30. Oktober, 04:05 Uhr Pekinger Zeit. In 40 Minuten wurden rund 6,3 Milliarden Dollar über 10 Chains aus Binance-Hot-Wallets abgezogen und gewaschen. Der größte einzelne Diebstahl in der Geschichte der Kryptowährungen – die 600 Millionen von der Ronin Bridge und die 1,46 Milliarden bei Bybit reichen zusammen nicht einmal an einen Bruchteil davon heran.
Wer aber nur auf die drei Zeichen „6,3 Milliarden“ schaut, versteht den gesamten Vorfall falsch.
【Zuerst die Zahlen richtig einordnen】
6,3 Milliarden sind ein Zahlungsstrom, keine Rechnung.
Rund 3 Milliarden sind eingefroren oder geschützt – etwa 48 % des betroffenen Volumens. 90 % wurden bereits aufgefüllt; bei den übrigen 10 % handelt es sich überwiegend um Token mit geringer Liquidität. 6,34 Milliarden stehen bereit, darunter 5 Milliarden in denselben Coins, die bei diesem Vorfall gestohlen wurden – es wird zwischen den eigenen Taschen umgeschichtet, nicht am Markt eingekauft. Das Nettoengagement beträgt rund 2 % der Binance-Reserven.
Zwei Gerüchte räumen wir gleich aus dem Weg: ① „Sie werden 6,3 Milliarden für Käufe einsetzen“ ist falsch. ② „Eingefroren = zurückerlangt“ ist ebenfalls falsch. Von den 1,5 Milliarden, die beim Bybit-Hack gestohlen wurden, konnten letztlich nur 48,4 Millionen Dollar tatsächlich zurückgeholt werden.
Die eigentliche Prüfung war nie, ob man sich die Verluste leisten kann, sondern ob die Menschen einem vertrauen, wenn das Tor wieder aufgeht.
【Wie es in diesen 40 Minuten ablief】
Ab dem 28.10. hob der Hacker dreimal kleine ETH-Beträge von Tornado Cash ab, um Gasgebühren zu bezahlen, und probte den Ablauf außerdem zweimal mit Test-Wallets.
04:05: Zuerst wurden fünf Wallets auf der XRP-Chain aktiv – etwa 20 Minuten vor Ethereum.
04:20: Eine Transaktion schob 50 vorab signierte EIP-7702-Delegationsautorisierungen in die Binance-Hot-Wallet 14. Sie waren der Reihe nach angeordnet, sodass eine davon zwangsläufig den passenden Nonce traf.
3 Minuten und 24 Sekunden später wurde diese Wallet mit einer einzigen Transaktion vollständig geleert: mehr als 200.000 ETH, 1,875 Milliarden USDT und 63 Token. Noch schlimmer: Die Delegation blieb gültig, sodass neue Einzahlungen sofort abgeschöpft wurden.
Das Problem lag nicht bei 7702, sondern bei der Signatur. Konsens in der Sicherheitsbranche: 7702 wird erst wirksam, wenn es mit dem privaten Schlüssel der Wallet signiert wurde. Durchbrochen wurde offenbar die zentrale Signatur-Orchestrierung bzw. die Richtlinien-Engine. Die Spur führt zu einem kompromittierten DevOps-Laptop. Eine offizielle Bestätigung, dass private Schlüssel offengelegt wurden, gibt es bis heute ebenso wenig wie eine vollständige Aufarbeitung.
【Die ganze Welt spricht – aber zwischen den Zeilen】
🦾Musk: Ein Meme trifft genau den wunden Punkt
Jemand postete unter CZs Beitrag „Die Sicherheit der Nutzergelder“ dieselbe Art Erklärung, die SBF damals abgegeben hatte. Musk antwortete mit 😬. Fünf Stunden später schrieb CZ: „Elon, ich habe großen Respekt vor dir, aber jetzt ist nicht der richtige Zeitpunkt für Scherze. Unsere SpaceX-Anteile sind inzwischen mehr als eine Milliarde Dollar wert. Ich wäre dir sehr dankbar, wenn du ein wenig Unterstützung zeigen könntest.“
Das war keine Angeberei, sondern zugleich ein Hilferuf und eine Grenzziehung. Das Gift in diesem 😬: Vor dem letzten Zusammenbruch sagte jemand „Alles ist sicher“ – sein Name war Sam Bankman-Fried.
🏛Trump: zurückhaltend, aber jedes Wort hat Gewicht
Der Originalwortlaut aus dem Oval Office: „Wir wissen es nicht. Wir untersuchen die Angelegenheit.“ Auf die Frage, ob Nordkorea dahinterstecke, sagte er zweimal hintereinander, dass er es nicht wisse. Ergänzend hieß es: Binance habe mitgeteilt, die Lage sei unter Kontrolle.
Keine Zuschreibung, keine Schuldzuweisung, keine Eskalation. Zur Einordnung: Trump hatte CZ 2025 persönlich begnadigt.
Die tatsächliche Zuschreibung bleibt privaten Unternehmen überlassen: TRM und Chainalysis verweisen mit hoher Sicherheit auf TraderTraitor aus dem Lazarus-Umfeld. Der stärkste neue Beleg ist, dass diese Gelder On-Chain mit den im Vormonat bei Bitget gestohlenen Geldern vermischt wurden. FBI und Secret Service sind eingeschaltet; die US-Regierung hat die Zuschreibung bislang nicht bestätigt.
Warum die Zurückhaltung? Rechnen wir nach: Der Hacker hält noch rund 18.270 BTC und 509.000 ETH, ohne auch nur eine Münze verkauft zu haben – im Wert von etwa 2,55 Milliarden Dollar. Das ist mehr als das Sechsfache der gesamten nordkoreanischen Exporte im Jahr 2025. Wie viel davon sich waschen lässt, bestimmt unmittelbar, wie stark Washington gegenüber Pjöngjang aufgestellt ist.
🏦Hongkong & Singapur: keine Stellungnahme, aber die Regeln sprechen für sich
Bislang haben weder die Hongkonger Wertpapieraufsicht noch die Währungsbehörde noch die singapurische MAS eine separate Erklärung zu diesem Vorfall veröffentlicht. Legt ihnen keine Worte in den Mund – aber ihre Regelwerke bieten einen interessanten Vergleich.
Hongkonger VATPs: 98 % Cold Storage, Hot-Wallet-Limit von 2 %; Kundenvermögen wird treuhänderisch gehalten und physisch von den Vermögenswerten der Plattform getrennt; keine Einzelperson darf über das vollständige Schlüsselmaterial verfügen; Auszahlungs-Whitelists und Autorisierungsprüfungen sind verbindlich vorgeschrieben. Die unausgesprochene Botschaft: Ein Hot-Wallet-Engagement dieser Art und der Missbrauch delegierter Autorisierungen würden die Zulassungsprüfung in Hongkong nicht bestehen.
Singapurs MAS: umfassende Lizenzpflicht für DTSPs ohne Übergangsfrist; die PSA-Novelle verlangt 100 % Stablecoin-Reserven, getrennte Verwahrung, Rücknahme zum Nennwert innerhalb von fünf Geschäftstagen und ein Zinsverbot. Die Anforderungen an das technische Risikomanagement nennen ausdrücklich „Diebstahl privater Schlüssel“ und „Cyberangriffe“. Die unausgesprochene Botschaft: Dass Tether und Circle innerhalb weniger Dutzend Minuten 2,4 Milliarden eingefroren haben, wäre im neuen Rahmen keine kollegiale Gefälligkeit, sondern eine vorgeschriebene Maßnahme.
Eine Prognose lässt sich wagen: Hongkong wird nach dem Vorfall delegierte Autorisierungen nach Art von 7702 und den Zugang von DevOps-Endgeräten vermutlich in die nächste Runde von Richtlinien aufnehmen. Die MAS wird „Hot-Wallet-Signaturrechte an einem einzigen Punkt“ bei Vor-Ort-Prüfungen als Minuspunkt werten. Die Aufsicht wird Binance nicht retten, aber den Vorfall nutzen, um die Prüfungsfragen für alle neu zu schreiben.
🤝Branche: Das Bündnis zum Einfrieren zieht erstmals geschlossen mit
Tether, Circle, Ripple, World Liberty, der Sicherheitsrat von Arbitrum und Aave zogen fast gleichzeitig die Notbremse. Der übersehene Satz von He Yi war der wichtigste: „Heute haben wir bewiesen, dass wir uns zusammenschließen können.“ Dass 3 Milliarden eingefroren werden konnten, lag nicht an Binances Technik, sondern daran, dass Branchenkollegen bereit waren, den Schalter in ihren eigenen Büchern umzulegen. Das ist der einzige Vermögenswert, den die Branche aus diesem Vorfall gewonnen hat.
【Vier Erschütterungen für die Branche】
①Die Erzählung rund um Account Abstraction wird neu geschrieben: 7702 steht nicht länger für „Wallets einfacher machen“, sondern für „eine einzige Autorisierung kann alles leerräumen“. Delegations-Whitelists, Gültigkeitsdauer von Autorisierungen und Nonce-Strategien werden zu Pflichtpunkten bei Audits.
②Der Angriffsvektor verlagert sich von privaten Schlüsseln auf Menschen: Laptops, CI/CD, Signaturinfrastruktur und Jump-Server. Multisig ist keine Compliance-Dekoration mehr, sondern die letzte menschliche Firewall.
③Der Streit um Stablecoins als „On-Chain-Zentralbanken“ eskaliert: Sie einfrieren zu können, ist zugleich Verkaufsargument und Todsünde.
④Dass CEX „zu groß zum Scheitern“ sind, ist Teil der Nutzererwartungen geworden: SAFU als Rückhalt ohne Kostenumlage ist kurzfristig ein Lehrbuchbeispiel. Langfristig bedeutet es, dass im Ernstfall die Plattform und die Branche zahlen – die Branche wird sicherer, aber auch zentralisierter. Ironischerweise war es diesmal genau der „zentralisierte“ Teil, der die Rettung brachte.
【Wie entwickelt sich der Markt, sobald Auszahlungen wieder möglich sind?】
Ausgangslage: Zum Zeitpunkt des Vorfalls fiel BTC auf ein Sechswochentief von 76.519, ETH unter 2.174, BNB verlor im Tagesverlauf mehr als 8 %, und im gesamten Markt wurden zeitweise fast 600 Millionen liquidiert. In derselben Woche standen jedoch auch eine Fed-Zinsentscheidung und ein Ausverkauf bei KI-Aktien an – schiebt nicht alles Binance in die Schuhe.
🟢Optimistisch · Erleichterungsrally nach dem Ende der Unsicherheit
Auszahlungen starten pünktlich, die großen Coins sind zu 100 % gedeckt, der PoR ist einwandfrei → Leerverkäufer decken sich ein, BNB hat das größte Aufwärtspotenzial, BTC steigt wieder über 80.000.
🟡Basisszenario · Seitwärtsbewegung auf niedrigem Niveau (am wahrscheinlichsten)
Auszahlungen werden coinweise und schrittweise freigeschaltet; die Rücknahmen laufen reibungslos, ohne Überraschungen. Die 18.000 BTC und 509.000 ETH in den Händen des Hackers sind noch immer nicht verkauft – ein Damoklesschwert. Vor dem Einfrieren stieß er bereits USDT im Wert von 325 Millionen mit mehr als 10 % Abschlag ab, tauschte sie gegen 122.300 ETH und hinterlegte ETH als Sicherheit bei Aave, um weitere ETH zu leihen. Die Strategie ist eindeutig: Was eingefroren werden kann, in etwas umwandeln, das sich nicht einfrieren lässt. Im Verhältnis zum täglichen Handelsvolumen ist die Summe nicht kritisch, aber sie drückt auf die Risikobereitschaft bei Altcoins: BTC bildet zwischen 76.000 und 80.000 einen Boden, Altcoins fallen mit, steigen aber nicht mit.
🔴Eskalation · Die zweite Welle kommt erst noch und wird heftiger als die erste
Die Auslöser sind klar: Auszahlungen werden erneut gestoppt oder Warteschlangen dauern zu lange; die Deckungsquote eines Coins ist deutlich zu niedrig; die 18.000 BTC werden über immer mehr Adressen und Pfade weitergeleitet; der PoR bleibt vage; Mitteilungen werden plötzlich seltener.
Dann geraten zuerst BNB und Altcoins unter Druck. Das eigentliche Gefahrensignal wäre eine kurzfristige Abkopplung von USDT oder USDC – das Stethoskop, mit dem sich ein Vertrauensverlust abhören lässt.
Behalte fünf Dinge im Blick: Dauer der Auszahlungswarteschlange (Minutenbereich = gesund), Stablecoin-Aufschlag/-Abschlag (±0,1 % = gesund), Finanzierungsrate von BNB, On-Chain-Bewegungen der 18.000 BTC und den PoR (vorläufig am 2.11., vollständige zk-Version am 3.11.).
Zeitlicher Anker: Die Auszahlungen sollten ursprünglich ab dem 1.11. schrittweise wieder aufgenommen werden, wobei große Coins Vorrang haben und kleinere später folgen.
【Zum Schluss】
Die 6,3 Milliarden schmerzen Binance. Doch auf dem Prüfstand steht eine alte Frage: Kann eine Branche sich selbst auffangen?
Die 3 Milliarden wurden von Branchenkollegen eingefroren, das Geld kommt von SAFU, und zwei Regulierungsrahmen bereiten Audits vor. Und derjenige, der noch nicht gefasst wurde, verwandelt weiterhin das, was eingefroren werden kann, in das, was sich nicht einfrieren lässt.
Wenn Auszahlungen wieder möglich sind, wird es keinen Applaus geben. Nur einen ganz stillen Messwert: Hat tatsächlich jemand auf „Auszahlen“ gedrückt?
Datenstand: 1.11.2026, 08:00 CST. Maßgeblich sind die offiziellen Mitteilungen von Binance. Die Szenarioanalyse ist keine Anlageberatung. Glaubt keinen „Rückerstattungsgruppen“ in privaten Nachrichten.
Was glaubt ihr: Ist die Unsicherheit vorbei – oder kommt noch eine zweite Welle? Bezieht Stellung in den Kommentaren 👇