Hinter dem Nordkorea Binance Hack steckt nach Einschätzung von TRM Labs und Chainalysis die Gruppe TraderTraitor, der das FBI bereits den Bybit-Diebstahl über 1,5 Mrd. US-Dollar im Februar 2025 zugeschrieben hat. Beide Firmen hatten die Gruppe bis zum 30. Oktober 2026 benannt, einen Tag nachdem ein Angreifer rund 6,4 Mrd. US-Dollar aus Binance-Wallets abgezogen hatte. Laut beiden ist es der größte je erfasste Krypto-Diebstahl.
Warum der Fall so schwer wiegt
Der Schaden ist etwa viermal so groß wie bei Bybit. Zusammen mit der Zuordnung zu einer staatsnahen Gruppe rückt das die Sicherheit von Börsen-Hot-Wallets sowie die Macht der Stablecoin-Emittenten, Gelder einzufrieren, erneut in den Fokus. Binance beziffert die eingefrorenen Mittel auf etwa 3 Mrd. US-Dollar. TRM Labs schätzt, dass rund 2,4 Mrd. US-Dollar in ETH und BTC für keinen Emittenten erreichbar sind.
Was über den Nordkorea Binance Hack bekannt ist
Laut TRM Labs flossen am Donnerstag, dem 29. Oktober, etwa 6,36 Mrd. US-Dollar über 10 Blockchains aus Binance-Wallets ab, der Großteil innerhalb von rund 20 Minuten ab 16:05 Uhr US-Ostküstenzeit. Die Schätzungen der Firmen weichen leicht voneinander ab: Chainalysis kommt auf rund 6,4 Mrd. US-Dollar, die Analyse von Elliptic auf 6,43 Mrd. US-Dollar und Binance selbst auf etwa 6,3 Mrd. US-Dollar.
Am stärksten traf es laut Elliptic Ethereum: 3,80 Mrd. US-Dollar verteilt auf 186 Token, darunter 1,9 Mrd. USDT und 823 Mio. USDC.
Wie Ermittler den Nordkorea Binance Hack mit TraderTraitor verknüpfen
TRM trifft die Zuordnung nach eigenen Worten „mit hoher Sicherheit“, gestützt auf On-Chain- und Off-Chain-Erkenntnisse. Chainalysis nannte als stärksten Hinweis, dass sich Gelder aus dem Binance-Hack in Echtzeit mit der Beute aus dem Bitget-Exploit vom Vormonat vermischten, der bereits nordkoreanischen Akteuren zugeordnet war. Chainalysis-CEO Jonathan Levin schrieb, der Angriff sei „wahrscheinlich von der DPRK-Gruppe TraderTraitor“ verübt worden, wie SecurityWeek berichtete.
Der On-Chain-Ermittler ZachXBT stellte fest, dass Gelder aus den Hacks bei Binance und Bitget an derselben Adresse zusammenliefen, berichtete Cointelegraph. Laut Decrypt schloss er daraus, dass dieselbe nordkoreanische Gruppe hinter beiden Angriffen stecke. Das Singapurer Unternehmen Pangolin Intelligence sagte CNN, man gehe davon aus, dass eine nordkoreanische Hackereinheit verantwortlich sei. Elliptic weist allerdings darauf hin, dass bislang keine Regierung eine offizielle Zuordnung vorgenommen hat. Nordkorea hat Hacking-Vorwürfe in der Vergangenheit zurückgewiesen.
So ging der Angreifer vor
Laut TRM und Chainalysis wurde die operative Wallet des Angreifers über den Mixer Tornado Cash finanziert. Zusammen mit Vorbereitungen, die lange vor dem Diebstahl begannen, passt das laut TRM zu früheren Angriffen mit Nordkorea-Bezug wie Bybit und dem KelpDAO-Exploit im April.
Auf Ethereum nutzte der Angreifer eine EIP-7702-Delegation mit 50 vorab signierten Autorisierungen, um eine Binance-Hot-Wallet in einen sogenannten Sweeper zu verwandeln. EIP-7702 kam mit dem Pectra-Upgrade und lässt eine gewöhnliche Wallet Smart-Contract-Code ausführen. Auf den übrigen neun Chains liefen normale signierte Überweisungen. TRM wertet das als Kompromittierung der Signatur-Infrastruktur für die Hot Wallets von Binance.
Binance zufolge begann die Untersuchung mit dem kompromittierten Laptop eines Ingenieurs, inzwischen habe man „weitere Einfallstore“ gefunden. Mehr zum Ablauf steht in unserem Beitrag Binance Hack erklärt.
Welche Fragen noch offen sind
Den Zuordnungen aus der Privatwirtschaft folgte bislang keine Regierungserklärung. Bei Bybit war es das FBI, das den Angriff offiziell TraderTraitor zuschrieb.
Binance hat nach eigenen Angaben mehr als 6,34 Mrd. US-Dollar an Firmenmitteln zur Deckung der Verluste reserviert, davon 5 Mrd. US-Dollar bereits in den betroffenen Token. Woher das Geld stammt, sagte die Börse nicht, wie Reuters berichtete.
Offen ist auch die Geldwäsche. Chainalysis beobachtet „nie zuvor gesehene Geldwäschemuster“: Tausende Transaktionen in kurzer Zeit deuten darauf hin, dass Gelder automatisiert zwischen Adressen hin- und hergeschoben werden. Laut TRM verkaufte der Angreifer USDT an Market Maker und lieh sich auf Aave ETH gegen USDT, um Sperren der Emittenten zuvorzukommen. Nach Angaben von TRM hält er inzwischen mehr als 420.000 ETH und 18.270 BTC.
| Eingefroren oder gehalten | Betrag | Quelle |
|---|---|---|
| Von Tether, Circle, Ripple und World Liberty Financial eingefrorene Stablecoins | ca. 2,67 Mrd. US-Dollar | TRM Labs |
| Vom Arbitrum Security Council eingefroren | 8.426 ETH und 74,6 Mio. ARB | TRM Labs |
| Insgesamt eingefroren laut Binance | ca. 3 Mrd. US-Dollar | Binance |
| Außer Reichweite der Emittenten (ETH und BTC) | ca. 2,4 Mrd. US-Dollar | TRM Labs |
Wie Märkte und Analysten reagierten
Nach dem Diebstahl gaben die Kurse nach. Laut Decrypt fiel BTC nach dem Hack um 3,6 % auf rund 77.500 US-Dollar, ETH verlor 4 % auf 2.235 US-Dollar. Bis Freitag um 14:13 Uhr UTC notierten beide noch tiefer, wie die CoinGecko-Momentaufnahme unten zeigt. Mehr dazu in unserem Bericht über die Marktfolgen des Binance-Hacks.
| Asset | Kurs (30. Okt., 14:13 Uhr UTC) | 24h-Veränderung |
|---|---|---|
| Bitcoin (BTC) | 76.845 $ | -4,37 % |
| Ethereum (ETH) | 2.215,75 $ | -4,78 % |
| BNB | 695,44 $ | -6,48 % |
| Solana (SOL) | 94,49 $ | -6,07 % |
| XRP | 1,23 $ | -4,62 % |
BNB verzeichnete unter den fünf Assets der Tabelle das größte 24-Stunden-Minus. Der Crypto Fear & Greed Index stand am 30. Oktober bei 30 („Fear“). Zur Einordnung: Vor dem Nordkorea Binance Hack hielt die Börse laut DefiLlama-Daten, die CoinDesk zitierte, rund 144 Mrd. US-Dollar an Vermögenswerten.
Was der Hack für Anleger bedeutet
Binance hat Ein- und Auszahlungen für Sicherheitsprüfungen vorübergehend ausgesetzt und rechnet damit, Auszahlungen bis Sonntagmorgen wieder aufzunehmen, berichtete CNN. Hintergründe stehen in unserem weiteren Bericht zum Binance-Hack. Mit der Wiederherstellung betroffener Guthaben für Nutzer hat die Börse nach eigenen Angaben begonnen, Zeitpläne können sich aber verschieben.
Die größere Lehre betrifft das Verwahrungsrisiko: Guthaben auf einer Börse hängen von deren Sicherheit und Zahlungsfähigkeit ab. Die Zusage von Binance, Verluste auszugleichen, ist eine Selbstverpflichtung des Unternehmens. Details sollten Nutzer deshalb den offiziellen Mitteilungen der Börse entnehmen. Nach solchen Ereignissen kann die Volatilität heftig ausfallen, gehebelte Positionen können schnell komplett liquidiert werden. Große Hacks ziehen zudem Phishing und falsche „Recovery“-Angebote an. Kein seriöser Dienst fragt nach einer Seed Phrase.
Als Nächstes zählen eine mögliche Zuordnung durch das FBI oder eine andere Regierung sowie die Frage, wie viel der rund 2,4 Mrd. US-Dollar in ETH und BTC über Geldwäschekanäle bewegt wird. Der geplante Neustart der Auszahlungen bis Sonntag ist der zweite kurzfristige Test.
Fazit
Mehrere Analysefirmen sind sich einig, wer hinter dem Nordkorea Binance Hack steckt, eine offizielle Bestätigung fehlt aber. Rund 3 Mrd. US-Dollar sind laut Binance eingefroren, die Suche nach den restlichen ETH und BTC läuft noch.
Quellen
- TRM and Chainalysis Tie $6.4B Binance Hack to North Korea's TraderTraitor (Decrypt)
- North Korea’s TraderTraitor linked to $6.3B Binance hack (Cointelegraph)
- Blockchain intelligence firms link North Korea to $6.3B hack on Binance : NPR (www.npr.org)
- $6 Billion Binance Hack Bears Hallmarks of North Korea's TraderTraitor – SecurityWeek (www.securityweek.com)
- The largest theft in history: North Korea likely behind the $6.4 billion Binance hack (www.elliptic.co)
- Hackers steal $6.3 billion from Binance in record heist blamed on North Korea (Reuters via Yahoo Finance) (finance.yahoo.com)
- Binance loses over $6 billion in the largest crypto hack to date – CoinDesk (www.coindesk.com)
- Binance: North Korea suspected in record $6 billion theft from world's largest crypto exchange – CNN (www.cnn.com)
- Binance probes possible $5.7 billion crypto hack (Yahoo Finance) (finance.yahoo.com)
- Morning Minute: Binance's $6.4B Hack Overshadows Hyperliquid's Biggest Day – Decrypt (decrypt.co)
Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Finanz- oder Anlageberatung dar. Kryptowährungen sind sehr volatil, recherchieren Sie daher immer selbst, bevor Sie investieren.
