Am 29. Oktober um 20:05 UTC (17:05 Uhr in Brasília) begann jemand, Geld aus Binance-Wallets auf zehn verschiedenen Blockchains zu bewegen. Innerhalb von rund 20 Minuten flossen 6,36 Milliarden US-Dollar ab, laut TRM Labs. Das ist fast viermal so viel wie beim Bybit-Raub 2025 (1,5 Milliarden US-Dollar) und der größte jemals verzeichnete Krypto-Diebstahl.

Wie sie hineinkamen. Die erste Version von Binance deutete auf den kompromittierten Laptop eines DevOps-Ingenieurs hin: Darüber gelangte der Angreifer zu einem Service-Container und konnte nicht autorisierte Auszahlungen veranlassen. Am Freitag bestätigte Co-CEO Richard Teng, dass die Ermittlungen weitere Zugangspunkte gefunden hätten und der Angriff den normalen Genehmigungsprozess mithilfe von Ethereums EIP-7702 umgangen habe, einer Funktion zur Kontodelegierung. Man kann einer anderen Adresse erlauben, in der eigenen Wallet zu handeln, ohne den Schlüssel zu ändern. So wurde eine Hot Wallet der Börse übernommen, ohne die Genehmigungsinstanzen zu durchlaufen. Binance sagt, es gebe keine Hinweise auf einen Leak privater Schlüssel. Die Gruppe setzte außerdem einen Selbstzerstörungsmechanismus ein, um während des Angriffs Spuren ihrer Werkzeuge zu beseitigen.

Wer war es? Niemand wurde offiziell beschuldigt. TRM Labs schrieb den Angriff mit „hoher Zuversicht“ TraderTraitor zu, einer nordkoreanischen Einheit, die auch Lazarus oder APT38 genannt wird; Chainalysis stimmte mit derselben Zuversicht zu. Binance bestätigt keinen Täter und sagt, mit der Polizei zusammenzuarbeiten. In den USA leitet der Secret Service die Ermittlungen, das FBI sagt, es sei informiert, und Trump antwortete, die Regierung „schaue sich“ Nordkorea „an“.

Was bereits eingefroren wurde. Stablecoin-Emittenten blockierten rund 2,7 Milliarden US-Dollar: Tether 1,56 Mrd. US-Dollar, Circle 800 Mio. US-Dollar sowie Ripple und World Liberty. Der Sicherheitsrat von Arbitrum fror 8.426 ETH und 74,6 Millionen ARB ein. Was kein Emittent erreichen kann, bleibt beim Angreifer: mehr als 420.000 ETH und 18.270 BTC, knapp 2,4 Milliarden US-Dollar. Während die Sperren umgesetzt wurden, verkaufte er USDT an Market Maker und lieh sich auf Aave ETH, wobei er USDT als Sicherheit einsetzte.

Die Rechnung für Binance. Die Börse sagt, sie decke alles mit dem SAFU und eigenen Mitteln ab. Sie hat 6,34 Milliarden US-Dollar zurückgestellt und besitzt bereits 5 Milliarden US-Dollar in denselben gestohlenen Coins, rund 80 %; den Rest kauft sie am Markt und außerbörslich (OTC). Auszahlungen bleiben ausgesetzt und werden schrittweise wieder aufgenommen, mit dem Ziel, dies innerhalb von 34 Stunden zu schaffen. Einzahlungen wurden nie eingestellt. Der Reservenachweis soll bis Montag, dem 2. November, vorliegen und der technische Bericht in etwa 48 Stunden.

Der Markt. Ich habe gerade bei Binance nachgemessen: BTC fiel vom Eröffnungskurs am 29.10. von 81.343 US-Dollar auf 77.424 US-Dollar, ein Minus von 4,8 %, und erreichte mit 76.326 US-Dollar einen Tiefstand, 6,2 % darunter. ETH fiel um 4,9 % und erreichte 2.174 US-Dollar, SOL fiel um 6,7 % und der börseneigene Token BNB am Angriffstag um 8,1 %. Die Gesamtmarktkapitalisierung liegt bei 2,60 Billionen US-Dollar, 2,85 % weniger als vor 24 Stunden; die BTC-Dominanz beträgt 59,85 %. Es herrschte keine Panik: Das Handelsvolumen der letzten 24 Stunden liegt bei 72,4 Milliarden US-Dollar. Reuters berichtete über den Kursrückgang zusammen mit der Nachricht und auch über die Kursverluste von Coinbase, Strategy und Robinhood an der Börse.

Worauf ich jetzt achte. Zwei Punkte. Der Reservenachweis wird nach dem Rückkauf erstellt. Er zeigt also, dass das Loch gestopft wurde, nicht wie groß es an diesem Tag war. Wer von einem internen Dienst spricht, verwendet genau dieses Argument, und Binance wird erst im technischen Bericht darauf antworten. Der zweite Punkt ist EIP-7702: Es ist ein Netzwerkstandard, kein Fehler der Börse. Jedes Konto, das Berechtigungen delegiert, ist auf dieselbe Weise gefährdet, und eine Hot Wallet ist eine Hot Wallet, auch wenn man ihr einen hübschen Namen gibt. Der Angriff berührte weder private Schlüssel noch Cold Wallets, und trotzdem wurden innerhalb von 20 Minuten 6,3 Milliarden US-Dollar bewegt.

Ich habe eine Sache an meiner Routine geändert: Guthaben, das auf einer Börse liegt, hat jetzt ein Verfallsdatum. Wenn du die Zahlen des Tages überprüfen möchtest, tippe auf $BTC hier im Text und vergleiche sie mit dem, was oben steht.