Angreifer erbeuten bei Binance Kryptowerte für mehr als sechs Milliarden Dollar

Was am Abend des 29. Oktober geschah

Die ersten unberechtigten Abbuchungen setzten nach der Auswertung von TRM Labs um 20:05 Uhr Weltzeit ein, 21:05 Uhr deutscher Zeit. Der Großteil floss demnach in etwa 20 Minuten ab, eine zweite Welle folgte gegen 23:05 Uhr Weltzeit. TRM beziffert die Beute auf 6,36 Milliarden Dollar aus Wallets auf zehn Blockchains. Elliptic kommt auf 6,43 Milliarden Dollar auf elf Blockchains und spricht von einem Abfluss über wenige Stunden. Betroffen waren Hot Wallets, also Krypto-Geldbörsen, die für laufende Auszahlungen mit dem Internet verbunden sind.

Zum Vergleich: Beim bisher größten bekannten Fall, dem Angriff auf die Börse Bybit im Februar 2025, waren nach Angaben von Elliptic 1,46 Milliarden Dollar abgeflossen.

Wie die Angreifer vorgingen

Nach der vorläufigen Untersuchung von Binance, die crypto.news wiedergibt, war der Ausgangspunkt möglicherweise der kompromittierte Laptop eines DevOps-Ingenieurs. Darüber soll der Angreifer Zugang zu einem Dienstcontainer erhalten und unberechtigte Auszahlungsaufträge abgesetzt haben. Hinweise darauf, dass private Wallet-Schlüssel abgeflossen sind, hat Binance nach eigenen Angaben nicht gefunden. Später nannte das Unternehmen nach Angaben von Elliptic weitere mögliche Einstiegspunkte.

Auf der Ethereum-Blockchain nutzte der Angreifer laut Elliptic und TRM die Funktion EIP-7702. Mit ihr kann eine gewöhnliche Wallet die Ausführung an ein Programm übergeben. So wurde eine Binance-Wallet an einen Vertrag gebunden, der ihre Bestände abzog.

Wer dahintersteckt

TRM Labs ordnet den Angriff der nordkoreanischen Gruppe TraderTraitor zu und stützt sich nach eigenen Angaben auf Erkenntnisse aus der Blockchain und von außerhalb. Als Indizien nennt TRM unter anderem lange vorbereitete Wallets und vorab eingeholte Signaturen, die auf einen Schlag ausgeführt wurden. Elliptic hält Nordkorea ebenfalls für wahrscheinlich und verweist auf Gelder, die an derselben Adresse ankamen wie Erträge aus dem Angriff auf die Börse Bitget im September. Elliptic hält zugleich fest, dass keine Regierung und keine Strafverfolgungsbehörde die Zuordnung bisher bestätigt hat.

Was eingefroren ist und was nicht

Tether hat nach Angaben seines Chefs Paolo Ardoino mehr als 1,567 Milliarden USDT gesperrt, Circle nach Angaben von Jeremy Allaire mehr als 800 Millionen USDC. Beide Unternehmen geben diese an den Dollar gebundenen Token heraus und können sie zentral blockieren. Elliptic hat eingefrorene Werte von 2,84 Milliarden Dollar überprüft, 44 Prozent der Beute. TRM nennt rund 2,7 Milliarden Dollar.

Bei Bitcoin und Ether gibt es keinen Herausgeber, der sperren könnte. Nach Angaben von TRM hält der Angreifer noch mehr als 420.000 Ether und 18.270 Bitcoin, zusammen rund 2,4 Milliarden Dollar.

Was Binance zusagt

Binance hat Auszahlungen auf mehreren Netzwerken ausgesetzt und erklärt, die Gelder der Nutzer seien sicher. Den Schaden will das Unternehmen nach Angaben von Elliptic aus seinem Sicherungsfonds SAFU und aus eigenen Mitteln ausgleichen. Einzahlungen laufen nach Angaben von Mitgründerin Yi He normal weiter. Auszahlungen sollen laut crypto.news innerhalb von 48 Stunden wieder möglich sein.

Offen ist, ob die Angaben zur Herkunft des Angriffs von Behörden bestätigt werden und wie viel der nicht gesperrten Werte sich noch zurückholen lässt.

Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz erstellt. Auswahl, Verdichtung und Formulierung erfolgten maschinell; vor der Veröffentlichung wurde er von einem Redakteur geprüft und freigegeben. Verantwortlich im Sinne des Presserechts ist die Redaktion. Anlass war ein Hinweis des Redakteurs.