Der Hack bei Binance hat am 29. Oktober 2026 etwa 6,36 Milliarden Dollar aus Wallets (digitalen Geldbörsen) auf zehn Blockchains abgezogen, den Großteil binnen rund 20 Minuten, und damit das Vierfache des Bybit-Diebstahls vom Februar 2025 mit 1,5 Milliarden Dollar. Die Zuordnung zur nordkoreanischen Gruppe TraderTraitor stammt von Analysefirmen, Binance selbst hat sie bislang nicht bestätigt. Laut der Analyse von TRM Labs vom 30. Oktober urteilt die Firma dabei mit hoher Sicherheit.
Der Hack vom 29. Oktober: 6,36 Milliarden Dollar in 20 Minuten
Der Hack auf Binance begann am Abend des 29. Oktober 2026 um 20:05 UTC (koordinierte Weltzeit) und leerte binnen etwa 20 Minuten Wallets auf zehn Blockchains, schreibt TRM Labs.
Betroffen waren neben Ethereum und Bitcoin auch Tron, das XRP Ledger und Solana, eine zweite Welle gegen 23:05 UTC traf Avalanche und Polygon. Binance bestätigte einen Sicherheitsvorfall und setzte Abhebungen auf mehreren Netzwerken aus. Laut AP-Bericht vom 30. Oktober sollen sie binnen ein bis zwei Tagen wieder starten.
Die Schadenssumme hängt vom Bewertungszeitpunkt ab. TRM setzt jede Überweisung mit dem Preis im Moment des Abflusses an und kommt auf 6,36 Milliarden Dollar, zu aktuellen Kursen sind dieselben Assets etwa 6,23 Milliarden Dollar wert. Binance selbst nannte laut AP rund 6,3 Milliarden Dollar. Konkret verteilt sich der Verlust laut TRM so:
- Ethereum: etwa 3,79 Milliarden Dollar, darunter 200.630 ETH und 185 weitere Token
- Bitcoin: 18.270 BTC, etwa 1,47 Milliarden Dollar
- Tron: etwa 628 Millionen Dollar
- XRP Ledger: 233,46 Millionen XRP, etwa 296 Millionen Dollar
- Solana: 970.500 SOL, etwa 96 Millionen Dollar
Arbitrum, Optimism und Base kommen zusammen auf etwa 39 Millionen Dollar, Avalanche auf etwa 28 Millionen und Polygon auf etwa 10 Millionen Dollar. Wie sich Ethereum-Token wie die gestohlenen Stablecoins verwalten lassen, erklärt unser Leitfaden zu ERC20-Wallets.
TRM Labs führt den Diebstahl auf TraderTraitor zurück, nach Firmenangaben Nordkoreas Elite-Hackereinheit. Das FBI hatte dieselbe Gruppe für den Bybit-Diebstahl verantwortlich gemacht. TRM nennt gemeinsame Merkmale mit früheren Fällen wie Bybit und dem KelpDAO-Hack vom April 2026: kleine Tornado-Cash-Abhebungen, eine lange Vorbereitung und vorab besorgte Signaturen, die gebündelt zum Einsatz kamen. Chainalysis-Chef Jonathan Levin hält TraderTraitor laut AP ebenfalls für wahrscheinlich, ein Binance-Sprecher sagte nur, man arbeite mit Strafverfolgungsbehörden an der Identifizierung der Täter.
Zum Vergleich: Südkoreas Geheimdienst bezifferte im Dezember 2022 die nordkoreanische Beute aus fünf Jahren auf 1,5 Billionen Won, umgerechnet 1,1 Milliarden Dollar. Der Binance-Hack liegt damit um ein Vielfaches darüber. Experten sehen in Krypto-Diebstählen laut AP eine Devisenquelle, mit der Nordkorea trotz scharfer UN-Sanktionen sein Atomprogramm finanziert. Auf anderem Weg schleusen sich nordkoreanische IT-Agenten in westliche Unternehmen ein, wie unser Beitrag über Nordkoreas Schattenarmee zeigt.
50 Autorisierungen im Voraus signiert: So übernahmen die Angreifenden eine Hot Wallet
Der Hack auf die Ethereum-Hot-Wallet von Binance stützte sich auf 50 vorab signierte Autorisierungen, schreibt TRM Labs. Eine Hot Wallet ist eine mit dem Internet verbundene Wallet, über die eine Börse Kundenabhebungen abwickelt. Der Standard EIP-7702 aus dem Pectra-Update vom Mai 2025 erlaubt einer gewöhnlichen Wallet, ihr Verhalten per Signatur an einen Smart Contract abzugeben, also an ein Programm auf der Blockchain. Danach führt jeder Aufruf der Wallet dessen Code aus, bis sie eine neue Autorisierung signiert.
Jede Wallet zählt ihre Transaktionen mit einer laufenden Nummer, der Nonce, und eine Autorisierung gilt nur beim exakt erreichten Stand. Weil die Binance-Wallet ständig Abhebungen verarbeitet, rückt dieser Zähler laufend vor. Mit Signaturen für 50 aufeinanderfolgende Stände stellten die Angreifenden sicher, dass eine noch passte. Genau eine passte, und das genügte.
Um 20:20 UTC reichte die steuernde Wallet der Angreifenden, bei TRM Operator genannt, eine einzige Transaktion mit allen 50 Autorisierungen ein. Jede verwies auf einen Sweeper-Contract, ein Programm zum Abziehen von Guthaben, das nur Befehle des Operators annimmt. Drei Minuten und 24 Sekunden später überwies die Binance-Wallet ihr gesamtes Guthaben: 167.464 ETH und 63 Token, darunter 1,615 Milliarden USDT. Weil die Delegation bestehen blieb, wurden neu eingehende Gelder um 20:41, 20:59, 21:04, 21:44, 22:39 und 23:56 UTC erneut abgesaugt.
Der Hack wurde mindestens 36 Stunden vorbereitet. Am Morgen des 28. Oktober gingen von Tornado Cash, einem Dienst, der die Herkunft von Krypto verschleiert, drei kleine Abhebungen auf der Operator-Wallet ein. Am 29. Oktober testete der Operator den Code an zwei Wallets, probte die Endfassung an einer dritten und installierte sie vier Stunden später auf einer Binance-Hot-Wallet.
Erste Hinweise deuteten auf Phishing der Autorisierungen, doch das erklärt den Hack nur auf Ethereum. Im selben Zeitfenster überwiesen Binance-Wallets auf dem XRP Ledger, auf Arbitrum, Avalanche, Optimism und Base sowie auf Bitcoin, Tron und Solana per gewöhnlicher Signatur an die Angreifenden. Eine weitere Ethereum-Hot-Wallet schickte 28.006 ETH ohne Delegation. Diese Wallets nutzen unterschiedliche Ketten, Schlüsseltypen und Signaturverfahren, lieferten aber binnen etwa einer halben Stunde gültige Signaturen. TRM hält daher eine Kompromittierung der Signatur-Infrastruktur von Binance für die wahrscheinlichste Erklärung.
Binance schrieb auf X, eine erste Untersuchung habe auf einen kompromittierten Laptop hingedeutet, eine spätere habe weitere Einbruchspunkte gezeigt. Hinweise auf ein Leck privater Wallet-Schlüssel habe man nicht gefunden, technische Details sollen nach Abschluss der Untersuchung folgen. Wie Schadsoftware Passwörter und Kryptowerte von Endgeräten abgreift, zeigt unser Bericht über den ClickLock Stealer für macOS.
Kok Tin Gan, Chef der Sicherheitsfirma NyxLab, sagte der AP, es sehe nach einer Signatur aus, die den Angreifenden ein nie ablaufendes Vollzugriffs-Token auf eine Hot Wallet gegeben habe. Ein gemeinsamer Signaturdienst für zehn Blockchains lohnt sich im Betrieb, bis ein einziger Zugriff ihn zum Generalschlüssel macht.
2,7 Milliarden Dollar eingefroren: Was Tether, Circle und Ripple stoppten
Nach dem Hack haben Stablecoin-Herausgeber und der Security Council von Arbitrum bis zum 30. Oktober, 00:30 UTC, rund 2,7 Milliarden Dollar der Beute eingefroren, zählt TRM Labs. Stablecoins sind digitale Münzen, die eins zu eins an eine Währung wie den Dollar gekoppelt sind, wie CNBC erklärt.
Dieses Bild wurde komplett mit KI generiertProviderhiggsfieldModellflux_2 pro 1k 16:9PromptA long vault corridor lined with rows of open, empty safe deposit boxes, their small steel doors swung wide in dim light. A single beam of light crosses the polished floor toward a distant heavy steel door standing slightly ajar. Photorealistic style image. Mood: eerie, hollow and still. Avoid: watermark, signature, blurry, low quality, distorted, deformed.Tether sperrte laut TRM etwa 1,77 Milliarden USDT, den ersten Block mit 971,1 Millionen USDT um 21:01 UTC, 37 Minuten nach dem Hauptabzug. Circle fror rund 825 Millionen USDC ein, Ripple 40,5 Millionen RLUSD und World Liberty Financial 27,8 Millionen USD1. Der Security Council von Arbitrum, ein Gremium für Notfalleingriffe in diesem Netzwerk, erzwang um 00:08 UTC die Verschiebung von 8.426 ETH und 74,6 Millionen ARB, zusammen etwa 30 Millionen Dollar, aus der Reichweite der Angreifenden.
Binance meldete um 23:35 UTC geprüfte 2,54 Milliarden Dollar und schätzt den eingefrorenen Wert laut dem CNBC-Bericht über die eingefrorenen Milliarden inzwischen auf etwa 3 Milliarden Dollar. Co-CEO Yi He sagte, Ripple habe rund 200 Millionen Dollar am Abfluss gehindert; TRM bestätigt in den Blockchain-Daten nur die 40,5 Millionen RLUSD.
Nach einem Hack ist das Einfrieren noch keine Rückholung. Ari Redbord, Politikchef von TRM Labs und früherer US-Staatsanwalt, sagte CNBC, ein Freeze stoppe das Geld, die Rückgabe folge über ein Rechtsverfahren, meist mit Gerichtsbeschluss oder Beschlagnahmeanordnung. Tether und Circle könnten eingefrorene Token vernichten und neu ausgeben, damit sie an Geschädigte zurückgehen. Eric Jardine von Chainalysis ergänzte, es gebe keinen Standardzeitplan: Das Einfrieren gehe schnell, die Rückgabe könne Monate oder Jahre dauern.
1,2 Milliarden Dollar SAFU-Fonds: Wie Binance die Verluste ausgleichen will
Binance hat zugesagt, alle Verluste auszugleichen und dafür den Notfallfonds SAFU (Secure Asset Fund for Users) einzusetzen, berichten CNBC und AP am 30. Oktober. Laut AP hat die Wiederherstellung von Vermögenswerten für Nutzende bereits begonnen. Gründer Changpeng Zhao, der Binance nicht mehr leitet, schrieb auf X, Nutzerguthaben seien sicher, räumte aber ein, der Vorfall sehe nach einem Hack auf Binance aus. Als Anteilseigner erwarte er eine volle Deckung.
Konkret rechnet Sean Farrell von Fundstrat Global Advisors so: Rund 3,3 Milliarden Dollar sind nicht eingefroren. Der SAFU-Fonds mit etwa 1,2 Milliarden Dollar deckt davon ungefähr ein Drittel, den Rest müsste Binance aus eigenen Mitteln tragen. Der Haken: Die Rechnung gilt nur, wenn die eingefrorenen Stablecoins tatsächlich zurückkehren.
Ein bedeutendes Solvenzrisiko, also eine drohende Zahlungsunfähigkeit, sieht Farrell durch den Hack derzeit nicht. Entscheidend sei, wie schnell Abhebungen wieder starten und ob die Abflüsse geordnet bleiben, andernfalls drohten Reserveverkäufe und breitere Kursverluste. Bitcoin notierte am 30. Oktober unter 78.000 Dollar.
2,4 Milliarden Dollar außer Reichweite: So verwischen die Täter ihre Spuren
Rund 2,4 Milliarden Dollar aus dem Hack halten die Täter laut TRM Labs in Werten, die kein Herausgeber einfrieren kann, darunter mehr als 420.000 ETH und 18.270 BTC. Möglich machte das ein Wettlauf gegen die Sperren: Die Angreifenden verkauften zuerst einfrierbare Stablecoins, zum Teil mit hohem Abschlag. Etwa 325 Millionen USDT gingen über UniswapX und ähnliche Verträge an Market Maker, also professionelle Händler, gegen rund 122.300 ETH. Das entspricht etwa 2.650 Dollar je ETH, als ETH bei 2.300 bis 2.350 Dollar stand, ein Abschlag von mehr als 10 Prozent.
Eine zweite Wallet legte 60 Millionen USDT beim Kreditprotokoll Aave an und lieh sich dagegen rund 19.760 ETH, danach fror Aave die betroffenen Märkte ein. Joe Hancock von der Kanzlei Mishcon de Reya sagte CNBC, die Angreifenden hätten gewusst, dass dieser Weg geschlossen werde, und seien zuvorgekommen. Ether lässt sich schwerer sperren, und der Kreditgeber bleibt auf dem gestohlenen Stablecoin sitzen.
Die 18.270 BTC teilte eine Angreiferadresse im selben Block in runde Stücke von 1.000 und 100 BTC, eine sogenannte Peel Chain, die das Nachverfolgen erschwert. Chainalysis-Chef Levin sagte CNBC, Mixer-Dienste seien bisher nicht im Einsatz, stattdessen beobachte man neue Muster: Automatisiert zirkulieren die Täter Gelder zwischen Adressen und senden sie auch an frühere zurück. Nach TRM unterscheidet sich der Hack damit von Bybit, wo Bridges, also Brücken zwischen Blockchains, überwogen.
Zu Bargeld machen die Täter ihre Beute zunehmend über chinesische Geldwäschenetzwerke, die laut Levin und Redbord gestohlene Krypto außerbörslich gegen hohe Gebühr abkaufen. Je weiter sich die Spur entfernt, desto weniger Beschlagnahmechancen bleiben, so Levin.
Als nächste Stufe erwartet TRM Bridges, Swap-Dienste und OTC-Händler. Börsen und Compliance-Teams sollen Einzahlungen gegen die von TRM markierten Adressen prüfen, Ethereum-Wallets auf EIP-7702-Delegationen überwachen und die Signatur-Infrastruktur nach Chain und Wallet-Stufe trennen. Für die kommenden Tage beobachtet TRM die Ausgänge der Peel Chain und die Sammel-Wallets für Ether, über die Gelder zu Börsen, Swap-Diensten und OTC-Händlern fließen dürften.
