Binance-Hack und Nordkorea: Wie Ermittler die Spur der 6,3 Mrd. $ verfolgten

Drei Tage nach dem größten Diebstahl in der Geschichte der Kryptobranche ist das Bild klarer geworden. Am 31. Oktober hat das FBI die rund 6,3 Mrd. $, die bei Binance entwendet wurden, öffentlich TraderTraitor zugeschrieben – jener nordkoreanischen staatlichen Hackereinheit, die es auch für den Diebstahl von 1,5 Mrd. $ bei Bybit im Februar 2025 verantwortlich macht. Die Blockchain-Analysefirmen TRM Labs, Chainalysis und Elliptic waren bereits wenige Stunden nach dem Angriff zum selben Schluss gekommen – allein auf Grundlage öffentlicher Ledger-Daten und eigener Erkenntnisse. Dieser Artikel zeigt, was die Transaktionsspur verrät, warum die Ermittler nach Pjöngjang weisen und wie sich der Fall voraussichtlich entwickeln wird.

Zehn Blockchains, zwanzig Minuten

Der Diebstahl begann am 29. Oktober um 20:05 Uhr UTC, als fünf Binance-Wallets auf dem XRP Ledger 233,46 Mio. XRP an eine einzige Adresse schickten. Binnen Minuten folgten Binance-Wallets auf Solana und Optimism. Um 20:20 Uhr UTC gab eine Bitcoin-Hot-Wallet 18.270 BTC frei, und eine Tron-Wallet überwies 612,7 Mio. USDT sowie 46,4 Mio. TRX. Der schwerste Schlag traf Ethereum: Dort wurde eine Hot-Wallet um 167.464 ETH, 1,615 Mrd. USDT und Dutzende weitere Token geleert. Gegen 23:05 Uhr UTC traf eine zweite Welle Binance-Wallets auf Avalanche und Polygon.

Die Schätzungen zur Gesamtsumme weichen leicht voneinander ab, weil jede Firma die Vermögenswerte zu einem anderen Zeitpunkt bewertet. Binance beziffert den Verlust auf etwa 6,3 Mrd. $, TRM Labs auf 6,36 Mrd. $ und Elliptic auf 6,43 Mrd. $ über 11 Netzwerke hinweg. Wie man es auch misst: Der Schaden ist mehr als viermal so groß wie bei Bybit – und laut Elliptic mehr als sechsmal so groß wie die 1 Mrd. $, die 2003 aus der irakischen Zentralbank geschafft wurden, bis dahin der größte Diebstahl überhaupt.

Wie der Angreifer eindrang

Der Ethereum-Teil des Angriffs stützte sich auf EIP-7702, eine mit dem Pectra-Upgrade im Mai 2025 eingeführte Funktion, die es einer gewöhnlichen Wallet erlaubt, nach Signatur einer Autorisierung Smart-Contract-Code auszuführen. Laut TRM Labs reichte der Angreifer eine einzige Transaktion mit 50 vorab signierten Autorisierungen für aufeinanderfolgende Nonces ein, damit eine davon zum jeweils aktuellen Transaktionszähler der Hot-Wallet passen würde. Eine passte – und die Wallet wurde zu einem Sweeper, der nur noch dem Angreifer gehorchte. Da diese Hot-Wallet zugleich als Executor für einen separaten Binance-Smart-Account fungierte, konnte der Angreifer weitere 823 Mio. USDC abziehen.

Auf den übrigen neun Chains gab es keinen raffinierten Contract-Trick, sondern nur gewöhnliche Transaktionen mit gültigen Signaturen. Dieses Detail wiegt schwerer als EIP-7702. Wallets auf zehn Netzwerken verwenden unterschiedliche Schlüssel und Signaturverfahren – dennoch erzeugten sie alle innerhalb von etwa einer halben Stunde gültige Signaturen. TRM kommt zu dem Schluss, dass der Angreifer in der Lage war, Binances Signatursystem für Hot-Wallets beliebige Transaktionen genehmigen zu lassen. Die vorläufigen Erkenntnisse von Binance deuteten auf den kompromittierten Laptop eines DevOps-Ingenieurs und später auf weitere Einfallstore hin, die das Unternehmen noch nicht näher beschrieben hat.

Die Fingerabdrücke Nordkoreas

Zuschreibungen im Kryptobereich beruhen auf Mustern, und dieses passt zu einem gut dokumentierten Vorgehen. Die Operator-Wallet des Angreifers wurde am Morgen des 28. Oktober mit drei kleinen Abhebungen von Tornado Cash finanziert. Der Angriffscode wurde auf zwei Wallets bereitgestellt und getestet, auf einer dritten geprobt und etwa vier Stunden später auf einer Binance-Hot-Wallet installiert. Anschließend wurden vorab gesammelte Signaturen in einem einzigen Schwall ausgeführt. Nach Angaben von TRM Labs, das seine Zuschreibung mit hoher Konfidenz bewertet, zeigte sich dasselbe Muster beim Bybit-Diebstahl und beim KelpDAO-Hack im April 2026.

Chainalysis lieferte die entscheidende On-Chain-Verbindung: Gestohlene Binance-Gelder wurden mit Erlösen aus dem Bitget-Diebstahl vom September 2026 vermischt, der bereits Nordkorea zugeordnet worden war. Elliptic stellte fest, dass dieselben Dienste genutzt wurden wie bei drei früheren TraderTraitor-Diebstählen – bei BigONE, WOO X und AFX. Das FBI bestätigte daraufhin die Zuschreibung, veröffentlichte mit der Operation verbundene Ethereum-, Bitcoin- und Solana-Adressen und forderte die Branche auf, damit verknüpfte Transaktionen zu blockieren.

Es geht um mehr als eine einzelne Börse. Elliptic schätzt, dass mit Nordkorea verbundene Akteure in den vergangenen Jahren mehr als 6,5 Mrd. $ erbeutet haben, davon über 1 Mrd. $ im Jahr 2026 vor diesem Vorfall. Sollte die Zuschreibung Bestand haben, verdoppelt eine einzige Nacht bei Binance diese Summe nahezu. UN-Beobachter und westliche Regierungen erklären seit Langem, dass dieses Geld zur Finanzierung von Pjöngjangs Waffenprogrammen beiträgt.

Wettlauf ums Einfrieren

Stablecoin-Emittenten reagierten schneller als bei jedem früheren Hack. Tether fror um 21:01 Uhr UTC, etwa 40 Minuten nach dem Hauptabzug, 971,1 Mio. USDT in der wichtigsten Empfänger-Wallet ein; die gesamten Sperrungen beliefen sich später auf rund 1,77 Mrd. USDT. Circle fror drei Minuten später in Abstimmung mit den Strafverfolgungsbehörden etwa 823 Mio. USDC ein. Ripple sperrte 40,5 Mio. RLUSD, World Liberty Financial 27,8 Mio. USD1, und der Security Council von Arbitrum verschob zwangsweise 8.426 ETH und 74,6 Mio. ARB aus einer Wallet des Angreifers. Elliptic hat eingefrorene oder beschlagnahmte Mittel in Höhe von 2,85 Mrd. $ verifiziert – etwa 44 % der Beute.

Der Angreifer reagierte, indem er Stablecoins mit hohem Verlust abstieß. Elliptic zählt rund 786 Mio. $, die vor dem Greifen der Sperren in ETH und TRX umgetauscht wurden. Darunter waren 434 Mio. USDT, die mit einem Abschlag von 12 bis 26 % zum Marktpreis gegen 160.451 ETH getauscht wurden, sowie ein Kredit über 19.762 ETH, den der Angreifer bei Aave gegen gestohlene USDT aufnahm, bevor Aave die betroffenen Märkte einfror. Auf Tron führte die Haupt-Wallet 546 Transfers mit einem Medianabstand von 96 Sekunden durch – ein Hinweis auf automatisierte Geldwäsche.

Was noch außer Reichweite ist

Die unbequeme Zahl ist der Teil, den kein Emittent einfrieren kann. Elliptic beziffert ihn auf etwa 3,21 Mrd. $, darunter rund 519.000 ETH, sämtliche 18.270 BTC, 233 Mio. XRP und etwa 475 Mio. TRX. Die Bitcoin wurden über eine Peel Chain auf 19 Adressen aufgeteilt, von denen die meisten exakt 1.000 BTC halten; nach jüngstem Stand hatte keine davon eine Börse oder einen anderen Dienst erreicht. Bitcoin hat keinen zentralen Emittenten und keine Blacklist-Funktion, daher lassen sich diese Coins erst stoppen, wenn sie bei einem Unternehmen landen, das Einzahlungen prüft.

Binance konzentriert sich unterdessen darauf, die Kunden schadlos zu halten. Die Börse stellte mehr als 6,34 Mrd. $ aus Unternehmensmitteln bereit und erklärte am 31. Oktober, 90 % der gestohlenen Vermögenswerte durch Käufe am Markt und im außerbörslichen Handel (OTC) wieder aufgefüllt zu haben. Man liege weiter im Plan, Auszahlungen am 1. November wieder freizugeben und kurz darauf einen vollständigen Proof-of-Reserves-Bericht zu veröffentlichen. Jede Rückgewinnung eingefrorener Mittel käme zu dieser Reserve hinzu.

Drei Szenarien für das weitere Geschehen

Szenario eins, der Bybit-Pfad, ist das wahrscheinlichste. Nach dem Bybit-Diebstahl schleusten nordkoreanische Geldwäscher den Großteil der gestohlenen Ether binnen Wochen durch Cross-Chain-Swap-Protokolle, Ketten frischer Wallets und schließlich über OTC-Broker, die Krypto in Bargeld umtauschen, häufig in Asien. TRM, Chainalysis und Elliptic erwarten allesamt, dass die Binance-Gelder in den kommenden Wochen über Bridges, Swap-Dienste und OTC-Desks wandern. In diesem Szenario bleiben die eingefrorenen 2,8 Mrd. $ gesperrt, doch von den übrigen 3 Mrd. $ wird kaum etwas je zurückgewonnen.

Szenario zwei ist langes Abwarten. Nordkoreanische Gruppen haben Coins mitunter monate- oder jahrelang unangetastet gelassen, bis die Aufmerksamkeit nachließ. Die 19 Bitcoin-Wallets mit runden Guthaben von 1.000 BTC wirken eher wie ein Lager als wie eine Geldwäsche-Pipeline. Bleiben sie inaktiv, wird der Fall zu einer langen Beobachtung, bei der jede Börse und jeder OTC-Desk auf unbestimmte Zeit gegen die veröffentlichten Adressen prüfen muss.

Szenario drei ist eine teilweise Rückgewinnung. Schon das Ausmaß dieses Diebstahls ist ein Problem für die Geldwäscher. Mehr als 3 Mrd. $ über OTC-Broker zu bewegen, ohne ein reguliertes Unternehmen zu berühren, ist äußerst schwierig, und jede Börse verfügt inzwischen über die Adresslisten von FBI und Elliptic. Jedes Mal, wenn ein Fragment bei einer regelkonformen Plattform landet, kann es eingefroren werden. Die Rückgewinnung würde in diesem Szenario wohl in kleinen Teilen über viele Monate erfolgen statt in einer einzigen großen Beschlagnahme.

Welcher Pfad es auch wird – die regulatorischen Folgen zeichnen sich bereits ab. Aufsichtsbehörden dürften prüfen, ob Limits für Hot-Wallets, die Trennung von Signatursystemen nach Chain und die Überwachung von EIP-7702-Delegationen zu formalen Anforderungen werden sollten. Der Druck auf OTC-Desks und Cross-Chain-Protokolle, Zahlungsströme in Echtzeit zu prüfen, wird zunehmen. Den Reservebericht von Binance im November und die angekündigte technische Post-Mortem-Analyse werden Regulierer wie konkurrierende Börsen genau lesen.

Was betroffene Nutzer und Unternehmen tun können

Binance-Kunden sind durch die Reserve der Börse abgesichert, sodass die meisten Privatanleger nichts weiter tun müssen, als die Wiederaufnahme der Auszahlungen und den Reservebericht im Blick zu behalten. Das größere Risiko für normale Nutzer ist die Betrugswelle, die auf jeden großen Hack folgt: falsche Support-Mitarbeiter, unseriöse „Recovery“-Dienste und Phishing-Seiten, die versprechen, verlorene Gelder gegen eine Gebühr zurückzuholen. Binance fragt nicht nach Passwörtern oder Seed-Phrasen, und kein seriöser Ermittler kann eine Rückgewinnung garantieren.

Unternehmen und Privatpersonen, die durch einen Diebstahl oder Betrug Geld verloren haben oder vermuten, dass ihre Mittel über Adressen geflossen sind, die mit einem Vorfall wie diesem in Verbindung stehen, sollten jeden Transaktions-Hash dokumentieren, den Fall rasch bei der Polizei und den betroffenen Plattformen melden und mit qualifizierten Blockchain-Forensikern zusammenarbeiten. Firmen wie Crypto Alba Trust, das sich als 2017 gegründetes internationales Ermittlungsunternehmen beschreibt und sich unter den führenden Spezialisten für Krypto-Ermittlungen und Vermögensverfolgung positioniert, bieten die Rekonstruktion von Transaktionspfaden über mehrere Chains, die Verfolgung von Börseneinzahlungen und Unterstützung bei Rückgewinnungsfällen an. Tempo ist entscheidend: Wie der Fall Binance zeigt, sind Sperrungen nur möglich, solange sich die Gelder noch in Vermögenswerten oder auf Plattformen befinden, die eingreifen können.

Der Binance-Diebstahl hat beide Seiten der Transparenz von Krypto offenbart. Jede Bewegung des gestohlenen Geldes ist sichtbar – das ermöglichte es Analysten, den Angriff binnen Stunden zuzuordnen, und Emittenten, Milliarden binnen Minuten einzufrieren. Doch Sichtbarkeit ist nicht gleich Kontrolle. Die nächste Phase hängt davon ab, ob Börsen, OTC-Desks und Protokolle auf das reagieren, was sie sehen, bevor die restlichen Mittel in der Bargeldwirtschaft verschwinden.

Quelle: FBI, TRM Labs, Chainalysis, Elliptic, Binance, CNBC, Cointelegraph, Seoul Economic Daily

CoinShark Media

Unabhängige Nachrichten zu Krypto, Web3 und Fintech seit 2017.

info@thecoinshark.com

© 2017–2026 CoinShark Media. Alle Rechte vorbehalten.