Rekord-Hack bei Binance: Rund 6 Milliarden Dollar abgezogen, Spur führt nach Nordkorea

Am Donnerstagabend begannen ab etwa 21.05 Uhr österreichischer Zeit Milliardenbeträge aus den Wallets von Binance abzufließen. Wie hoch der Schaden genau ist, hängt von der Zählweise ab: Das Analyseunternehmen Chainalysis beziffert die Beute auf rund 5,91 Milliarden US-Dollar zum Zeitpunkt des Diebstahls. Binance selbst schätzt den Gesamtschaden auf rund 6,3 Milliarden Dollar, TRM Labs kommt auf rund 6,36 Milliarden Dollar, verschoben über zehn Blockchains, den Großteil davon in etwa 20 Minuten. In jedem Fall ist es der größte Krypto-Diebstahl, der je dokumentiert wurde, und etwa viermal so viel wie beim Angriff auf die Börse Bybit im Februar 2025.

Zuerst traf es das XRP Ledger: Fünf Binance-Wallets schickten dort 233,46 Millionen XRP an eine einzige Adresse des Angreifers. Kurz danach folgten Wallets auf Solana und Optimism. Um 21.20 Uhr österreichischer Zeit überwies eine Bitcoin-Wallet der Börse 18.270 Bitcoin, rund 1,47 Milliarden Dollar, an den Angreifer. Wenige Minuten später verlor eine Tron-Wallet 612,7 Millionen USDT. Den größten Anteil machte mit rund 3,79 Milliarden Dollar Ethereum aus. Eine zweite Welle gegen 0.05 Uhr erfasste noch Wallets auf Avalanche und Polygon.

Betroffen waren sogenannte Hot Wallets. Das sind Wallets, die ständig mit dem Internet verbunden sind und über die eine Börse die Auszahlungen ihrer Kunden abwickelt. Die Vorbereitung begann laut TRM Labs mindestens 36 Stunden vorher: Die Wallet des Angreifers wurde über den Verschleierungsdienst Tornado Cash mit kleinen Beträgen versorgt, der Schadcode vorab an Test-Wallets erprobt.

Nach ersten Untersuchungen von Binance lief der Angriff über den kompromittierten Laptop eines DevOps-Technikers. Darüber habe sich der Angreifer Zugang zu einem Service-Container verschafft und nicht autorisierte Auszahlungen ausgelöst. Hinweise auf gestohlene private Schlüssel von Wallets gebe es nicht, teilte die Börse mit.

Auf Ethereum nutzte der Angreifer laut TRM Labs eine Funktion namens EIP-7702. Mit ihr kann eine gewöhnliche Wallet die Kontrolle an ein Programm, einen sogenannten Smart Contract, übergeben. Der Angreifer reichte 50 vorab signierte Freigaben auf einmal ein, damit mindestens eine davon trotz des laufenden Auszahlungsbetriebs gültig war. Eine reichte: Gut drei Minuten später leerte er die Wallet mit 167.464 Ether und 1,615 Milliarden USDT. Weil auf neun weiteren Blockchains gleichzeitig ganz normale, gültig signierte Überweisungen hinausgingen, vermutet TRM Labs, dass der Angreifer das Signatursystem der Börse selbst steuern konnte. Einen technischen Abschlussbericht hat Binance angekündigt.

TRM Labs schreibt den Angriff mit hoher Sicherheit der Gruppe TraderTraitor zu, einer staatlichen nordkoreanischen Hackereinheit. Auch Chainalysis hält die Gruppe für verantwortlich, Firmenchef Jonathan Levin verweist auf Verbindungen zu vorangegangenen Angriffen. Die US-Bundespolizei FBI hatte TraderTraitor bereits für den Diebstahl von 1,5 Milliarden Dollar bei Bybit im Februar 2025 verantwortlich gemacht. Binance selbst hat sich zur Urheberschaft noch nicht geäußert.

Die Muster ähneln sich laut TRM Labs: kleine Startbeträge aus Tornado Cash, lange Vorbereitung und vorab beschaffte Signaturen, die dann auf einen Schlag eingesetzt werden. Zum Vergleich: Im gesamten Jahr 2025 erbeuteten Cyberkriminelle laut dem Krypto-Kriminalitätsbericht von TRM Labs bei knapp 150 Angriffen 2,87 Milliarden Dollar, also weniger als die Hälfte der Summe dieser einen Nacht.

Ein Teil der Beute bestand aus sogenannten Stablecoins, also an den Dollar gekoppelten Kryptowährungen. Deren Herausgeber können Guthaben sperren und reagierten schnell. Laut TRM Labs froren bis 1.30 Uhr österreichischer Zeit ein:

• Tether: rund 1,77 Milliarden USDT

• Circle: rund 825 Millionen USDC, in Abstimmung mit Strafverfolgungsbehörden

• Ripple: 40,5 Millionen RLUSD

• World Liberty Financial: 27,8 Millionen USD1

• Arbitrum Security Council: 8.426 Ether und 74,6 Millionen ARB, rund 30 Millionen Dollar

Zusammen sind das laut TRM Labs rund 2,7 Milliarden Dollar. Binance nannte zunächst 2,54 Milliarden als bestätigt eingefroren, später rund 3 Milliarden. Der Angreifer versuchte, den Sperren zuvorzukommen: Er tauschte rund 325 Millionen USDT mit mehr als zehn Prozent Abschlag in rund 122.300 Ether und lieh sich auf der Plattform Aave weitere Ether gegen USDT. Die Bitcoin verteilte er in immer kleinere Pakete. Nach Rechnung von TRM Labs kontrolliert er damit mehr als 420.000 Ether und 18.270 Bitcoin im Wert von rund 2,4 Milliarden Dollar, die kein Herausgeber mehr sperren kann.

Binance setzte in der Nacht Ein- und Auszahlungen aus. Mitgründerin und Co-CEO Yi He erklärte, die Gelder der Nutzer seien sicher und Binance werde alle Verluste aus dem Hack übernehmen. Am Freitagmorgen teilte sie mit, dass Einzahlungen wieder normal funktionieren. Auszahlungen sollen innerhalb von 48 Stunden schrittweise wieder anlaufen, die Börse arbeite an verbesserten Kontrollen für Auszahlungen und Adressen. Nach Abschluss der Sicherheitsmaßnahmen will Binance einen neuen Nachweis seiner Reserven veröffentlichen.

Binance-Gründer Changpeng Zhao, der die Börse nicht mehr führt, aber größter Anteilseigner ist, rechnet nach eigenen Worten damit, dass alle Kundengelder vollständig gedeckt werden. Vor dem Angriff verwahrte Binance laut der Datenplattform DefiLlama Vermögenswerte von rund 144 Milliarden Dollar. Für Notfälle unterhält die Börse zudem einen eigenen Schutzfonds namens SAFU mit rund einer Milliarde Dollar. Sean Farrell vom Analysehaus Fundstrat sieht für Binance kein nennenswertes Risiko einer Zahlungsunfähigkeit.

Binance kündigte an, Neuigkeiten nur über seine offiziellen Kanäle zu veröffentlichen.

Der Angriff schickte den Kryptomarkt auf Talfahrt. Bitcoin verlor binnen 24 Stunden mehr als drei Prozent und notierte am Freitagmorgen bei rund 77.400 Dollar, zwischenzeitlich rutschte der Kurs Richtung 76.000 Dollar. Ether, BNB, XRP und Solana gaben etwas stärker nach. Marktweit wurden gehebelte Wetten im Wert von rund 1,5 Milliarden Dollar zwangsweise aufgelöst.

Geoffrey Kendrick, Leiter der Digital-Assets-Forschung bei Standard Chartered, erwartet weitere Kursverluste. Eine neue Basis werde der Markt erst finden, wenn die eingefrorenen Werte wieder freigegeben sind und mehr Details zum Angriff vorliegen. Am selben Tag hatte bereits die Wettplattform Polymarket einen Angriff über einen externen Dienstleister gemeldet, bei dem mehr als 2,6 Millionen Dollar von Nutzerkonten abgezogen wurden.

Weitere Quelle: CoinDesk, CNBC