,3 bis 6,4 Milliarden US-Dollar aus Binance-Hot-Wallets über mindestens zehn Blockchains ab. Das Ausmaß übertraf den Diebstahl von 1,5 Milliarden US-Dollar bei Bybit im Jahr 2025 bei Weitem.
Binances vorläufige Untersuchung ergab, dass der Vorfall möglicherweise damit begann, dass der Laptop eines DevOps-Ingenieurs kompromittiert wurde. Die Hacker drangen daraufhin in Service-Container ein und reichten nicht autorisierte Abhebungstransaktionen ein. Binance betonte, bislang keine Hinweise auf einen Abfluss privater Wallet-Schlüssel gefunden zu haben. Bei den anschließenden Ermittlungen wurden weitere „Einstiegspunkte“ entdeckt. Außerdem erklärte das Unternehmen, es habe sich nicht um eine Aktion gehandelt, die eine einzelne Person mit einem einzigen Klick hätte ausführen können. Binance hat zugesagt, die Verluste der Nutzer vollständig mit Mitteln aus dem SAFU-Fonds und Unternehmensgeldern zu erstatten. Vermögenswerte im Wert von rund 3 Milliarden US-Dollar wurden bereits auf der Blockchain eingefroren.
I. Mindestens 36 Stunden Vorbereitungszeit deuten auf ein hochgradig organisiertes Vorgehen hin
Die On-Chain-Analyse von TRM Labs zeigt, dass es sich nicht um einen spontanen Angriff handelte:
• Ab dem Morgen des 28. Oktober erhielt das Wallet des Angreifers dreimal kleinere Beträge von Tornado Cash.
• Am frühen Morgen des 29. Oktober wurde die erste Version des Angriffscodes bereitgestellt und mit zwei Wallets getestet.
• Später am selben Tag wurde die finale Version mit einem dritten Wallet erprobt; anschließend wurden die Testgelder zurücküberwiesen.
• Rund vier Stunden nach Abschluss des Probelaufs wurde derselbe Code auf dem Hot Wallet von Binance installiert.
Auf Ethereum nutzte der Angreifer den Delegationsmechanismus EIP-7702 und bereitete im Voraus 50 vorab signierte Autorisierungen mit aufeinanderfolgenden Nonces vor, damit eine davon erfolgreich ausgeführt werden konnte. Drei Minuten später begann das groß angelegte Leerräumen der Wallets. Dieser Ablauf – „erst testen, dann proben, schließlich alles auf einmal abräumen“ – ähnelt stark mehreren früheren Fällen, die mit nordkoreanischen Organisationen in Verbindung gebracht wurden.
II. Geldflüsse und Zuordnung
TRM Labs und Chainalysis ordnen den Fall mit „hoher Sicherheit“ der nordkoreanischen Elite-Hackereinheit TraderTraitor zu, einem Ableger der Lazarus Group. Zu den wichtigsten Indizien zählen die Vorbereitungsmethoden, das Muster der Einzahlungen über Tornado Cash und die synchronisierten Abhebungen über mehrere Blockchains hinweg. Diese Merkmale stimmen mit dem Bybit-Fall von 2025 überein, den das FBI derselben Gruppe zugeschrieben hat.
Besonders bemerkenswert ist, dass der On-Chain-Ermittler ZachXBT und Chainalysis feststellten, dass ein Teil der von Binance gestohlenen Gelder nach dem Transfer über THORChain an dieselbe Adresse floss wie Gelder aus dem Bitget-Hack im September 2026, bei dem rund 388 Millionen US-Dollar gestohlen wurden. Auch der Bitget-Fall war zuvor von mehreren Seiten derselben Organisation zugeschrieben worden.
III. Ungewöhnlicher Zeitpunkt der Aktivitäten am Optionsmarkt
Dies ist derzeit der meistbeachtete Aspekt. Laut Nicolas Quatravaux, dem EMEA-Leiter von Paradigm (einem institutionellen Liquiditätsnetzwerk), gegenüber CoinDesk:
• Der erste große Put-Options-Blocktrade fand um 20:38 UTC statt – etwa 15 Minuten nach dem ersten Abfluss von Geldern aus einem Binance-Wallet. Zu diesem Zeitpunkt war die Nachricht noch nicht öffentlich.
• Dabei wurden 250 BTC-Put-Optionen mit Fälligkeit am 31. Oktober und einem Ausübungspreis von 78.000 US-Dollar gekauft (Nominalwert: rund 20 Millionen US-Dollar).
• Drei Minuten später wurde derselbe Kontrakt nochmals in gleichem Umfang gehandelt. Der Käufer zahlte dabei rund 35 % mehr an Optionsprämie.
• Innerhalb von acht Stunden nach dem Vorfall wickelte Paradigm BTC-Options-Blocktrades mit einem Nominalwert von rund 590 Millionen US-Dollar ab – eine deutlich bärische Positionierung.
• Die Käufe konzentrierten sich vor allem auf den Near-the-Money-Bereich zwischen 74.000 und 78.000 US-Dollar. Die aktivste Phase lag sogar vor der Erklärung von Binance.
Solche umfangreichen Käufe kurzfristiger Put-Optionen, nachdem On-Chain-Gelder abgeflossen waren, aber bevor sich die Nachricht allgemein verbreitet hatte, könnten eine schnelle Absicherung professioneller Händler gewesen sein, die ungewöhnlich große Transfers bemerkt hatten. Ebenso könnten Personen mit Vorabinformationen Positionen aufgebaut haben. Öffentlich zugängliche Beweise, die Letzteres direkt belegen, gibt es bislang nicht. Das Zeitfenster war jedoch ausgesprochen eng.
IV. Noch offene Fragen
• Wie wurde der Laptop des Ingenieurs kompromittiert?
• Was sind die konkreten technischen Details des „zusätzlichen Angriffspunkts“?
• Wie verlief der vollständige Weg, auf dem das Signatursystem missbraucht wurde?
• Wer war der Käufer der außergewöhnlich frühen Optionskäufe, und woher stammten die Mittel?
• Wohin flossen die rund 2,4 Milliarden US-Dollar, die nicht eingefroren wurden (hauptsächlich ETH und BTC)?
Binance hat angekündigt, nach Abschluss der Untersuchung einen ausführlichen technischen Bericht zu veröffentlichen und den Proof of Reserves zu aktualisieren.
In technischer Vorbereitung, Ausführung und den Verbindungen der Geldflüsse zu früheren Fällen weist dieser Vorfall Merkmale eines hochgradig organisierten und im Voraus geplanten Vorgehens auf. Der ungewöhnliche Zeitpunkt der Aktivitäten am Optionsmarkt ist derzeit der auffälligste Aspekt – und derjenige, der sich am schwersten allein durch Zufall erklären lässt. Er ist nicht zwangsläufig ein eindeutiger Beweis für Insiderhandel, stellt aber durchaus ein Warnsignal dar, das weiter beobachtet werden sollte.
Im Kryptowährungsmarkt sind Sicherheit und Informationstransparenz stets von zentraler Bedeutung. Dieser Vorfall erinnert uns erneut daran, dass die internen Zugriffskontrollen von Börsen, ihre Signaturinfrastruktur und das Handelsverhalten am Markt vor und nach bedeutenden Ereignissen kontinuierlich beobachtet werden sollten.
Was sollte Ihrer Meinung nach bei diesem Vorfall genauer untersucht werden: die technische Schwachstelle oder der auffällige Zeitpunkt? Diskutieren Sie gern unten in den Kommentaren.
\u003ct-189/\u003e\u003ct-190/\u003e\u003ct-191/\u003e\u003ct-192/\u003e \u003ct-194/\u003e
\u003cc-197/\u003e
