Binance Hack erklärt: Wie Angreifer in 31 Minuten 6 Mrd. Dollar abzogen

Für den Binance Hack vom 29. Oktober 2026 brauchte der Angreifer keinen einzigen gestohlenen Private Key. Er zog in etwa 31 Minuten rund 6 Mrd. US-Dollar aus den Hot Wallets der Börse ab, indem er Binances eigene Systeme die Überweisungen signieren ließ. So rekonstruiert es eine Analyse von BeInCrypto vom 30. Oktober.

• Umfang: Das Blockchain-Analyseunternehmen BitOK verfolgte 6,15 Mrd. US-Dollar über neun Blockchains. Binance nennt rund 6,3 Mrd. Dollar, TRM Labs 6,36 Mrd. Dollar über zehn Chains, Chainalysis 6,4 Mrd. Dollar.
• Einfallstor: Laut Binance wurde der Laptop eines DevOps-Ingenieurs kompromittiert. Darüber gelangte der Angreifer in einen Service-Container, der unautorisierte Auszahlungen verschickte.
• Eingefrorene Mittel: Rund 3 Mrd. Dollar sind laut Binance on-chain eingefroren, darunter 2,3 Mrd. Dollar in USDT und USDC.
• Täter: TRM Labs macht die nordkoreanische Gruppe TraderTraitor verantwortlich, auch Chainalysis hält sie für die wahrscheinlichen Urheber.
• Reaktion: Binance setzte Ein- und Auszahlungen aus und sagte zu, alle Verluste zu übernehmen.

Wie der Binance Hack ablief: die Chronologie

Die Zeitleiste von BeInCrypto beruht großteils auf BitOKs Rückverfolgung. Alle Uhrzeiten in UTC.

1. 28. Oktober: Der Angreifer finanziert eine Operator-Wallet und zwei Hilfs-Wallets über den Mixer Tornado Cash. BeInCrypto zählt sechs Abhebungen, TRM Labs beschreibt drei kleine.
2. 29. Oktober, 02:28 Uhr: Eine Testversion eines Smart Contracts zum Leeren von Wallets geht auf Ethereum live.
3. 13:51-14:24 Uhr: Erste Generalprobe. Kleine USDT- und USDC-Beträge aus zwei Wallets des Angreifers werden erfolgreich abgezogen.
4. 15:59 Uhr: Der finale Contract wird ausgerollt. Er kann eine delegierende Wallet beliebige Aufrufe ausführen lassen, nicht nur Token versenden.
5. 16:20-16:47 Uhr: Zweite Generalprobe mit dem finalen Contract.
6. 20:04:52-20:35:53 Uhr: Der eigentliche Abfluss. Hot Wallets auf Ethereum, Bitcoin, Tron, XRP Ledger, Solana, Base, Optimism, Arbitrum und Avalanche werden geleert.
7. Gegen 20:20 Uhr: Der Angreifer nimmt die stark genutzte Ethereum-Hot-Wallet mit dem Label Binance 14 ins Visier, mit einem Plan auf Basis einer EIP-7702-Autorisierung.
8. 29. bis 30. Oktober: Binance stoppt Ein- und Auszahlungen, Tether und Circle frieren verknüpfte Stablecoins ein. Chainalysis nennt gegenüber CNN mit hoher Sicherheit Nordkorea als verantwortlich.

Warum die Börse den Diebstahl selbst signierte

Börsen halten Hot Wallets online, damit Auszahlungen schnell rausgehen. Automatisierte Systeme signieren dort täglich Tausende Transaktionen. Statt Schlüssel zu stehlen, brachte der Angreifer genau diese Systeme dazu, den Raub abzusegnen. Die Ethereum-Funktion EIP-7702 erlaubt es einer Wallet, per Autorisierung einen Smart Contract in ihrem Namen handeln zu lassen. Signiert eine Binance-Wallet eine solche Freigabe für den Contract des Angreifers, kann dieser die Wallet steuern.

„Der Haupt-Contract enthielt eine Funktion, die beliebige Aufrufe im Namen einer Wallet ausführen konnte, die ihm die Kontrolle übertragen hatte. Mit dieser Funktion zog der Angreifer später 823 Millionen USDC aus einer Binance-Smart-Wallet ab“, erklärte BitOK laut BeInCrypto (sinngemäß übersetzt).

Zur Beute gehörten 18.270,2 BTC, 197.540 ETH, 2,49 Mrd. USDT, 823 Mio. USDC, 233,46 Mio. XRP und 970.522 SOL. Die On-Chain-Auswertung von FXStreet verortet 3,78 Mrd. Dollar der Abflüsse auf Ethereum und 1,441 Mrd. Dollar auf Bitcoin. BitOK erkannte die betrügerischen Überweisungen an ihrem Muster: Gebühren 2- bis 2,7-mal über dem Normalwert, Transaktionsformate, die Binances Auszahlungssoftware nicht nutzt, und auf Ethereum gefälschte Transfers zwischen echten Kundenauszahlungen. Mehr zum kompromittierten Ingenieur-Laptop in unserer früheren Berichterstattung.

Laut TRM Labs ist der Schaden etwa viermal so groß wie beim Bybit-Hack über 1,5 Mrd. Dollar im Februar 2025. Binance verwaltete vor dem Angriff rund 144 Mrd. Dollar, so DefiLlama-Daten, die CoinDesk zitiert. Der Angriff fällt in den von Axios so genannten „Black October“, wenige Wochen nachdem Bitget im September bei einem separaten Hack 388 Mio. Dollar verloren hatte.

Reaktionen von Binance, Analysten und Märkten

Mitgründerin Yi He schrieb auf X, die Nutzergelder seien sicher und Binance werde alle Verluste übernehmen, wie Axios berichtete. Sprecher Ross O’Leary erklärte laut TechCrunch, Auszahlungen seien auf mehreren Netzwerken vorsorglich „vorübergehend ausgesetzt“. Co-CEO Richard Teng schrieb, es sei ein komplexer Vorgang gewesen, keine Aktion „mit einem Klick“. Changpeng Zhao, 2023 als CEO zurückgetreten, geht davon aus, dass die Nutzergelder sicher sind.

Binance fand nach eigenen Angaben „keine Hinweise auf ein Leck privater Schlüssel aus Wallets“. CNBC zufolge scheint der Einbruch laut Sean Farrell von Fundstrat derzeit kein nennenswertes Solvenzrisiko zu schaffen. Die Märkte reagierten weniger gelassen: Bitcoin rutschte laut FXStreet unter 80.000 Dollar, die Liquidationen überstiegen binnen 24 Stunden 1 Mrd. Dollar. Mehr zu den Marktfolgen und Liquidationen.

Daten von CoinGecko. Der Crypto Fear & Greed Index stand am 30. Oktober bei 30 (Angst).

Wie es nach dem Binance Hack weitergeht

Yi He rechnet laut Bloomberg damit, dass Auszahlungen bis Sonntag wieder möglich sind. Nach Abschluss der Untersuchung will Binance eine detaillierte technische Analyse vorlegen. Offen ist etwa, wie genau der Angreifer an den Service-Container kam und ob weitere Kontrollen versagt haben.

Die größere Frage betrifft die rund Hälfte der Mittel, die nicht eingefroren wurde. Stablecoin-Emittenten können Adressen sperren, native Coins wie BTC, ETH oder TRX lassen sich dagegen von niemandem einfrieren und könnten weiter verschoben oder gewaschen werden. Für Nutzer zeigt der Fall, dass Guthaben auf jeder Börse ein Verwahrrisiko tragen. Die Zusage, Verluste zu ersetzen, ist eine Verpflichtung des Unternehmens, und wie sie eingelöst wird, hängt allein von ihm ab.

Häufige Fragen zum Binance Hack

Wer steckt hinter dem Binance Hack?

TRM Labs macht die nordkoreanische Gruppe TraderTraitor verantwortlich. Chainalysis-CEO Jonathan Levin sagte, die Gruppe habe den Angriff wahrscheinlich ausgeführt.

Wie viel wurde gestohlen?

Die Schätzungen reichen von 6,15 Mrd. Dollar (BitOK) bis 6,4 Mrd. Dollar (Chainalysis). Etwa 3 Mrd. Dollar sind laut Binance eingefroren.

Wurden private Schlüssel von Binance gestohlen?

Laut Binance gibt es keine Hinweise darauf. Der Angreifer löste über einen kompromittierten Laptop und einen Service-Container Auszahlungen aus, die Binances Systeme signierten.

Quellen

• How Did the Binance Hack Happen? Detailed Investigation of the $6 Billion Heist (BeInCrypto)
• North Korea Steals USD 6.36 Billion From Binance in the Largest Hack in History (www.trmlabs.com)
• Crypto platform Binance confirms $6.3 bn hack (finance.yahoo.com)
• Binance loses over $6 billion in the largest crypto hack to date (www.coindesk.com)
• Binance pauses withdrawals as hackers suspected of stealing billions in crypto (techcrunch.com)
• Binance halts trading after biggest-ever crypto hack (www.axios.com)
• Binance: North Korea suspected in record $6 billion theft from world's largest crypto exchange (www.cnn.com)
• Binance's $6.3 billion hack: What we know and what comes next (www.cnbc.com)
• Binance likely hacked for an estimated $6B, on-chain data shows (www.fxstreet.com)
• Binance Suspends Deposits, Withdrawals After $6.3 Billion Hack Shakes Industry – Bloomberg (www.bloomberg.com)

Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Finanz- oder Anlageberatung dar. Kryptowährungen sind sehr volatil, recherchieren Sie daher immer selbst, bevor Sie investieren.