Die Kryptowährungsbörse Binance arbeitet mit dem US-amerikanischen Federal Bureau of Investigation (FBI) zusammen, um Vermögenswerte im Wert von rund 3 Milliarden US-Dollar zurückzuholen, die beim bislang größten Krypto-Diebstahl der Geschichte eingefroren wurden. Eine mit der Angelegenheit vertraute Quelle teilte Medien mit, Binance habe mehr als 6,34 Milliarden US-Dollar aus Unternehmensmitteln zurückgestellt, um die Verluste abzudecken. Davon entsprächen Vermögenswerte im Wert von 5 Milliarden US-Dollar bereits exakt den gestohlenen Token; der Rest werde über Märkte und außerbörsliche Handelskanäle (OTC) beschafft.
Bei dem Angriff am 29. Oktober um 20:05 Uhr UTC wurden innerhalb von etwa 20 Minuten Vermögenswerte im Wert von rund 6,36 Milliarden US-Dollar von einer von Binance kontrollierten Adresse über 10 Blockchains hinweg transferiert. Das Blockchain-Analyseunternehmen TRM Labs schrieb den Angriff mit hoher Zuversicht der nordkoreanischen Hackergruppe TraderTraitor zu – derselben Gruppe, die das FBI zuvor als Drahtzieher des Diebstahls von 1,5 Milliarden US-Dollar bei Bybit im Februar 2025 identifiziert hatte. In einer offiziellen Erklärung vom 30. Oktober bestätigte Binance, dass Branchenpartner Vermögenswerte im Wert von rund 3 Milliarden US-Dollar eingefroren hätten. Das Unternehmen arbeite mit Strafverfolgungsbehörden an der Rückholung und versprach, dass die Gelder aller Nutzer letztendlich öffentlich anhand des Reservenachweises (Proof of Reserves, PoR) überprüft werden könnten.
20 Minuten, 10 Blockchains: Wie das Signatursystem der Hot Wallets versagte
Laut einer Analyse von TRM Labs transferierten Angreifer ab dem 29. Oktober um 20:05 UTC innerhalb eines Zeitfensters von etwa 20 Minuten Vermögenswerte im Wert von rund 6,36 Milliarden US-Dollar von Binance-kontrollierten Adressen auf eine einzelne Adresse der Angreifer. Dabei waren 10 Blockchains betroffen. Es handelt sich um den bislang größten dokumentierten Kryptowährungsdiebstahl – größer als der Verlust von 1,5 Milliarden US-Dollar, den Bybit im Februar 2025 erlitt, und auch deutlich höher als die 625 Millionen US-Dollar, die im Februar 2022 über die Ronin-Sidechain von Axie Infinity gestohlen wurden.
Binance erklärte in einem offiziellen Beitrag auf X, erste Untersuchungen „deuteten darauf hin, dass der Sicherheitsvorfall möglicherweise mit dem Hack des Laptops eines DevOps-Ingenieurs zusammenhing“. Dadurch sei es dem Angreifer gelungen, in einen Service-Container einzudringen und nicht autorisierte Auszahlungstransaktionen auszulösen. Die Börse betonte zugleich, es gebe keine Hinweise darauf, dass private Wallet-Schlüssel kompromittiert worden seien. Dieses Detail deutet auf eine Schwachstelle bei der Zugriffskontrolle im Signaturprozess der Hot Wallets hin – nicht auf einen Zusammenbruch der zugrunde liegenden Schlüsselverwahrung. Der Angreifer erlangte demnach „die Berechtigung, Transaktionen einzureichen“, nicht aber „den Schlüssel zum Erzeugen von Signaturen“.
Die Analyse von TRM Labs zeichnet ein umfassenderes Bild des Angriffs: Die Vorbereitungen begannen mindestens 36 Stunden im Voraus. Zunächst testeten die Angreifer Code mit zwei Wallets und probten den Ablauf mit einer dritten. Anschließend warteten sie etwa vier Stunden, bevor sie den Großangriff starteten. Die anfängliche Finanzierung der Angreiferadresse lässt sich auf eine Einzahlung über Tornado Cash am Vormittag des Vortags zurückführen. Diese Spuren deuten auf einen sorgfältig eingeübten, koordinierten Angriff auf das Signatursystem der Multichain-Hot-Wallets hin – nicht auf einen versehentlichen Fehler eines einzelnen Mitarbeiters. Für Börsen liegt die eigentliche Lehre nicht darin, „wer auf einen schädlichen Link geklickt hat“, sondern darin, warum Mehrfachsignatur-Freigaben, Auszahlungslimits und die Überwachung ungewöhnlicher Aktivitäten innerhalb desselben Zeitfensters allesamt versagten.
Hinter dem Einfrieren von 3 Milliarden US-Dollar: die „Notbremse“ der Stablecoin-Emittenten
Von den transferierten 6,36 Milliarden US-Dollar wurden rund 3 Milliarden eingefroren. Laut einer Momentaufnahme von TRM Labs vom 31. Oktober um 00:30 UTC wurden davon etwa 2,7 Milliarden US-Dollar hauptsächlich von Stablecoin-Emittenten gesperrt – darunter Tether, Circle, Ripple und World Liberty Financial. Diese Emittenten können Stablecoins bestimmter Adressen auf der Blockchain einfrieren und so gewissermaßen eine „Notbremse“ auf dem Weg der Gelder ziehen. Binance aktualisierte die Summe der eingefrorenen Vermögenswerte später auf rund 3 Milliarden US-Dollar.
Binance erklärte ausdrücklich: „Derzeit sind 3 Milliarden US-Dollar eingefroren. Wir danken unseren Branchenpartnern. Gemeinsam mit unseren Partnern und den Strafverfolgungsbehörden arbeiten wir daran, die eingefrorenen Vermögenswerte zurückzuerlangen.“ Diese Mittel sind noch nicht in den von Binance zurückgelegten Unternehmensmitteln in Höhe von 6,34 Milliarden US-Dollar enthalten. Die Börse betonte, dass die Rücklage „keine eingefrorenen oder geschützten Vermögenswerte umfasst, deren Rückgewinnung und Überprüfung noch andauern“. Mit anderen Worten: Sollten die eingefrorenen 3 Milliarden US-Dollar erfolgreich zurückgewonnen und an die Nutzer zurückgegeben werden, könnte Binance deutlich weniger als 6,34 Milliarden US-Dollar an eigenen Mitteln einsetzen müssen.
Die verbleibenden rund 2,4 Milliarden US-Dollar befinden sich weiterhin in Form von Ethereum (ETH) und Bitcoin (BTC) im Besitz der Angreifer. Dazu gehören mehr als 420.000 ETH und 18.270 BTC. Da es bei diesen beiden Vermögenswerten keinen Emittenten gibt, der sie einfrieren könnte, ist ihre Rückgewinnung deutlich schwieriger als bei Stablecoins. Sie hängt oft von der Blockchain-Analyse durch Strafverfolgungsbehörden, der Unterstützung von Börsen und gerichtlichen Beschlagnahmungen ab. Das erklärt auch, warum Binance Strafverfolgungsbehörden wie das FBI einbeziehen muss: Stablecoins können von ihren Emittenten eingefroren werden, native Vermögenswerte hingegen nur von den Strafverfolgungsbehörden abgefangen werden.
Nordkorea im Verdacht: TraderTraitor und die Zuordnung zum Bybit-Fall
TRM Labs ordnete den Angriff mit hoher Zuversicht TraderTraitor zu, einer mit Nordkorea in Verbindung stehenden Hackergruppe. Das FBI erklärte im Februar 2025 öffentlich, die Gruppe sei für den Diebstahl von 1,5 Milliarden US-Dollar bei Bybit verantwortlich. Sollte diese Zuordnung von den Strafverfolgungsbehörden bestätigt werden, wäre dies das zweite Jahr in Folge, in dem eine nordkoreanische Hackergruppe einen Krypto-Raub in Milliardenhöhe verübt. Zugleich würde es bedeuten, dass sich die Angriffsmethoden gegen Hot Wallets zentralisierter Börsen rasant weiterentwickeln.
Der Blockchain-Ermittler ZachXBT lieferte einen weiteren Hinweis auf eine Verbindung: Nachdem die gestohlenen Binance-Gelder über das Cross-Chain-Protokoll THORChain transferiert worden waren, tauchten sie an derselben Adresse auf wie Gelder aus dem Bitget-Diebstahl über 388 Millionen US-Dollar im September. „Wahrscheinlich war in beiden Fällen derselbe Akteur maßgeblich beteiligt.“ Cross-Chain-Mixing und das Zusammenführen von Adressen sind typische Geldwäschemethoden nordkoreanischer Hackergruppen. Sie sollen den Geldfluss verschleiern und die Nachverfolgung erschweren. THORChain, ein erlaubnisfreies Cross-Chain-Liquiditätsprotokoll, geriet dadurch ebenfalls in den Mittelpunkt der öffentlichen Debatte. Medienberichten zufolge stieg der RUNE-Token von THORChain nach der Nachricht über den Binance-Diebstahl zeitweise um 13 Prozent.
Vorsicht ist jedoch geboten: Binance hat bislang keinen Angreifer namentlich genannt und erklärt lediglich, mit den Strafverfolgungsbehörden zusammenzuarbeiten, um die Verantwortlichen zu identifizieren. Die Zuordnung von TRM Labs ist eine Einschätzung eines Drittanbieters; eine endgültige Bestätigung müsste noch durch die Strafverfolgungsbehörden oder gerichtliche Dokumente erfolgen. Bei Sicherheitsvorfällen im Kryptobereich können falsche Zuordnungen diplomatische und rechtliche Risiken nach sich ziehen. Auch deshalb halten sich Börsen und Aufsichtsbehörden üblicherweise mit solchen Aussagen zurück.
Binances Zusage zur Erstattung und die Bewährungsprobe für den PoR
Angesichts des Rekordverlusts entschied sich Binance, vollständig dafür aufzukommen. Die Börse teilte mit, mehr als 6,34 Milliarden US-Dollar an Unternehmensmitteln zur Deckung des Verlusts zurückgelegt zu haben. Davon seien Vermögenswerte im Wert von 5 Milliarden US-Dollar bereits exakt auf die gestohlenen Token abgestimmt; die verbleibenden rund 1,34 Milliarden US-Dollar würden derzeit über den Markt und OTC-Kanäle beschafft. Binance erklärte, dieser Schritt dauere länger, weil einige Token eine geringere Liquidität hätten und OTC-Abwicklungen Zeit benötigten. Die Börse teilte außerdem mit, weiterhin Unternehmensmittel einzusetzen, um bestätigte Fehlbeträge zu decken, und im Zuge der Wiederherstellung weitere, überprüfte Updates zu veröffentlichen.
Laut Daten zu Reserve-Ranglisten steht Binance mit Gesamtvermögenswerten von 134 Milliarden US-Dollar an der Spitze der Kryptobörsen. Trotzdem wäre der einmalige Einsatz von 6,34 Milliarden US-Dollar an Unternehmensmitteln eine enorme Bewährungsprobe. Daten von DeFiLlama zufolge verzeichnete Binance innerhalb von 24 Stunden nach dem Vorfall Nettoabflüsse von rund 6 Milliarden US-Dollar. Das spiegelt den Auszahlungsdruck wider, dem Nutzer bei einem Extremereignis ausgesetzt sind. Einige Auszahlungen auf der Blockchain, etwa über Solana und XRP, wurden zu Beginn des Vorfalls vorübergehend ausgesetzt. BTC-Auszahlungen blieben möglich; anschließend nahm die Börse ihre Dienste schrittweise wieder auf.
Binance versprach in seiner Erklärung: „Letztlich werden alle Nutzergelder öffentlich anhand unseres Proof of Reserves überprüft.“ Der PoR wird zum entscheidenden Maßstab dafür, ob die Börse den Fehlbetrag bei den Nutzervermögen tatsächlich vollständig deckt – insbesondere bevor geklärt ist, wem die eingefrorenen Vermögenswerte im Wert von 3 Milliarden US-Dollar zustehen. Jede Aussage zur „Sicherheit der Gelder“ muss durch Belege auf der Blockchain gestützt werden. Für die Branche besteht die eigentliche Belastungsprobe darin, ob der PoR auch in Extremsituationen überprüfbare Transparenz bieten kann – nicht darin, ob Binance Auszahlungen leisten kann.
Auswirkungen auf die Branche: Hot-Wallet-Architektur, Cross-Chain-Tracking und Zusammenarbeit mit Behörden
Der Vorfall legt erneut die systemischen Risiken offen, die mit der Verwaltung von Hot Wallets bei zentralisierten Börsen verbunden sind. Ob es nun um eine durch den gehackten Laptop eines DevOps-Ingenieurs entstandene Berechtigungslücke oder um das koordinierte Versagen eines Multichain-Signatursystems geht: Der Ausfall einer einzigen Schutzmaßnahme kann eine kettenübergreifende Kettenreaktion auslösen. Für Börsen sind die Trennung von Cold und Hot Wallets, Mehrfachsignatur-Freigaben, Auszahlungslimits und die Überwachung ungewöhnlicher Aktivitäten keine optionalen Maßnahmen mehr, sondern eine Überlebensgrundlage. Dass Angreifer innerhalb von 20 Minuten Gelder über 10 Blockchains hinweg transferieren konnten, verdeutlicht zudem die Komplexität des Risikomanagements im Multichain-Zeitalter: Die Warnung auf einer Blockchain könnte zu spät kommen, um Auszahlungen auf den übrigen neun zu verhindern.
Die Effizienz der Zusammenarbeit mit Strafverfolgungsbehörden war bei diesem Vorfall besonders wichtig. Im Februar 2022 erklärte das US-Justizministerium, Strafverfolgungsbehörden wie das FBI hätten bei der Beschlagnahmung von 94.000 BTC geholfen, die damals 3,6 Milliarden US-Dollar wert waren. Die Gelder standen im Zusammenhang mit dem Diebstahl bei der Börse Bitfinex im Jahr 2016. Der Bitfinex-Fall vor acht Jahren zeigt, dass Strafverfolgungsbehörden selbst dann umfangreiche Rückgewinnungen erreichen können, wenn Gelder bereits seit Jahren transferiert wurden – mithilfe von Blockchain-Analysen und rechtlichen Maßnahmen. Ob die Zusammenarbeit zwischen Binance und dem FBI diesem Beispiel folgen kann, hängt davon ab, wie schnell die eingefrorenen Vermögenswerte überprüft werden und wie effizient die internationale Rechtshilfe funktioniert.
Auch auf den Märkten löste der Vorfall eine Kettenreaktion aus. Neben dem kurzfristigen Anstieg von RUNE kam es am Bitcoin-Markt nach dem Vorfall zu Liquidationen in Höhe von rund 1,6 Milliarden US-Dollar. Diese Schwankungen erinnern daran, dass Sicherheitsvorfälle bei Börsen nie nur die betroffene Plattform betreffen. Über Cross-Chain-Protokolle, Liquidationsketten und die Stimmung am Markt können sie sich auf das gesamte Krypto-Ökosystem ausbreiten.
Zu den Punkten, die es weiter zu beobachten gilt, gehören: die Prüfung der Eigentumsverhältnisse bei den eingefrorenen Vermögenswerten in Höhe von 3 Milliarden US-Dollar, Zeitpunkt und Umfang der Veröffentlichung des Binance-PoR-Berichts, die offizielle Bestätigung der Identität der Angreifer durch die Strafverfolgungsbehörden sowie die Frage, ob die Börse einen detaillierteren Plan zur Behebung der Mängel im Signatursystem ihrer Hot Wallets veröffentlichen wird. Für Nutzer ist es nach einem schwerwiegenden Sicherheitsvorfall sinnvoller, die Reservenachweise der Börse und die Fortschritte bei der Wiederbeschaffung der Gelder zu verfolgen, als kurzfristigen Kursschwankungen hinterherzujagen.