Ein einzelner Angreifer hat Binance um rund 6,36 Milliarden Dollar erleichtert – einer der größten Krypto-Diebstähle der Geschichte. Ab 20:05 UTC am 29. Oktober floss das Geld aus Wallets auf zehn Blockchains ab, der Großteil binnen etwa 20 Minuten.
Gegen 23:05 UTC folgte eine zweite Welle über Avalanche und Polygon. Binance stoppte Ein- und Auszahlungen. Co-CEO Yi He erklärte, die Auszahlungen blieben gesperrt, bis die Umgebung nachweislich sicher sei.
50 Vollmachten, die eine Hot-Wallet kaperten
Auf Ethereum missbrauchte der Angreifer eine EIP-7702-Delegation. Um 20:20 UTC schickte er eine Transaktion mit 50 vorab signierten Autorisierungen, die eine Binance-Hot-Wallet auf einen nur ihm zugänglichen Sweeper-Contract umleitete. Danach schöpfte der Code das Guthaben wiederholt automatisch ab.
Die Vorbereitung lief mindestens 36 Stunden. Am 28. Oktober gingen drei kleine Abhebungen aus dem Mixer Tornado Cash auf die Operator-Wallet des Angreifers. Am 29. Oktober testete er seinen Code an zwei Binance-Wallets, probte die finale Version an einer dritten und installierte sie vier Stunden später auf einer Hot-Wallet.
Nach der Rekonstruktion des Angriffs durch TRM Labs lag der Schwerpunkt auf Ethereum (3,79 Milliarden Dollar, darunter 200.630 ETH), Bitcoin (18.270 BTC, rund 1,47 Milliarden Dollar), Tron (612,7 Millionen USDT, rund 628 Millionen Dollar) und dem XRP Ledger (233,46 Millionen XRP, rund 296 Millionen Dollar).
Wohin die 6,36 Milliarden Dollar flossen
Abflüsse aus Binance-Wallets nach Blockchain, Schwerpunkte in Milliarden Dollar
Tether, Circle und Arbitrum stoppen 2,7 Milliarden
Um 21:01 UTC fror Tether 971,1 Millionen USDT ein, um 21:04 Circle 823 Millionen USDC, um 22:01 Ripple 40,5 Millionen RLUSD, um 22:10 World Liberty Financial 27,8 Millionen USD1. Um 00:08 UTC zog der Arbitrum Security Council 8.426 ETH und 74,6 Millionen ARB aus der Angreiferwallet. Zusammen sind das laut der Meldung von Reuters zu den Einfrierungen rund 2,7 Milliarden Dollar, Binance nannte am Freitag rund 3 Milliarden.
Binance erklärte die Nutzergelder für sicher und sagte zu, alle Verluste aus dem Sicherheitsfonds SAFU und eigenen Mitteln zu ersetzen. Co-CEO Richard Teng stellte die Wiederaufnahme der Auszahlungen binnen 48 Stunden in Aussicht und schloss ein Leck privater Wallet-Schlüssel als Ursache aus.
„Unterm Strich: Ihr Geld ist sicher, und wir decken jeden Verlust.“
Beim Geld selbst bleibt die Bilanz offen. TRM Labs schätzt, dass der Angreifer noch mehr als 420.000 ETH und 18.270 BTC im Wert von rund 2,4 Milliarden Dollar kontrollieren könnte; zunächst offen blieben rund 3,3 Milliarden Dollar. „Ein Einfrieren stoppt das Geld, die Rückholung folgt über den Rechtsweg“, sagt Ari Redbord, Policy-Chef von TRM Labs.
Nordkorea-Verdacht, FBI und die Aufsichtsfrage
TRM Labs und Chainalysis führen den Angriff mit hoher Wahrscheinlichkeit auf die nordkoreanische Einheit TraderTraitor zurück – dieselbe Gruppe, die 2025 hinter dem Bybit-Hack mit 1,5 Milliarden Dollar Beute stand. Binance bestätigte eine Verbindung nach Nordkorea nicht. FBI und US Secret Service erklärten, sie unterstützten Binance bei der Verfolgung der Gelder.
Die Vorgeschichte des Angriffs
- Februar 2025Bybit verliert 1,5 Milliarden Dollar
Bei der Börse Bybit werden rund 1,5 Milliarden Dollar gestohlen, bis dahin der größte Krypto-Diebstahl; das FBI ordnet ihn der Gruppe TraderTraitor zu.
- Mai 2025Ethereum-Upgrade führt EIP-7702 ein
Mit Pectra kann eine Wallet per Signatur die Kontrolle über ihr Verhalten an einen Smart Contract übergeben – genau der Mechanismus, der beim Binance-Angriff zum Einsatz kommt.
- April 2026KelpDAO-Hack mit demselben Muster
Eine weitere, Nordkorea zugeschriebene Attacke wird mit derselben Vorbereitung registriert.
- 5. Oktober 2026CFTC schlägt Bundesaufsicht vor
Die US-Derivateaufsicht legt einen Rahmen vor, der Krypto-Börsen unter Bundesaufsicht stellen würde.
- 28. Oktober 2026Vorbereitung über Tornado Cash
Drei kleine Abhebungen aus dem Mixer erreichen die Operator-Wallet des Angreifers.
- 29. Oktober 20266,36 Milliarden Dollar fließen ab
Ab 20:05 UTC leert der Angreifer Binance-Wallets auf zehn Blockchains, um 23:05 UTC folgt eine zweite Welle.
An den Märkten hinterließ der Fall Spuren: Der Bitcoin fiel auf ein Sechs-Wochen-Tief von 76.368 Dollar, Ether auf 2.178 Dollar. CFTC-Chef Michael Selig nutzte den Fall, um die am 5. Oktober vorgeschlagene Bundesaufsicht über Krypto-Börsen zu begründen: „Das eigentliche Problem sind diese unregulierten Offshore-Börsen, und sie haben nicht dieselben Sicherungen wie unsere Finanzmärkte.“
Offen ist, ob Binance die Auszahlungen bis Freitagabend tatsächlich wieder öffnet – und ob Ermittler an die verbliebenen 2,4 Milliarden Dollar herankommen, die der Angreifer noch hält.