Zum möglichen Angriffsweg erklärte Binance:
„Unsere erste Untersuchung deutet darauf hin, dass der Sicherheitsvorfall mit einem kompromittierten Laptop eines DevOps-Ingenieurs zusammenhängen könnte, der einem Angreifer Zugang zu einem Service-Container und die Einreichung unautorisierter Auszahlungstransaktionen ermöglichte. Wir haben keine Hinweise auf ein Abfließen privater Wallet-Schlüssel gefunden. Wir werden einen ausführlichen technischen Abschlussbericht veröffentlichen, sobald die Untersuchung abgeschlossen ist und die Fakten vollständig verifiziert sind.“
TRM Labs fand auf Ethereum eine EIP-7702-Delegation, durch die eine Binance-Wallet Angreifercode ausführte. Vorbereitet waren 50 signierte Autorisierungen für aufeinanderfolgende Nonces. Eine passende Signatur genügte, um die Delegation zu aktivieren. Auf anderen Netzwerken erfolgten gewöhnliche signierte Transfers. TRM vermutet deshalb einen kompromittierten Zugang zur Signierinfrastruktur.
Binance will die Verluste aus dem SAFU-Fonds und Unternehmensmitteln decken. Nach Abschluss der Bereinigung soll ein aktualisierter Reservenachweis folgen. Binance-CEO Yi He versicherte:
„Die Nutzergelder sind sicher. Binance wird sämtliche durch den Hack entstandenen Verluste übernehmen. […] Sobald die Untersuchung abgeschlossen ist, werden wir einen ausführlichen Bericht (Post-Mortem) dazu veröffentlichen. Bitte nutzen Sie für Updates ausschließlich die offiziellen Kanäle von Binance.“
Das Einfrieren durch Tether, Circle, Ripple, Arbitrum und andere Krypto-Unternehmen verhindert zunächst weitere Verfügungen über betroffene Vermögenswerte. Für deren Rückführung sind zusätzliche Schritte erforderlich.
Wo die gestohlenen Kryptowährungen liegen
CryptoQuant-Forschungsleiter Julio Moreno erfasste in seiner Ethereum-Auswertung rund 3,70 Milliarden Dollar an Abflüssen. Davon seien etwa 2,20 Milliarden Dollar in Stablecoins über drei Adressen gesperrt, darunter 1,38 Milliarden $USDT und 823 Millionen $USDC.
Zum noch verfügbaren Bestand schrieb er:
„Der Angreifer kontrolliert noch 462.600 $ETH, etwa 1,04 Milliarden Dollar, in elf Adressen, von denen drei 85 Prozent halten. Hinzu kommen rund 400 Millionen Dollar in anderen Token, darunter XAUT, WBETH, $ENA, $RLUSD und $USD1, die Wallet für Wallet in DEX-Pools verkauft werden.“
Vor den Sperren seien rund 435 Millionen $USDT über 0x Protocol, 1inch, LiFi und Uniswap in $ETH umgetauscht worden. Weitere 60 Millionen $USDT dienten bei Aave v3 als Sicherheit für einen Kredit über rund 19.800 WETH.
Auf Bitcoin verfolgte Moreno 18.270 $BTC im Gegenwert von rund 1,42 Milliarden Dollar über eine Zwischenadresse zu 19 neuen Adressen. Davon hielten 17 jeweils exakt 1.000 $BTC. Laut den aktuell verfügbaren Informationen sind diese $BTC-Bestände noch nicht weiterbewegt worden.
Die Ethereum-Zahlen sind Teilmengen des netzwerkübergreifenden Vorfalls. TRM beziffert die Abflüsse über zehn Blockchains auf 6,36 Milliarden Dollar, bewertet zu den jeweiligen Transferkursen. Nach dieser Erhebung ist es der bislang größte Kryptodiebstahl, rund viermal so groß wie der Bybit-Hack von 2025.
Die folgende Tabelle fasst Certik’s Dickson Wus On-Chain-Auswertung und die spätere Arbitrum-Sperre zusammen. Sie trennt ursprüngliche Abflüsse von eingefrorenen Beständen und weist die jeweiligen Datenstände aus.
Binance-Hack: Welche Kryptos sind eingefroren?
Die wichtigsten Abflüsse nach Token und die gemeldeten Sperren. Grundlage ist die Analyse von Dickson Wu (Senior Security Engineer bei CertiK), ergänzt um die spätere offizielle Arbitrum-Maßnahme.
Gemeldete Abflüsse: 6,28 Mrd. $
Davon eingefroren: 2,80 Mrd. $
Noch beweglich: 3,27 Mrd. $
So sind die Zahlen zu lesen: Abflüsse zeigen die ursprünglich entwendeten Assets. Sperren zeigen später gesicherte Bestände, die auch aus Token-Tausch stammen können. $USDC-Sperren deshalb nicht zusätzlich als neue Verluste zählen. Die USD-Abflüsse bewertet Dickson zu Kursen vom 29. Oktober, 21:24 Uhr MEZ. Seine späteren Bestände nutzen andere Kurse. Die gerundeten Dollarwerte ergeben daher keine lückenlose Bilanz.
Eingefroren bedeutet nicht zurückerstattet. „Keine Sperre belegt“ bezieht sich auf die genannten Quellen und deren Datenstand. Die Aufstellung enthält die wichtigsten einzeln ausgewiesenen Assets, ist aber keine vollständige Token-Liste oder von Binance bestätigte Schadensabrechnung.
Quellen: [1] Dickson auf X, 30. Oktober 2026 · [2] Arbitrum Security Council: offizielle Notfallmaßnahme.
Ermittler sehen Verbindungen nach Nordkorea
ZachXBT zufolge wurden Binance-Gelder nach Transfers über THORChain an derselben Adresse mit Mitteln aus dem Bitget-Hack über 388 Millionen Dollar zusammengeführt. Er erklärte:
„Das deutet darauf hin, dass wahrscheinlich derselbe Akteur hinter beiden Vorfällen steckt. Der Bitget-Exploit wurde der mit Nordkorea verbundenen Gruppe TraderTraitor zugeschrieben, die Überschneidungen mit früheren Exploits wie Kelp DAO aufwies.“
Lesetipp: Bitcoin ringt mit 80.000 Dollar: US-Daten verschärfen die Zinsfrage
Chainalysis erklärte:
„Unsere Ermittler haben beobachtet, dass Gelder, die Nordkorea beim Bitget-Exploit im vergangenen Monat gestohlen hatte, mit den bei Binance gestohlenen Geldern vermischt wurden. Wir gehen mit hoher Sicherheit davon aus, dass Nordkorea für den Binance-Hack über 6,4 Milliarden Dollar verantwortlich ist.“
Chainalysis-CEO Jonathan Levin hat ebenfalls 6,4 Milliarden Dollar via X genannt:
„Nach unserer Einschätzung wurde der Binance-Hack über 6,4 Milliarden Dollar wahrscheinlich von der nordkoreanischen Gruppe TraderTraitor verübt, da Verbindungen zu einem früheren Hack bestehen. Branchenpartner haben bereits rund drei Milliarden Dollar eingefroren, und wir bei Chainalysis verfolgen weiterhin sämtliche Gelder.“
Auch TRM schreibt den Angriff TraderTraitor mit hoher Sicherheit zu. Zusätzlich arbeitet Binance mit Strafverfolgungsbehörden an der Identifizierung der Täter.
kryptorevolution.de
