Binance-Hack: FBI bringt Nordkoreas TraderTraitor mit dem größten Krypto-Diebstahl aller Zeiten in Verbindung
Am Abend des 29. Oktober 2026 begannen unbefugte Abhebungen, die Hot Wallets von Binance innerhalb weniger Stunden über elf Blockchains hinweg zu leeren. Die Schätzungen zum Verlust reichen von rund 6,3 Milliarden US-Dollar, der eigenen Angabe der Börse, bis zu 6,43 Milliarden, wo die On-Chain-Auswertung von Elliptic nach tagelangem Zählen ihren Endwert fand — laut dem Analyseunternehmen mit an Sicherheit grenzender Wahrscheinlichkeit der größte einzelne Diebstahl jeglicher Art in der Geschichte. Die Abhebungen wurden noch in derselben Nacht eingestellt, und die weltgrößte Krypto-Börse verbrachte die folgenden Tage damit, ihre rund 335 Millionen registrierten Nutzer zu beruhigen: Ihr Geld sei nie verloren gegangen.
Die Zahlen hinter einem Rekord-Diebstahl
Für diese Größenordnung gibt es kaum Vergleichswerte. Die Beute ist mehr als viermal so hoch wie die 1,46 Milliarden US-Dollar, die im Februar 2025 von Bybit gestohlen wurden — damals selbst ein Rekord — und mehr als sechsmal so hoch wie die rund 1 Milliarde US-Dollar, die Saddam Hussein 2003 aus der irakischen Zentralbank holte, wie der Vergleich von Elliptic ausfällt. Aus der Aufstellung des FBI zählt The Hacker News elf betroffene Blockchains, wobei 82 Prozent des Werts auf Ethereum und Bitcoin entfielen. Der größte Anteil lag auf Ethereum: rund 3,8 Milliarden US-Dollar über 186 Token, dazu 18.270 BTC im Wert von etwa 1,48 Milliarden US-Dollar.Nordkorea, mit hoher Wahrscheinlichkeit
Am 31. Oktober schrieb das FBI den Diebstahl formell TraderTraitor zu, einem Nordkorea nahestehenden Cluster, der auch als Jade Sleet und Slow Pisces geführt wird, in Zusammenarbeit mit dem US Secret Service und der IRS Criminal Investigation. Dieselben Akteure werden mit den Hackerangriffen auf Bybit und DMM Bitcoin sowie kleineren Vorfällen bei KelpDAO und Bitget in Verbindung gebracht. Private Analysten deuteten schon innerhalb weniger Stunden in dieselbe Richtung: Der On-Chain-Ermittler ZachXBT nannte den Angreifer „vermutlich Lazarus“, und TRM Labs veröffentlichte eine Einschätzung mit „hoher Konfidenz“, dass TraderTraitor verantwortlich sei — eine Einheit, die CoinDesk als Untergruppe der Lazarus Group beschreibt.„Wir haben nun 90 % der gestohlenen Assets ersetzt, und wir sind entschlossen, die restlichen 10 % abzudecken.“ — Binance-Co-CEO Richard Teng, 31. Oktober 2026Binance stoppte die Auszahlungen und sagte anschließend zu, jeden Kundenschaden in voller Höhe zu übernehmen. Das Unternehmen legte etwa 6,34 Milliarden US-Dollar eigener Mittel zurück — gespeist aus seinem milliardenschweren Sicherungsfonds Secure Asset Fund for Users, seinem Futures-Insurance-Fonds und der Konzernkasse, wie NBC News berichtet; die restlichen zehn Prozent stecken überwiegend in weniger liquiden Token, deren Rückkauf länger dauern wird. Die Auszahlungen liefen ab dem 1. November ab 06:00 UTC phasenweise wieder an, und der befürchtete Run auf die Börse blieb überschaubar. The Block zählte in den ersten neuneinhalb Stunden rund 3,64 Milliarden US-Dollar an Netto-Abflüssen — etwa 2 Prozent des verwalteten Vermögens — und zitierte die Börse mit der Aussage, die Volumina hätten sich nach dem anfänglichen Schub „wie erwartet stabilisiert“, während die Einzahlungen beachtlich blieben. Bitcoin war bereits in den Stunden nach der Meldung um 5 Prozent auf ein Sechs-Wochen-Tief von 77.380 US-Dollar gefallen, wie die Berichterstattung des Guardian zeigt.
Wie die Wallets geleert wurden
Binance verwies bei seiner ersten öffentlichen Einordnung auf den kompromittierten Laptop eines DevOps-Ingenieurs als Einfallstor; später sprach das Unternehmen von einem komplexen Angriff mit weiteren Einstiegspunkten und Schadsoftware, die Spuren löschen sollte. Die Rekonstruktion von Elliptic zeigt, wie der Angreifer die EIP-7702-Delegation missbrauchte, ein Feature aus Ethereums Pectra-Upgrade von 2025: Eine einzige Transaktion mit fünfzig gültig signierten Autorisierungen übertrug die Kontrolle über die Wallet mit der Bezeichnung „Binance 14“ an einen Sweeper-Vertrag, der sie dreieinhalb Minuten später um 167.464 ETH und 63 Token leerte. Die Mittel flossen über Binance eigene Signatur-Infrastruktur und nicht über gestohlene private Schlüssel — in Elliptics Worten wurden die Infrastruktur und die Menschen um die Wallets herum kompromittiert, nicht die Kryptografie.Der Weg der Geldwäsche
Das FBI hat seine Erwartungen im Voraus kartiert. Nachdem man beobachtet hatte, wie der Angreifer die gestohlenen Assets primär in Ethereum umwandelte, geht die Behörde davon aus, dass die Gelder weiter über DeFi- und Instant-Swap-Dienste gewaschen werden, und sie hat die Wallet-Adressen veröffentlicht, gegen die Dienste prüfen sollen. Die bisherige On-Chain-Bilanz entspricht dem bekannten Drehbuch: Stablecoins wurden mit Verlusten von 12 bis 26 Prozent in ETH und TRX getauscht, Tempo war wichtiger als Wert; 59,9 Millionen USDT wurden bei Aave hinterlegt, um dagegen ETH zu leihen; TRX wurde über mindestens sechs verschiedene Bridges geschleust.- Rund 2,85 Milliarden US-Dollar waren binnen Tagen On-Chain eingefroren oder beschlagnahmt — 44 Prozent der Beute, fast alles Stablecoins, laut Elliptic; Binance selbst spricht von etwa 3 Milliarden.
- Auf Bitcoin, dem XRP Ledger, Solana und NEAR wurde nichts eingefroren; der Angreifer verfügt damit noch über rund 3,25 Milliarden US-Dollar in praktisch unantastbaren Assets, verteilt auf mehr als 800 Adressen.
- Elliptic hat eine kostenlose Sperrliste mit mehr als 8.000 verknüpften Adressen für Börsen und Wallet-Anbieter veröffentlicht.
- Nordkorea zugerechnete Akteure sollen in den letzten Jahren insgesamt mehr als 6,5 Milliarden US-Dollar in Krypto gestohlen haben, und Elliptic hält fest, dass dieser Vorfall diese Summe fast verdoppelt.