Der Binance-Hack ist noch schlimmer geworden als ursprünglich angenommen. Binance und unabhängige Sicherheitsfirmen beziffern die Summe der gestohlenen Kryptowährungen des Angriffs vom 29. Oktober nunmehr auf rund 6,3 Milliarden US-Dollar. Davon wurden bisher rund drei Milliarden Dollar eingefroren.
Binance will aber alle Nutzer entschädigen. Auszahlungen sind pausiert, sollen aber innerhalb von 48 Stunden wieder möglich sein.
Binance gibt ein Update zum Hack
Die weltweit größte Krypto-Börse hatte gestern Nacht Ein- und Auszahlungen gestoppt und die betroffene Adressautorisierung widerrufen. Im jüngsten Update von 03:25 Uhr heute Nacht heißt es, Einzahlungen liefen normal. Für Auszahlungen werde die Sicherheit des Auszahlungsdienstes und der zugehörigen Adressen überarbeitet.
Tipp der Redaktion: Bitcoin-Kurs fällt nach Binance Hack – Mehr als 3 Milliarden USD gestohlen
Zum möglichen Angriffsweg erklärte Binance:
„Unsere erste Untersuchung deutet darauf hin, dass der Sicherheitsvorfall mit einem kompromittierten Laptop eines DevOps-Ingenieurs zusammenhängen könnte, der einem Angreifer Zugang zu einem Service-Container und die Einreichung unautorisierter Auszahlungstransaktionen ermöglichte. Wir haben keine Hinweise auf ein Abfließen privater Wallet-Schlüssel gefunden. Wir werden einen ausführlichen technischen Abschlussbericht veröffentlichen, sobald die Untersuchung abgeschlossen ist und die Fakten vollständig verifiziert sind.“
TRM Labs fand auf Ethereum eine EIP-7702-Delegation, durch die eine Binance-Wallet Angreifercode ausführte. Vorbereitet waren 50 signierte Autorisierungen für aufeinanderfolgende Nonces. Eine passende Signatur genügte, um die Delegation zu aktivieren. Auf anderen Netzwerken erfolgten gewöhnliche signierte Transfers. TRM vermutet deshalb einen kompromittierten Zugang zur Signierinfrastruktur.
Binance will die Verluste aus dem SAFU-Fonds und Unternehmensmitteln decken. Nach Abschluss der Bereinigung soll ein aktualisierter Reservenachweis folgen. Binance-CEO Yi He versicherte:
„Die Nutzergelder sind sicher. Binance wird sämtliche durch den Hack entstandenen Verluste übernehmen. […] Sobald die Untersuchung abgeschlossen ist, werden wir einen ausführlichen Bericht (Post-Mortem) dazu veröffentlichen. Bitte nutzen Sie für Updates ausschließlich die offiziellen Kanäle von Binance.“
Das Einfrieren durch Tether, Circle, Ripple, Arbitrum und andere Krypto-Unternehmen verhindert zunächst weitere Verfügungen über betroffene Vermögenswerte. Für deren Rückführung sind zusätzliche Schritte erforderlich.
Wo die gestohlenen Kryptowährungen liegen
CryptoQuant-Forschungsleiter Julio Moreno erfasste in seiner Ethereum-Auswertung rund 3,70 Milliarden Dollar an Abflüssen. Davon seien etwa 2,20 Milliarden Dollar in Stablecoins über drei Adressen gesperrt, darunter 1,38 Milliarden USDT und 823 Millionen USDC.
Zum noch verfügbaren Bestand schrieb er:
„Der Angreifer kontrolliert noch 462.600 ETH, etwa 1,04 Milliarden Dollar, in elf Adressen, von denen drei 85 Prozent halten. Hinzu kommen rund 400 Millionen Dollar in anderen Token, darunter XAUT, WBETH, ENA, RLUSD und USD1, die Wallet für Wallet in DEX-Pools verkauft werden.“
Vor den Sperren seien rund 435 Millionen USDT über 0x Protocol, 1inch, LiFi und Uniswap in ETH umgetauscht worden. Weitere 60 Millionen USDT dienten bei Aave v3 als Sicherheit für einen Kredit über rund 19.800 WETH.
Auf Bitcoin verfolgte Moreno 18.270 BTC im Gegenwert von rund 1,42 Milliarden Dollar über eine Zwischenadresse zu 19 neuen Adressen. Davon hielten 17 jeweils exakt 1.000 BTC. Laut den aktuell verfügbaren Informationen sind diese BTC-Bestände noch nicht weiterbewegt worden.
Die Ethereum-Zahlen sind Teilmengen des netzwerkübergreifenden Vorfalls. TRM beziffert die Abflüsse über zehn Blockchains auf 6,36 Milliarden Dollar, bewertet zu den jeweiligen Transferkursen. Nach dieser Erhebung ist es der bislang größte Kryptodiebstahl, rund viermal so groß wie der Bybit-Hack von 2025.
Die folgende Tabelle fasst Certik’s Dickson Wus On-Chain-Auswertung und die spätere Arbitrum-Sperre zusammen. Sie trennt ursprüngliche Abflüsse von eingefrorenen Beständen und weist die jeweiligen Datenstände aus.
Binance-Hack: Welche Kryptos sind eingefroren?
Die wichtigsten Abflüsse nach Token und die gemeldeten Sperren. Grundlage ist die Analyse von Dickson Wu (Senior Security Engineer bei CertiK), ergänzt um die spätere offizielle Arbitrum-Maßnahme.
Gemeldete Abflüsse: 6,28 Mrd. $
Davon eingefroren: 2,80 Mrd. $
Noch beweglich: 3,27 Mrd. $
| Kryptowährung | Abgeflossen | Eingefroren / gesperrt | Status und Einordnung |
|---|---|---|---|
| USDTEthereum · Tron · Avalanche | ca. 2,50 Mrd. USDT1,875 Mrd. + 612,7 Mio. + 8,41 Mio. | ca. 1,767 Mrd. USDT1,38 Mrd. + 378,7 Mio. + 8,41 Mio. | Teilweise eingefrorenTether. Zusätzlich liegen 60 Mio. USDT als Aave-Sicherheit, keine bestätigte Rückführung. |
| USDCEthereum | 823 Mio. USDCUrsprünglicher Abfluss | ca. 824,6 Mio. USDCEinschließlich späterer Zuflüsse | Sperre gemeldetCircle. Die Sperrsumme enthält auch USDC aus späteren Umwandlungen anderer Assets. |
| BTCBitcoin | 18.270,2 BTCca. 1,47 Mrd. USD beim Abfluss | Keine Sperre belegt | Nicht eingefrorenIm Snapshot rund 18.270 BTC auf 19 Adressen. |
| ETHEthereum · Arbitrum | ca. 206.094 ETH197.668 auf Ethereum + ca. 8.426 auf Arbitrum | 8.425 ETH auf ArbitrumSpäter offiziell gesperrt [2] | Teilweise eingefrorenDickson erfasste auf Ethereum später 458.770 ETH inklusive getauschter Token. Für diese Bestände ist keine Sperre belegt. |
| XRPXRP Ledger | ca. 233,5 Mio. XRPca. 296,5 Mio. USD beim Abfluss | Keine Sperre belegt | Nicht eingefrorenDie RLUSD-Sperre betrifft nicht den nativen XRP-Bestand. |
| SOLSolana | 970.522 SOLca. 96,1 Mio. USD beim Abfluss | Keine Sperre belegt | Nicht eingefrorenIm Datenstand des Analysten noch nicht weiterbewegt. |
| TRXTron | ca. 46,4 Mio. TRXUrsprünglicher Abfluss | Keine Sperre belegt | Nicht eingefrorenSpäter ca. 684,6 Mio. TRX, da USDT in TRX getauscht wurden. |
| ARBArbitrum One | ca. 74,6 Mio. ARBGerundeter Abfluss | 74.559.805,2 ARBSpäter offiziell gesperrt [2] | Offiziell gesperrtMit den 8.425 ETH auf eine gesperrte Adresse verschoben. Freigabe nur per ArbitrumDAO-Abstimmung. |
| AVAXAvalanche | ca. 1,81 Mio. AVAXUrsprünglicher Abfluss | Keine AVAX-Sperre belegt | Teilweise umgewandeltEin Teil wurde in USDC umgewandelt und nach Ethereum überführt. Die dortige Circle-Sperre steht in der USDC-Zeile. |
| OPOptimism | ca. 44,2 Mio. OPca. 4,8 Mio. USD beim Abfluss | Keine Sperre belegt | Nicht eingefrorenIm Datenstand des Analysten noch nicht weiterbewegt. |
| RLUSDEthereum | ca. 88,5 Mio. RLUSDUrsprünglicher Abfluss | ca. 40,5 Mio. RLUSD | Teilweise eingefrorenRipple. Rund 48 Mio. RLUSD wurden vor der Sperre gegen ETH verkauft. |
| wBETHEthereum | ca. 76,8 Mio. USDWert beim Abfluss | 29.934 wBETHIm Snapshot ca. 75 Mio. USD | Sperre gemeldetBinance setzte die Empfängeradresse auf die Blacklist. |
| XAUtEthereum | ca. 50,5 Mio. USDWert beim Abfluss | 12.574 XAUt | Sperre gemeldetTether Gold. Die Sperre betrifft den Token-Bestand. |
| USD1Ethereum | ca. 27,8 Mio. USD1Ursprünglicher Abfluss | ca. 27,8 Mio. USD1 | Sperre gemeldetWorld Liberty Financial. |
| PAXGEthereum | Nicht separat beziffertIm Thread kein eigener Abflussposten | 1.907 PAXG | Sperre gemeldetPaxos. Die genannte Stückzahl ist der eingefrorene Bestand. |
| WLFIEthereum | Nicht separat beziffertIm Thread kein eigener Abflussposten | ca. 48,5 Mio. WLFI | Sperre gemeldetWorld Liberty Financial. |
| UNI · ENA · PEPE · LINKEthereum | 49,6 · 44,7 · 40,1 · 29,6 Mio. USDWerte beim Abfluss, in gleicher Reihenfolge | Keine Sperre belegt | Keine Sperre gemeldetWeitere Ethereum-Token sind im Thread nicht vollständig einzeln aufgeschlüsselt. |
| FDUSDEthereum | Nicht separat beziffertIm Thread kein eigener Abflussposten | Keine Sperre belegt | Nicht eingefrorenDickson nennt 3,45 Mio. FDUSD als weiterhin übertragbaren Bestand. |
So sind die Zahlen zu lesen: Abflüsse zeigen die ursprünglich entwendeten Assets. Sperren zeigen später gesicherte Bestände, die auch aus Token-Tausch stammen können. USDC-Sperren deshalb nicht zusätzlich als neue Verluste zählen. Die USD-Abflüsse bewertet Dickson zu Kursen vom 29. Oktober, 21:24 Uhr MEZ. Seine späteren Bestände nutzen andere Kurse. Die gerundeten Dollarwerte ergeben daher keine lückenlose Bilanz.
Eingefroren bedeutet nicht zurückerstattet. „Keine Sperre belegt“ bezieht sich auf die genannten Quellen und deren Datenstand. Die Aufstellung enthält die wichtigsten einzeln ausgewiesenen Assets, ist aber keine vollständige Token-Liste oder von Binance bestätigte Schadensabrechnung.
Quellen: [1] Dickson auf X, 30. Oktober 2026 · [2] Arbitrum Security Council: offizielle Notfallmaßnahme.
Ermittler sehen Verbindungen nach Nordkorea
ZachXBT zufolge wurden Binance-Gelder nach Transfers über THORChain an derselben Adresse mit Mitteln aus dem Bitget-Hack über 388 Millionen Dollar zusammengeführt. Er erklärte:
„Das deutet darauf hin, dass wahrscheinlich derselbe Akteur hinter beiden Vorfällen steckt. Der Bitget-Exploit wurde der mit Nordkorea verbundenen Gruppe TraderTraitor zugeschrieben, die Überschneidungen mit früheren Exploits wie Kelp DAO aufwies.“
Lesetipp: Bitcoin ringt mit 80.000 Dollar: US-Daten verschärfen die Zinsfrage
Chainalysis erklärte:
„Unsere Ermittler haben beobachtet, dass Gelder, die Nordkorea beim Bitget-Exploit im vergangenen Monat gestohlen hatte, mit den bei Binance gestohlenen Geldern vermischt wurden. Wir gehen mit hoher Sicherheit davon aus, dass Nordkorea für den Binance-Hack über 6,4 Milliarden Dollar verantwortlich ist.“
Chainalysis-CEO Jonathan Levin hat ebenfalls 6,4 Milliarden Dollar via X genannt:
„Nach unserer Einschätzung wurde der Binance-Hack über 6,4 Milliarden Dollar wahrscheinlich von der nordkoreanischen Gruppe TraderTraitor verübt, da Verbindungen zu einem früheren Hack bestehen. Branchenpartner haben bereits rund drei Milliarden Dollar eingefroren, und wir bei Chainalysis verfolgen weiterhin sämtliche Gelder.“
Auch TRM schreibt den Angriff TraderTraitor mit hoher Sicherheit zu. Zusätzlich arbeitet Binance mit Strafverfolgungsbehörden an der Identifizierung der Täter.
