Ein Laptop, mehrere Sicherheitslücken: Wie Binance 6,3 Mrd. $ verlor

Innerhalb von rund 20 Minuten verschwinden Kryptowährungen im Wert von mehreren Milliarden Dollar von der Handelsplattform Binance. Zunächst gerät der Laptop eines Ingenieurs unter Verdacht. Mittlerweile hat die Kryptobörse weitere Angriffspunkte entdeckt.

Rund 6,3 Mrd. $ haben Hacker bei einem Angriff auf die Kryptobörse Binance erbeutet. Der Großteil der Kryptowährungen wurde innerhalb von etwa 20 Min. auf fremde Wallets übertragen. Betroffen waren zehn verschiedene Blockchains, darunter Bitcoin, Ethereum und XRP.

Nach Einschätzung der Blockchain-Analysten von TRM Labs handelt es sich um den größten bisher bekannten Diebstahl von Kryptowährungen. Zum Vergleich: Beim Angriff auf die Handelsplattform Bybit im Februar 2025 verschwanden rund 1,5 Mrd. $.

Wie konnten die Täter derart hohe Beträge innerhalb kürzester Zeit abziehen? Binance vermutete zunächst, dass die Angreifer über den Laptop eines Ingenieurs in die Systeme der Börse eingedrungen waren. Mittlerweile hat das Unternehmen weitere Angriffspunkte entdeckt.

Auch die Blockchain-Analysten von TRM Labs haben den Fall untersucht. Sie konnten die Geldbewegungen nachvollziehen und herausfinden, wie die Angreifer bestimmte Funktionen des Ethereum-Netzwerks für ihre Zwecke nutzten.

Welche Rolle spielte der Laptop eines Ingenieurs?

Bei der Untersuchung stieß Binance auf den kompromittierten Laptop eines DevOps-Ingenieurs. DevOps-Fachleute kümmern sich darum, dass Software, Server und andere IT-Systeme zuverlässig zusammenarbeiten. Dafür benötigen sie häufig weitreichende Zugriffsrechte.

Nach den ersten Erkenntnissen könnte der Rechner den Angreifern Zugang zu einem sogenannten Service-Container ermöglicht haben. In einer solchen Softwareumgebung laufen Programme mit festgelegten Berechtigungen. Über diesen Zugang sollen die Hacker unberechtigte Auszahlungen angestoßen haben.

Mittlerweile hat Binance allerdings weitere Hinweise gefunden. Der Angriff war offenbar komplexer als zunächst angenommen.

„Um es klarzustellen: Der Angreifer nutzte nicht einfach nur die Berechtigungen eines einzelnen Ingenieurs, und es handelte sich auch nicht um eine Aktion mit nur einem Klick“, erklärte Binance-Co-Chef Richard Teng gegenüber dem IT-Fachmedium BleepingComputer. Es habe sich um einen komplexeren Angriff gehandelt.

Teng betonte außerdem, dass Binance bislang keine einzelne Person für den Vorfall verantwortlich mache. Bei der weiteren Untersuchung seien zusätzliche Angriffspunkte entdeckt worden. Welche das waren und wie die Täter sie ausnutzten, ist bisher nicht öffentlich bekannt.

Auch ein Diebstahl privater Wallet-Schlüssel ist bislang nicht nachgewiesen. Solche Schlüssel dienen dazu, Transaktionen mit Kryptowährungen digital zu unterschreiben und damit freizugeben.

Die Blockchain-Analysten gehen Hinweisen nach, dass die Angreifer Zugriff auf Systeme erlangten, die solche Signaturen erzeugen oder verwalten. Damit wären unberechtigte Transaktionen möglich, ohne dass die Täter die privaten Schlüssel zuvor aus den Systemen kopieren müssten.

Die Hacker bereiteten den Angriff mindestens 36 Stunden vor

Die Milliarden verschwanden innerhalb weniger Minuten. Die Vorbereitungen liefen allerdings schon deutlich länger.

TRM Labs hat verdächtige Aktivitäten entdeckt, die mindestens 36 Stunden vor dem eigentlichen Diebstahl begannen. Die Angreifer bereiteten Programmcode vor und testeten offenbar verschiedene Abläufe, bevor sie größere Beträge bewegten.

Am Abend des 29. Oktober folgten die ersten umfangreichen Transfers. Zunächst verschwanden rund 233 Mio. XRP. Kurz darauf wurden auch Bitcoin und andere Kryptowährungen abgezogen. Allein aus einer Bitcoin-Wallet flossen 18.270 BTC im damaligen Wert von rund 1,47 Mrd. $ ab.

Die größten Verluste entstanden auf Ethereum. Dort registrierten die Analysten Abflüsse im Wert von etwa 3,79 Mrd. $. Neben Ether waren zahlreiche weitere Kryptowährungen betroffen, die über das Ethereum-Netzwerk verwaltet werden.

Den größten Teil der Beute transferierten die Angreifer innerhalb von rund 20 Min. auf Adressen unter ihrer Kontrolle. Weitere Abflüsse folgten später.

Nach Berechnungen von TRM Labs summierte sich der Schaden auf etwa 6,36 Mrd. $. Andere Analyseunternehmen kommen je nach Bewertungszeitpunkt auf etwas höhere oder niedrigere Beträge.

So konnten die Angreifer eine Ethereum-Wallet manipulieren

Besonders aufschlussreich ist ein Vorgang, den TRM Labs auf Ethereum nachvollziehen konnte. Binance verwendet für laufende Ein- und Auszahlungen sogenannte Hot Wallets. Das sind digitale Geldbörsen, die mit den Online-Systemen der Börse verbunden sind. Sie ermöglichen es, Kryptowährungen schnell zu übertragen.

Bei einer dieser Wallets nutzten die Angreifer eine Ethereum-Funktion mit der Bezeichnung EIP-7702. Sie wurde im Mai 2025 mit dem Pectra-Upgrade eingeführt. Mit dieser Funktion kann eine gewöhnliche Ethereum-Wallet bestimmte Aufgaben durch ein Programm auf der Blockchain ausführen lassen.

Dafür braucht es eine gültige digitale Autorisierung. Der Besitzer der Wallet muss also die entsprechende Berechtigung erteilen.

Nach Erkenntnissen von TRM Labs hatten die Angreifer 50 solcher Autorisierungen vorbereitet. Sie waren auf unterschiedliche Transaktionszähler abgestimmt. Dieser Zähler erhöht sich bei jeder entsprechenden Transaktion und verhindert, dass eine bereits ausgeführte Transaktion einfach wiederholt werden kann.

Für die Hacker war das wichtig, weil die Binance-Wallet ständig genutzt wurde. Mit den vorbereiteten Autorisierungen erhöhten sie die Wahrscheinlichkeit, dass eine davon zum richtigen Zeitpunkt gültig sein würde.

Schließlich gelang es ihnen, die Wallet mit einem eigenen Programm zu verknüpfen. Dieses konnte Kryptowährungen automatisch an eine Adresse der Angreifer weiterleiten.

Wenige Minuten später wurden rund 167.000 ETH und zahlreiche weitere Token übertragen.

Die Ethereum-Blockchain führte dabei Transaktionen aus, für die gültige digitale Autorisierungen vorlagen. Nach den bisherigen Erkenntnissen lag das Sicherheitsproblem nicht in der Blockchain selbst. Die Angreifer konnten offenbar Berechtigungen missbrauchen, mit denen Binance seine Transaktionen freigibt. Wie sie an diese Berechtigungen gelangten, ist noch Gegenstand der Untersuchung.

Stecken nordkoreanische Hacker hinter dem Milliardenraub?

Das Blockchain-Analyseunternehmen TRM Labs vermutet die nordkoreanische Hackergruppe TraderTraitor hinter dem Angriff. In seinem Untersuchungsbericht vom 29. Oktober erklärte das Unternehmen, es treffe diese Einschätzung „mit hoher Sicherheit“.

Die Analysten stützen ihren Verdacht unter anderem auf die Vorbereitung des Angriffs, die verwendeten Transaktionen und das anschließende Verschieben der gestohlenen Kryptowährungen.

TraderTraitor wird dem nordkoreanischen Staat zugerechnet. Die Gruppe soll bereits im Februar 2025 an dem Angriff auf die Kryptobörse Bybit beteiligt gewesen sein. Damals wurden Kryptowährungen im Wert von rund 1,5 Mrd. $ gestohlen. Das FBI machte nordkoreanische Akteure für den Diebstahl verantwortlich.

Auch beim Binance-Angriff sehen die Fachleute Ähnlichkeiten. Die Täter sollen sich frühzeitig Signierberechtigungen beschafft, Transaktionen vorbereitet und anschließend große Mengen Kryptowährungen in kurzer Zeit weitergeleitet haben.

Auch das Analyseunternehmen Chainalysis geht von einer nordkoreanischen Beteiligung aus. Eine offizielle Bestätigung der konkreten Täteridentität durch Ermittlungsbehörden liegt bislang nicht vor. Binance arbeitet nach eigenen Angaben mit Behörden und Blockchain-Analyseunternehmen zusammen, um die Täter zu identifizieren und möglichst viel von der Beute zurückzuholen.

Warum rund 3 Mrd. $ eingefroren werden konnten

Die Hacker konnten zwar Kryptowährungen im Wert von mehreren Milliarden Dollar abziehen. Über einen erheblichen Teil der Beute können sie inzwischen aber nicht mehr frei verfügen. Binance teilte am 30. Oktober mit, dass gemeinsam mit anderen Unternehmen rund 3 Mrd. $ eingefroren worden seien.

Das war möglich, weil sich unter den gestohlenen Kryptowährungen große Mengen sogenannter Stablecoins befanden. Diese digitalen Währungen sollen einen möglichst stabilen Wert behalten und sind häufig an den US-Dollar gekoppelt.

Bekannte Beispiele sind USDT von Tether und USDC von Circle. Die Herausgeber können bestimmte Adressen sperren. Die dafür nötigen Funktionen sind in den Programmen enthalten, über die diese Kryptowährungen verwaltet werden.

Nach dem Angriff machten Tether und Circle davon Gebrauch. Die betroffenen Token bleiben zwar weiterhin auf der Blockchain verzeichnet, können von den gesperrten Adressen aber nicht mehr regulär weiterübertragen werden.

Bei Bitcoin und dem nativen Ether funktioniert das nicht. Dort gibt es keinen zentralen Herausgeber, der gestohlene Bestände auf diese Weise sperren könnte.

Die Angreifer hatten offenbar versucht, einen Teil der Beute möglichst schnell in Ether umzutauschen. TRM Labs beobachtete entsprechende Transaktionen über dezentrale Handelsplattformen. Dort werden Kryptowährungen direkt über Programme auf der Blockchain gehandelt, ohne dass eine zentrale Börse jede Transaktion abwickelt.

Auch Kreditplattformen wurden genutzt. Dort hinterlegten die Täter Stablecoins als Sicherheit, um sich Ether zu leihen. Nach der ersten Auswertung von TRM Labs verfügten die Angreifer weiterhin über mehr als 420.000 ETH und 18.270 BTC. Zusammen waren diese Bestände zum damaligen Zeitpunkt rund 2,4 Mrd. $ wert.

Die Ermittler können die Bewegungen solcher Kryptowährungen auf den öffentlichen Blockchains verfolgen. Sie haben aber keine zentrale Stelle, die sie einfach einfrieren könnte.

Dass bereits einzelne kompromittierte Geräte erhebliche Schäden verursachen können, zeigte auch ein früherer Bitcoin-Diebstahl durch einen manipulierten Hardware-Chip. Damals ging es um den Zugriff auf geheime Wiederherstellungsdaten. Bei Binance steht dagegen die Sicherheit der Systeme im Mittelpunkt, die Transaktionen für eine große Handelsplattform freigeben.

Binance will die gesamten Verluste ausgleichen

Unmittelbar nach Bekanntwerden des Angriffs setzte Binance Auszahlungen vorübergehend aus. Zunächst mussten die Sicherheitssysteme überprüft und die möglichen Zugänge der Angreifer geschlossen werden.

Am 30. Oktober kündigte das Unternehmen an, den Auszahlungsbetrieb voraussichtlich innerhalb der folgenden 45 Stunden wieder aufnehmen zu können. Ein bestätigter Termin für die Wiederaufnahme lag zu diesem Zeitpunkt noch nicht vor. Einzahlungen waren nach Angaben von Binance wieder beziehungsweise weiterhin möglich.

Für die betroffenen Kunden geht es vor allem darum, ob ihre Kryptowährungen vollständig ersetzt werden. „Die Kundengelder sind sicher“, erklärte Binance in seiner offiziellen Sicherheitsmitteilung vom 30. Oktober.

Nach Angaben der Kryptobörse sollen die Verluste vollständig ausgeglichen werden. Dafür stehen eigene Unternehmensmittel und der sogenannte SAFU-Fonds bereit. Dieser Reservefonds wurde eingerichtet, um Kunden bei größeren Sicherheitsvorfällen zu schützen.

Mittlerweile hat Binance mehr als 6,34 Mrd. $ zur Deckung der Verluste vorgesehen. Rund 5 Mrd. $ davon liegen nach Unternehmensangaben bereits in den betroffenen Kryptowährungen vor. Die noch fehlenden Bestände will Binance über den Markt oder direkte Handelsgeschäfte beschaffen. Bei weniger häufig gehandelten Kryptowährungen könnte das einige Zeit in Anspruch nehmen, weil größere Käufe den Marktpreis beeinflussen können.

Die rund 3 Mrd. $ eingefrorenen Kryptowährungen sind in den bereitgestellten 6,34 Mrd. $ nach Angaben von Binance nicht enthalten. Ihre mögliche Rückgewinnung läuft getrennt von der Wiederherstellung der Kundenbestände.

Das Unternehmen kündigte einen aktualisierten Nachweis seiner Reserven an. Er soll zeigen, welche Kryptobestände nach Abschluss der Wiederherstellung vorhanden sind. Um die finanzielle Deckung zuverlässig beurteilen zu können, müssen diesen Reserven allerdings auch die Verbindlichkeiten gegenüber den Kunden gegenübergestellt werden.

Warum die Sicherheit der Blockchain allein nicht ausreicht

Nach den bisherigen Erkenntnissen mussten die Täter keine Schwachstelle in der Kryptografie von Bitcoin oder Ethereum finden. Stattdessen konnten sie offenbar Systeme und Berechtigungen ausnutzen, mit denen Binance seine Transaktionen freigibt.

Für große Kryptobörsen ist die Absicherung dieser Systeme besonders wichtig. Sie verwalten Kryptowährungen im Wert von Milliarden Dollar und müssen gleichzeitig täglich eine große Zahl von Ein- und Auszahlungen abwickeln.

Quellen

• Binance – Offizielle Sicherheitsmitteilung vom 30. Oktober 2026: Schadenshöhe, erste Untersuchung, Sicherheitsmaßnahmen und Entschädigung.
• Binance – Aktualisierte Angaben zur Deckung von 6,34 Mrd. $: Unternehmensmittel, Rückerstattung und eingefrorene Vermögenswerte.
• TRM Labs – North Korea Steals USD 6.36 Billion From Binance: Technische Rekonstruktion, Wallet-Transaktionen, EIP-7702 und Täterverdacht.
• Reuters – How the Biggest Heist in Crypto History Unfolded: Chronologie und Einordnung des Angriffs.
• BleepingComputer – Binance Links $6.3 Billion Crypto Theft to Compromised DevOps Laptop: Stellungnahme von Richard Teng und zusätzliche Angriffspunkte.