Der geschätzte 6,3-Milliarden-Dollar-Hack von Binance – von Ermittlern als der größte in der Geschichte der Kryptowährungen bezeichnet – zeigt, wie schnell große Diebstähle vom „Stehlen“ zum „Geldwaschen“ übergehen können, selbst wenn Emittenten und Protokolle versuchen, den Zugriff zu blockieren. Der Angriff begann am Donnerstag um 20:04 Uhr UTC, und die mutmaßlichen Täter mit Verbindungen zu Nordkorea wechselten rasch zu Vermögenswerten, von denen sie glaubten, dass sie schwerer einzufrieren wären.

Bis Freitag teilte Binance mit, etwa 3 Milliarden US-Dollar der gestohlenen Gelder On-Chain eingefroren zu haben. Unterdessen richteten Stablecoin-Emittenten und andere Gatekeeper Adress-Blacklists ein und leiteten Maßnahmen zum Einfrieren ein, die nur wenige Minuten nach den ersten Überweisungen erfolgten. Dennoch wirft der verbleibende Teil der Bestände der Angreifer für Nutzer und Aufsichtsbehörden weiterhin eine zentrale Frage auf: Wie viel davon kann tatsächlich zurückgeholt und nicht nur eingefroren werden?

Die wichtigsten Erkenntnisse

• Binance schätzt den Diebstahl auf insgesamt rund 6,3 Milliarden US-Dollar. Davon waren bis Freitag etwa 3 Milliarden US-Dollar onchain eingefroren.

• Stablecoins standen im Mittelpunkt der Einfrierungsmaßnahmen: Berichten zufolge reagierten Tether und Circle innerhalb weniger Minuten, nachdem Gelder auf von Angreifern kontrollierte Adressen gelangt waren.

• Die Angreifer scheinen Vermögenswerte „vorab ausgewählt“ zu haben: Sie wechselten von einfrierbaren Stablecoins zu Bitcoin und Ether, bevor die Beschränkungen vollständig wirksam wurden.

• Selbst wenn Gelder eingefroren sind, können dezentrale Plattformen wie Kreditprotokolle die Rückholung erschweren – insbesondere, wenn Sicherheiten bereits hinterlegt wurden.

• Eingefroren bedeutet nicht immer zurückerlangt: Die Sperrung kann Ausgaben verhindern, ohne die Vermögenswerte automatisch an die Börse oder die Opfer zurückzuführen.

Dem Einfrieren zuvorkommen: von Stablecoins zu BTC und ETH

Laut der im Quellenmaterial verlinkten Berichterstattung von Cointelegraph stand die Hackeroperation mit nordkoreanischen Akteuren in Verbindung, die zuvor mit dem Bitget-Hack in Verbindung gebracht worden waren. Bei diesem Vorfall begannen die Täter den Ermittlern zufolge unmittelbar nach dem ersten Eindringen, die erbeuteten Gelder umzuwandeln.

Die Strategie war einfach: Stablecoins wie USDT und USDC werden von zentralisierten Stellen ausgegeben, die Token auf bestimmten Adressen einfrieren können. Daher wechselten die Angreifer zu Vermögenswerten, für die es im Allgemeinen keinen vergleichbaren „Ausschalter“ gibt. In der Praxis bedeutete das, sie in Vermögenswerte wie Bitcoin (BTC) und Ether (ETH) umzuwandeln, bei denen das Einfrieren auf Adressebene deutlich schwieriger ist.

Der CertiK-Ingenieur Dickson Wu berichtete, eine große Menge an USDT-Transaktionen nachverfolgt zu haben: 500 Millionen US-Dollar wurden an eine einzelne Adresse gesendet, wovon Berichten zufolge bis 20:59 UTC 325 Millionen US-Dollar an Market Maker verkauft und in ETH umgewandelt worden waren – weniger als eine Stunde nach Beginn des Hacks. Dieser Zeitablauf deckt sich mit Binances späterer Betonung, dass die Gelder zwar schnell eingefroren wurden, zuvor jedoch bereits eine erhebliche Umwandlung stattgefunden hatte.

Stablecoin-Sperrlisten bremsen Ausgaben – garantieren aber keine Rückholung

Stablecoins beruhen auf einer zentralisierten Ausgabe, und genau diese Struktur ermöglichte die schnelle Reaktion. Anders als bei BTC oder ETH, wo kein einzelner Emittent Guthaben einfrieren kann, können die Emittenten Token wie Tethers USDT und Circles USDC auf bestimmten Adressen sperren.

Binance erklärte, mit Strafverfolgungsbehörden, Emittenten und Blockchain-Analysefirmen zusammenzuarbeiten, um über die zunächst eingefrorenen Gelder hinaus weitere Mittel aufzuspüren. Berichten zufolge fror Tether insgesamt rund 1,567 Milliarden US-Dollar in USDT ein. Die erste größere Einfrierungsmaßnahme erfolgte etwa 37 Minuten, nachdem die gestohlenen Gelder in einer von den Angreifern kontrollierten Ethereum-Wallet eingegangen waren. Circle fror Berichten zufolge etwa drei Minuten später rund 823 Millionen US-Dollar in USDC ein.

Auch andere Akteure trugen zu den Eindämmungsmaßnahmen bei. Im Quellenmaterial wird zudem erwähnt, dass einige dezentrale Systeme ebenfalls zu intervenieren versuchten. So soll beispielsweise der Arbitrum Security Council rund 30,5 Millionen US-Dollar in ARB und ETH in eine zwischengeschaltete, eingefrorene Wallet verschoben haben. Von dort konnten die Gelder erst nach weiteren Maßnahmen des Councils oder einer Abstimmung durch die Arbitrum-DAO-Governance bewegt werden.

Die Möglichkeit, Gelder einzufrieren, führt jedoch nicht automatisch dazu, dass sie vollständig zurückerlangt werden. Wie die Quelle betont, kann das Sperren von Vermögenswerten mutmaßliche Angreifer daran hindern, sie auszugeben. Für sich genommen führt es die Gelder aber weder an Binance noch an betroffene Nutzer zurück. Dieser Unterschied ist für die Opfer wichtig, denn das Ziel ist die Wiederherstellung – also Vermögenswerte aufzuspüren, die Zuständigkeit zu klären und sie letztlich zurückzugeben –, nicht lediglich den Zugriff der Angreifer einzuschränken.

Aave zeigt, wie die „Einfrierbarkeit“ in DeFi an ihre Grenzen stoßen kann

Einer der kompliziertesten Aspekte in diesem Fall betrifft die Vorgänge im Bereich der dezentralen Finanzwirtschaft. Dem Quellenmaterial zufolge zahlte eine von den Angreifern kontrollierte Wallet zwischen 20:58 und 21:01 UTC 60 Millionen US-Dollar in USDT bei Aave V3 auf Ethereum ein und lieh sich dann 44,6 Millionen US-Dollar in Wrapped Ether (WETH) – etwa 40 Minuten bevor die ersten Einfrierungsmaßnahmen gemeldet wurden.

LlamaRisk, ein Anbieter von Risikodienstleistungen für Aave, erklärte in seinem Update um 1:00 Uhr, dass die Position des Angreifers später rund 59,9 Millionen US-Dollar an USDT-Sicherheiten gegenüber etwa 43,8 Millionen US-Dollar Schulden aufwies. Aave erklärte außerdem, die Position sei weiterhin überbesichert gewesen und habe die Protokoll-Lieferanten nicht gefährdet.

Diese Struktur erschwert jedoch die Rückholung. Die USDT waren bereits in Aaves Kreditpool eingezahlt worden. Eine Sperrung der Wallet des Angreifers könnte zwar verhindern, dass die Angreifer weiterhin darüber verfügen, würde aber die im Protokoll hinterlegten Sicherheiten nicht automatisch zurückholen. Marc Zeller, der im Quellenmaterial als Gründer der Aave Chan Initiative bezeichnet wird, hob diesen Unterschied hervor: Die Sicherheiten seien aus Sicht des Protokolls gewissermaßen „kriminell, aber überbesichert“. Das bedeutet, dass das Protokoll zahlungsfähig bleibt, selbst wenn die Gegenpartei böswillig handelt.

Um weitere Risiken zu verringern, fror Aave die Märkte in seinen V3- und V4-Bereitstellungen vorübergehend ein. Die vorsorgliche Sperrung dieser Märkte wurde später aufgehoben. Aave erklärte, die Smart Contracts seien nicht betroffen gewesen und die Überbesicherung habe weiterhin bestanden.

Wie viel der gestohlenen Kryptowährungen zurückgehalten werden kann – und was ungewiss bleibt

Elliptic schätzte laut der Quelle, dass bis Freitag um 7:00 UTC 2,84 Milliarden US-Dollar eingefroren worden waren. Dieselbe Analyse legte nahe, dass die Angreifer weiterhin Vermögenswerte im Wert von etwa 3,33 Milliarden US-Dollar kontrollierten, die von den Emittenten nicht gesperrt werden konnten.

Selbst wenn die Einfrierungen den verfügbaren Gewinn der Angreifer ungefähr halbieren, könnten die verbleibenden Bestände weiterhin schwer oder nur langsam zurückzuholen sein. Für BTC und ETH gibt es im Allgemeinen keine Einfrierungsmöglichkeit auf Emittentenebene. Sobald gestohlene Gelder in native Kryptowährungen umgewandelt wurden, hängt die Verhinderung von Transaktionen daher stärker von der Nachverfolgung, den Compliance-Maßnahmen von Börsen und den Ergebnissen der Strafverfolgung ab als von direkten Token-Sperren.

Binance hat sich außerdem öffentlich verpflichtet, Verluste von Nutzern mit seinem Secure Asset Fund for Users (SAFU) und Unternehmensmitteln abzudecken. Im Quellenmaterial wird Binance-CEO Richard Teng mit den Worten zitiert, die Börse sei „bereits dabei, gestohlene Vermögenswerte für Nutzer zurückzuholen“. Zudem hatte Binance zuvor erklärt, dass die Vermögenswerte der Nutzer sicher seien.

Für Marktteilnehmer lautet die praktische Erkenntnis: Die Schlagzeile über das „Einfrieren“ ist nur ein Teil des Prozesses. Entscheidend ist nun, ob die verbleibenden Gelder – insbesondere jene, die bereits in BTC und ETH umgewandelt wurden – zu identifizierbaren Zielen nachverfolgt, durch Kontrollen von Börsen abgefangen oder durch rechtliche Zusammenarbeit zurückgeholt werden können.

Anleger und Nutzer werden künftig beobachten wollen, ob Binances Bemühungen zur Rückholung über den zunächst eingefrorenen Betrag hinaus ausgeweitet werden und ob das DeFi-Engagement – bei dem Sicherheiten in Protokollen gebunden sein können – weitere Eindämmungsmaßnahmen erfordert oder längerfristige Entschädigungslösungen nötig macht.

Dieser Artikel wurde ursprünglich unter dem Titel „Binance-Hacker transferieren Milliarden, bevor Vermögenswerte möglicherweise eingefroren werden“ bei Crypto Breaking News veröffentlicht – Ihrer vertrauenswürdigen Quelle für Kryptonachrichten, Bitcoin-News und Blockchain-Updates.