6,3 Mrd. $ weg: Wurde ein Ingenieur-Laptop Binance zum Verhängnis?

Innerhalb von rund 20 Min. sollen Hacker Kryptowährungen im Wert von mehr als 6 Mrd. $ von der Handelsplattform Binance abgezogen haben. Betroffen sind Wallets auf zehn verschiedenen Blockchains. Erste Untersuchungen deuten auf einen kompromittierten Laptop eines Ingenieurs hin. Inzwischen gibt es auch einen Verdacht, wer hinter dem Angriff steckt: Das US-Analyseunternehmen TRM Labs macht eine nordkoreanische Hackergruppe verantwortlich. Sollte sich die Rekonstruktion bestätigen, wäre es der größte Kryptodiebstahl aller Zeiten.

Der Angriff ereignete sich am 29. Oktober 2026. Binance beziffert den Umfang des Sicherheitsvorfalls auf etwa 6,3 Mrd. $. TRM Labs hat die verdächtigen Transaktionen inzwischen genauer untersucht und kommt auf 6,36 Mrd. $. Nach Angaben der Analysten wurden die Werte auf zehn Blockchains transferiert, darunter Bitcoin, Ethereum, Tron und Solana. Der Großteil floss innerhalb von rund 20 Min. ab.

War ein gehackter Laptop der Ausgangspunkt?

Nach den ersten Erkenntnissen von Binance könnte der Angriff über den Laptop eines DevOps-Ingenieurs begonnen haben. Diese Fachleute betreuen unter anderem die Software, mit der große Plattformen betrieben und aktualisiert werden.

Der Angreifer soll Zugriff auf einen sogenannten Service-Container erhalten haben. Das ist eine weitgehend isolierte Umgebung, in der bestimmte Programme ausgeführt werden. Von dort aus seien unberechtigte Auszahlungstransaktionen ausgelöst worden.

Wie der Zugriff auf den Laptop gelang und welche Sicherheitsmechanismen anschließend überwunden wurden, hat Binance bisher nicht im Detail erklärt.

Das Unternehmen betont außerdem, dass es bislang keine Hinweise auf einen Abfluss privater Wallet-Schlüssel gefunden habe. Solche Schlüssel dienen dazu, Transaktionen mit Kryptowährungen zu autorisieren.

Die Beobachtungen von TRM Labs liefern inzwischen einen möglichen Ansatz zur Erklärung. Demnach könnten Angreifer die Signierinfrastruktur von Binance kompromittiert haben. Damit wären unberechtigte Transaktionen auch möglich, ohne dass private Schlüssel zuvor kopiert oder aus den Systemen herausgeschleust werden müssten.

So sollen die Hacker Milliarden abtransportiert haben

Die Untersuchung von TRM Labs zeigt, dass der Angriff offenbar sorgfältig vorbereitet wurde. Mindestens 36 Stunden vor den großen Abflüssen registrierten die Analysten erste verdächtige Aktivitäten. Die Angreifer sollen Programmcode bereitgestellt und mehrere Transaktionen getestet haben.

Am Abend des 29. Oktober begann dann der eigentliche Zugriff auf die Binance-Wallets. Zunächst wurden nach Angaben von TRM Labs rund 233 Mio. XRP über das XRP Ledger transferiert. Kurz darauf folgten weitere Kryptowährungen. Allein von einer Bitcoin-Wallet verschwanden 18.270 BTC. Beim damaligen Kurs entsprach das einem Wert von rund 1,47 Mrd. $.

Noch größer waren die Abflüsse auf Ethereum. Dort registrierten die Analysten Transaktionen mit einem Gesamtwert von rund 3,79 Mrd. $. Neben Ether gehörten dazu zahlreiche weitere Token, darunter die Stablecoins USDT und USDC.

Ein besonders interessanter Teil des Angriffs betrifft eine Ethereum-Funktion namens EIP-7702.

Sie erlaubt es, einer gewöhnlichen Ethereum-Adresse vorübergehend zusätzliche Funktionen eines Smart Contracts zuzuweisen. Ein Smart Contract ist ein Programm, das auf der Blockchain ausgeführt wird.

Nach der Rekonstruktion von TRM Labs nutzten die Angreifer eine zuvor signierte Berechtigung, um eine Binance-Wallet mit einem eigenen Programm zu verknüpfen. Dieses konnte Kryptowährungen automatisch an eine Adresse der Angreifer weiterleiten. Solche Programme werden als Sweeper bezeichnet.

Die Funktion EIP-7702 ist nicht grundsätzlich unsicher. Problematisch wird sie, wenn Angreifer gültige Autorisierungen erhalten und damit fremde Wallets steuern können. Die Untersuchung deutet deshalb auf einen Missbrauch von Signierberechtigungen hin und nicht auf einen nachgewiesenen Fehler im Ethereum-Protokoll.

Für den Betrieb von Kryptobörsen sind solche Berechtigungen entscheidend. Über sogenannte Hot Wallets werden Kryptowährungen für laufende Transaktionen verfügbar gehalten. Anders als bei Cold Wallets besteht dabei eine Verbindung zu Online-Systemen.

Nordkoreanische Hackergruppe unter Verdacht

TRM Labs ordnet den Angriff der Hackergruppe TraderTraitor zu. Die Sicherheitsexperten stützen diese Einschätzung sowohl auf die beobachteten Blockchain-Transaktionen als auch auf weitere Erkenntnisse zu den Aktivitäten der Gruppe.

In einer am 29. Oktober veröffentlichten Analyse schreibt das Unternehmen: „We make this judgment with high confidence.“ Übersetzt: „Wir treffen diese Einschätzung mit hoher Sicherheit.“

TraderTraitor wird Nordkorea zugerechnet und gilt als Teil der staatlich unterstützten Cyberkriminalität des Landes. Die Gruppe wurde bereits mit dem Angriff auf die Kryptobörse Bybit im Februar 2025 in Verbindung gebracht.

Damals verschwanden Kryptowährungen im Wert von etwa 1,5 Mrd. $. Das FBI machte nordkoreanische Akteure dafür verantwortlich.

Auch beim aktuellen Binance-Vorfall sehen die Analysten Parallelen zu früheren Angriffen. Dazu gehören vorbereitete Signaturen, Testtransaktionen und der schnelle Abfluss großer Vermögenswerte.

Eine unabhängige Bestätigung der konkreten Täterzuordnung durch die Ermittlungsbehörden liegt für den Binance-Angriff bislang nicht vor.

Warum konnten Milliardenbeträge eingefroren werden?

Bei einem gewöhnlichen Bitcoin-Transfer lässt sich eine bestätigte Transaktion nicht einfach rückgängig machen. Die Blockchain besitzt keine zentrale Stelle, die beliebige Bitcoin-Guthaben sperren könnte.

Bei bestimmten anderen Kryptowährungen sieht das anders aus.

Dazu zählen Stablecoins wie USDT und USDC. Ihr Wert orientiert sich am US-Dollar. Herausgegeben werden sie von Unternehmen, die in ihren Smart Contracts administrative Sperrfunktionen vorsehen können.

Nach Bekanntwerden des Angriffs begannen mehrere Anbieter, betroffene Token zu blockieren.

Laut der Blockchain-Analyse von TRM Labs wurden bis zum untersuchten Zeitpunkt folgende Vermögenswerte gesichert:

• Tether: rund 1,77 Mrd. $ in USDT
• Circle: rund 825 Mio. $ in USDC
• Ripple: rund 40,5 Mio. $ in RLUSD
• World Liberty Financial: rund 27,8 Mio. $ in USD1
• Arbitrum: ETH und ARB im Wert von rund 30 Mio. $

Insgesamt bezifferte TRM Labs die auf diese Weise gesicherten Kryptowerte auf etwa 2,7 Mrd. $. Binance meldete zusammen mit Partnern später einen Gesamtbetrag von rund 3 Mrd. $.

Die Werte stammen aus unterschiedlichen Zwischenständen. Die Sicherung durch Arbitrum erfolgte zudem über einen anderen technischen Mechanismus als die Sperren zentral herausgegebener Stablecoins.

Bei USDT und USDC verhindern entsprechende Funktionen im Smart Contract, dass gesperrte Token von den betroffenen Adressen weiter übertragen werden. Die Token befinden sich weiterhin auf der Blockchain, können aber nicht mehr regulär bewegt werden.

Die Angreifer versuchten laut TRM Labs, solche Sperren zu umgehen, indem sie Stablecoins möglichst schnell gegen Ether eintauschten. Dazu nutzten sie unter anderem dezentrale Handelsplattformen und Kreditprotokolle.

Nach der Untersuchung befanden sich weiterhin mehr als 420.000 ETH und 18.270 BTC unter Kontrolle der Angreifer. Diese Kryptowerte hatten zum untersuchten Zeitpunkt einen Gesamtwert von rund 2,4 Mrd. $. Sie lassen sich nicht durch einen einzelnen Stablecoin-Herausgeber zentral sperren.

Sind die Kundengelder bei Binance noch sicher?

Binance stoppte nach Bekanntwerden des Sicherheitsvorfalls vorübergehend Ein- und Auszahlungen. Gleichzeitig begann die Börse, ihre Wallet-Infrastruktur zu überprüfen und die Bewegungen der betroffenen Kryptowährungen gemeinsam mit Analyseunternehmen und Ermittlungsbehörden nachzuvollziehen.

Zur Sicherheit der Kundengelder erklärte Binance gegenüber Reuters: „User funds remain safe.“ Übersetzt: „Die Kundengelder bleiben sicher.“  Mitgründerin Yi He kündigte außerdem an, dass Binance sämtliche durch den Angriff entstandenen Verluste decken werde.

Dafür stehen dem Unternehmen eigene Mittel und ein Reservefonds zur Verfügung. Der sogenannte SAFU-Fonds (Secure Asset Fund for Users) soll Kunden bei außergewöhnlichen Sicherheitsvorfällen schützen.

Allerdings wirft der Umfang der Abflüsse Fragen zur Reservedeckung auf. Das Fachmedium CoinDesk hat die von Binance veröffentlichten Wallet-Bestände mit den beobachteten Transaktionen verglichen. Demnach gehörten einige der betroffenen Wallets zu den Beständen, mit denen die Börse Kundenforderungen absichert.

Die Analyse legt nahe, dass die rechnerische Deckung einzelner Kryptowährungen zwischenzeitlich unter 100 % gefallen sein könnte, sofern Binance die entnommenen Werte noch nicht ersetzt hatte.

Das bedeutet nicht automatisch, dass Kunden Guthaben verlieren. Entscheidend ist, ob Binance die fehlenden Werte aus eigenen Reserven vollständig ausgleichen kann.

Größter Krypto-Hack aller Zeiten?

Die Dimension des Angriffs übertrifft bisher bekannte Fälle deutlich.

Beim Bybit-Hack im Februar 2025 wurden Kryptowerte im Umfang von rund 1,5 Mrd. $ gestohlen. Die von TRM Labs für Binance ermittelten 6,36 Mrd. $ entsprechen mehr als dem Vierfachen dieser Summe.

Auch an den Finanzmärkten hinterließ der Vorfall Spuren. Bitcoin verlor nach Bekanntwerden der Nachricht mehr als 3 % und fiel zeitweise auf rund 76.368 $. Ethereum gab ebenfalls um mehr als 3 % nach. Auch der Binance-Token BNB geriet unter Druck.

Quellen

• TRM Labs – North Korea Steals USD 6.36 Billion From Binance (29. Oktober 2026): Technische Rekonstruktion, Angriffsverlauf, Verdacht gegen TraderTraitor und eingefrorene Vermögenswerte.
• Reuters – Crypto exchange Binance freezes assets after $6.3 billion security breach (29./30. Oktober 2026): Binance-Aussagen, Sicherheitsmaßnahmen, Schadensumfang und Marktreaktionen.
• Reuters – Blockchain analysis firm TRM says North Korea behind Binance crypto theft (30. Oktober 2026): Aktuelle Erkenntnisse zur möglichen Tätergruppe.
• CoinDesk – Binance hack drained wallets backing customer assets (30. Oktober 2026): Untersuchung der Binance-Reserven und EIP-7702-Autorisierungen.