Laut Blockchain-Tracking hat das Team hinter dem massiven Binance-Hack von 2026 weiterhin einen Großteil der gestohlenen, mit Solana verbundenen Erlöse bewegt und umgewandelt. Dabei laufen die Geldwäsche-Transaktionen zunehmend über das Cross-Chain-Swap-Protokoll THORChain.

Laut Arkham-Daten, die in Medienberichten zitiert werden, halten Wallets, die der Gruppe der „Binance-Hacker“ zugeordnet werden, inzwischen 182.443 SOL (rund 16,9 Millionen US-Dollar). Die größere Gruppe der Angreifer hat bereits etwa 81 % der Berichten zufolge während des Exploits gestohlenen 970.522 SOL bewegt – ein Betrag, der mit mindestens einem Teil der von Ermittlern beschriebenen Geldwäsche-Kette in Verbindung steht.

Die wichtigsten Erkenntnisse

• Von Arkham gemeldete Wallet-Cluster im Zusammenhang mit dem Binance-Hack halten 182.443 SOL im Wert von etwa 16,9 Millionen US-Dollar.

• Von Lookonchain zitierte Nachverfolgungen deuten darauf hin, dass die Angreifer eine mehrstufige Umwandlung vornehmen: SOL → USDC → Überbrückung zu Ethereum → ETH → BTC über THORChain.

• THORChain nahm Swaps in mehreren Netzwerken wieder auf, nachdem ein durch eine Ethereum-Block-Reorganisation ausgelöster Stopp einen Fehler bei Rückerstattungen offengelegt hatte.

• Chainalysis zufolge verzögerte der Stopp die Geldwäscheaktivitäten unbeabsichtigt, während andere On-Chain-Analysten schätzen, dass ein großer Teil der damit verbundenen Transaktionen automatisiert war.

• Die Behörden machten mit Nordkorea verbundene Akteure für den Hack verantwortlich, was nordkoreanische Amtsträger bestritten. Die Ermittler beobachten weiterhin die Rolle von THORChain bei der Geldwäsche im Zusammenhang mit anderen großen Sicherheitsverletzungen.

Bestände der Angreifer und die „Umwandlungsleiter“

Die jüngsten Bewegungsmuster zeigen sich, während Forscher untersuchen, wie gestohlene Vermögenswerte auf verschiedene Wallets verteilt, umgewandelt und über verschiedene Chains hinweg transferiert werden. Das im Bericht erwähnte Monitoring auf Entitätsebene von Arkham bringt einen Wallet-Cluster mit dem Binance-Exploit in Verbindung und beziffert dessen SOL-Bestände auf 182.443 SOL – etwa 18,8 % der 970.522 SOL, die dem Hack zugeschrieben werden.

Lookonchain beschrieb in seinem Update vom Mittwoch einen mehrstufigen Weg der Angreifer: SOL wurde auf mehrere Wallets verteilt und anschließend gegen USDC verkauft. Danach wurden die Erlöse in Stablecoins zu Ethereum überbrückt, um Ether (ETH) zu kaufen. Der letzte beschriebene Schritt besteht darin, ETH über THORChain gegen Bitcoin (BTC) zu tauschen. THORChain ist eine Cross-Chain-Börse, die die Umwandlung von Vermögenswerten ermöglichen soll, ohne auf herkömmliche zentralisierte Orderbücher angewiesen zu sein.

Für Anleger und Händler sind diese Details wichtig, weil sie zeigen, wie Hacker eine große, volatile Krypto-Beute in mehrere liquide Darstellungen über verschiedene Ökosysteme hinweg umwandeln können – oft, bevor Verteidiger reagieren oder Gelder einfrieren können. Das trägt auch dazu bei zu erklären, warum Cross-Chain-Liquiditätsnetzwerke wie THORChain bei größeren Vorfällen häufig besonders überwacht werden.

Details zum Binance-Hack und die Suche nach den Verantwortlichen

Binance gab bekannt, dass seine Systeme kompromittiert wurden, nachdem Angreifer mithilfe gefälschter Einladungen zu Vorstellungsgesprächen und bösartiger Software-Downloads Zugriff auf die Geräte von Mitarbeitern erlangt hatten. Die Börse bezeichnete den Vorfall als Hack mit Rekordausmaß und erklärte später, sie habe 98 % der betroffenen Token ersetzt und werde die verbleibenden Verluste selbst tragen.

Auf der Ermittlungsebene machte das US-amerikanische Federal Bureau of Investigation (FBI) am Samstag Nordkoreas Hackergruppe TraderTraitor für den Angriff verantwortlich und forderte Krypto-Dienstleister – ausdrücklich auch THORNode-Betreiber – auf, Transaktionen im Zusammenhang mit gestohlenen Vermögenswerten zu blockieren.

Nordkorea reagierte schnell. Kim Yo Jong, die Schwester des nordkoreanischen Machthabers Kim Jong Un, wies die Anschuldigungen des FBI als „absurde Rhetorik“ zurück, wie aus der im Ausgangsbericht verlinkten Berichterstattung hervorgeht.

Streitigkeiten über die Zuordnung von Cyberangriffen sind zwar nicht ungewöhnlich, bemerkenswert ist hier jedoch die operative Konkretheit: Aufsichtsbehörden und Ermittler haben gezielte Transaktionssperren in Teilen der Cross-Chain-Infrastruktur gefordert. Das deutet darauf hin, dass die Behörden davon ausgehen, dass die Geldwäsche-Route nicht bloß zufällig genutzt wird.

THORChains Swap-Stopp und warum er die Geldwäsche verlangsamte (und dann wieder anlaufen ließ)

Die Fähigkeit von THORChain, Swaps abzuwickeln, wurde Teil der Geschichte, als der Dienst zunächst pausiert und später wieder aufgenommen wurde. In früheren, im Bericht zitierten Meldungen heißt es, THORChain habe den Handel mit Bitcoin, Ethereum und anderen Chains nach einem Ethereum-bezogenen Problem gestoppt: Durch eine Block-Reorganisation wurde ein Fehler bei Rückerstattungen offengelegt.

Als THORChain den Handel am Mittwoch wieder aufnahm, konnten Cross-Chain-Swaps über mehrere Netzwerke hinweg fortgesetzt werden. Chainalysis erklärte dem Bericht zufolge, der Stopp habe die Geldwäscheaktivitäten im Zusammenhang mit den Binance-Angreifern unbeabsichtigt verzögert – ein wichtiger praktischer Aspekt. Selbst wenn Hacker mehrstufige Pläne vorbereiten, können Betriebsunterbrechungen bei den von ihnen genutzten Netzwerken Überwachungs- und Koordinierungsmaßnahmen sowie mögliche Risikokontrollen erleichtern.

Parallel dazu versuchten Analysten, den Ausführungsstil der Angreifer zu quantifizieren. SomaXBT schätzte, dass rund 54 % der mehr als 47.600 Transaktionen der Angreifer auf Tron und Solana automatisiert waren. Das unterstreicht, dass die Gelder wahrscheinlich mithilfe von Skripten getauscht und verteilt wurden und nicht ausschließlich durch manuelle Schritte.

Ausgeweitete Geldwäsche-Routen und worauf als Nächstes zu achten ist

Das gemeldete Geldwäsche-Muster deutet auch auf geografische und Blockchain-bezogene Flexibilität hin. Berichten zufolge weiteten die Binance-Hacker ihre Aktivitäten am Sonntag auf Solana aus, nachdem sie den Großteil ihrer vorübergehend genutzten Wallets auf Tron geleert hatten. Chainalysis schätzte, dass insgesamt Vermögenswerte im Wert von rund 500 Millionen US-Dollar über Tron bewegt wurden, darunter wiederholte Transfers zwischen Wallets – ein Verhalten, das zu Versuchen passt, die Herkunft der Gelder durch schnelle, wiederholte Bewegungen zu verschleiern.

Der Bericht ordnet THORChain zudem in eine umfassendere, anhaltende Erzählung über Geldwäsche ein. Es besteht der Verdacht, dass mit Nordkorea verbundene Hackergruppen THORChain zur Geldwäsche von Erlösen aus anderen großen Hacks genutzt haben, darunter dem im Ausgangstext erwähnten Bybit-Hack im Umfang von 1,4 Milliarden US-Dollar.

Für Leserinnen und Leser bleibt die zentrale Frage, ob die Behörden die Geldwäsche-Pipeline wirksam unterbrechen können, ohne die legitime Cross-Chain-Nutzung zu beeinträchtigen. Unmittelbar zu beobachten ist erstens, ob die Umwandlung gestohlener Vermögenswerte zunehmend auf andere Liquiditätsanbieter verlagert wird, und zweitens, wie schnell operative Kontrollen und Überwachungstools ähnliche Cross-Chain-Routen erkennen und deren wiederholte Nutzung verhindern können.

Dieser Artikel wurde ursprünglich unter dem Titel Binance Hackers Shift 81% of Stolen SOL, Use THORChain to Route Funds auf Crypto Breaking News veröffentlicht – Ihrer vertrauenswürdigen Quelle für Krypto-Nachrichten, Bitcoin-News und Blockchain-Updates.