Eine Wallet mit Geldern aus dem rekordbrechenden Binance-Hack hat laut On-Chain-Tracker Whale Alert 120 Millionen TRX an eine unbekannte Adresse überwiesen. Die Transaktion markiert den jüngsten Schritt der Angreifer, die Erlöse aus dem Angriff vom 29. Oktober zu waschen – und sie veranschaulicht, warum sich Trons nativer Token deutlich schwerer zurückholen lässt als die im selben Angriff entwendeten Stablecoins.

Was sich bewegt hat und woher es kam

Bis zum 30. Oktober hatten Blockchain-Forensik-Firmen konkrete Tron-Adressen markiert, die von den Angreifern kontrolliert werden und von denen jede genau 120 Millionen TRX hielt. Eine weitere Wallet im selben Cluster soll laut Berichten etwa 158,2 Millionen TRX enthalten haben.

Seit dem Angriff tröpfeln weiterhin kleinere Überweisungen aus anderen mit der Gruppe verbundenen Adressen heraus. Ermittler beschreiben diese Bewegungen als typisch für Peel-Chain-Transfers – eine gängige Waschtechnik, bei der gestohlene Gelder in immer kleineren Portionen durch eine Kette von Adressen gereicht werden. Jeder einzelne Betrag ist unauffällig klein, doch zusammen machen die Splitter die ursprüngliche Summe schwerer nachverfolgbar und lassen sich stückweise leichter in Bargeld verwandeln.

Der Angriff hinter dem Geld

Der Angriff traf Binance am 29. Oktober 2026 und entzog in etwa 20 Minuten rund 6,3 Milliarden US-Dollar an digitalen Vermögenswerten aus den Hot Wallets der Börse – den internetverbundenen Wallets, die Börsen zur Abwicklung von Kundenauszahlungen finanzieren – über etwa zehn Blockchains hinweg. Die gesamte Aktion dauerte rund 20 Minuten, und der Vorfall wird sowohl in Bezug auf das Ausmaß als auch auf das Tempo als Rekordergnis für die Branche beschrieben.

Tron war eines der am stärksten betroffenen Netzwerke. Die Angreifer zogen 612,7 Millionen USDT und 46,4 Millionen TRX aus den Hot Wallets von Binance auf dieser Chain. Anschließend nutzten sie SunSwap, eine dezentrale Börse auf Tron, um etwa 234 Millionen USDT in schätzungsweise 638 Millionen TRX zu tauschen.

Dieser Tausch ist bedeutender, als er zunächst erscheint. USDT ist ein von Tether ausgegebener Stablecoin, und Tether kann Token auf bestimmten Adressen einfrieren. TRX hingegen hat keinen zentralen Emittenten mit einer Freezfunktion. Die Forschungsergebnisse weisen darauf hin, dass nicht freezbare Vermögenswerte wie TRX die Bemühungen zur Wiederbeschaffung weiterhin erschweren.

Tether und Circle froren nach dem Angriff schätzungsweise 2,7 bis 3 Milliarden US-Dollar in Stablecoins ein – eine Maßnahme, die durch die Kontrolle auf Emittentenebene möglich wurde, mit der beide Emittenten bereits früher mit Exploits in Verbindung gebrachte Gelder gesperrt haben.

Wer dahintersteckt und wie Binance reagierte

Der Vorfall wird mit hoher Wahrscheinlichkeit TraderTraitor zugeschrieben, einer nordkoreanischen Hackergruppe, die mit früheren großangelegten Exploits in Verbindung gebracht wird. Ermittler der Vereinten Nationen haben geschätzt, dass nordkoreanische Cyberoperationen in den letzten Jahren Milliarden von US-Dollar in Kryptowährungen gestohlen haben – Gelder, die nach ihrer Einschätzung der Finanzierung des Waffenprogramms des Landes dienen. Binance untersucht einen kompromittierten DevOps-Laptop als möglichen ursprünglichen Angriffsvektor.

Die Börse erklärte, sie werde alle Verluste der betroffenen Kunden übernehmen. Sie setzte Auszahlungen aus den betroffenen Wallets vorübergehend aus – ein üblicher Eindämmungsschritt während laufender Ermittlungen – und stellte mehr als 6,34 Milliarden US-Dollar aus Unternehmensmitteln zurück, um den Schaden abzufedern.

Wesentliche Teile der gestohlenen Vermögenswerte – insbesondere das TRX – befinden sich weiterhin in den Händen der Hacker. Die Forschungsergebnisse beschreiben die Angreifer als aktiv damit beschäftigt, die Gelder zu waschen.

Was das bedeutet

Die größere Geschichte ist die Aufteilung zwischen dem, was zurückgeholt werden kann, und dem, was nicht. Stablecoins erwiesen sich als teilweise wiederbeschaffbar, weil ihre Emittenten sie einfrieren können, und Milliarden von US-Dollar wurden innerhalb weniger Tage gesperrt. Native Token wie TRX folgen anderen Regeln: Sobald sie die Kontrolle einer Börse verlassen, hängt die Wiederbeschaffung von der Nachverfolgung, der Kooperation anderer Plattformen und davon ab, das Geld beim Ausstiegsversuch zu erwischen. In der Praxis bedeutet das, zu beobachten, wo das TRX als Nächstes auftaucht – landet es auf Einzahlungsadressen von Börsen, können Plattformen mit Compliance-Kontrollen damit verbundene Einzahlungen kennzeichnen und blockieren.

Die Forschungsergebnisse deuten auf eine verstärkte Prüfung der Sicherheit zentralisierter Börsen und die Möglichkeit strengerer Protokollen in der gesamten Branche hin. Die Ergebnisse legen zudem nahe, dass einige Händler nach dem Vorfall einen Wechsel zu dezentralen Börsen erwägen könnten. Bemerkenswert ist, dass die Angreifer selbst eine dezentrale Börse – SunSwap – nutzten, um ihr Geld in eine schwerer einzufrierende Form zu überführen.

Dieser Artikel basiert auf Berichterstattung von CryptoBriefing, wo er von John Chen redigiert wurde. Original: 120 million TRX from the Binance hack moves to an unknown wallet