Binance hat eine schwere Sicherheitsverletzung bestätigt, von der digitale Vermögenswerte im Wert von etwa 6,3 Milliarden US-Dollar betroffen sind. Fast 3 Milliarden US-Dollar wurden eingefroren, während die Kryptowährungsbörse mit Blockchain-Netzwerken, Stablecoin-Emittenten und Strafverfolgungsbehörden zusammenarbeitet, um einen Vorfall einzudämmen, der zum größten Kryptowährungsdiebstahl aller Zeiten werden könnte.

Die am 30. Oktober veröffentlichte Mitteilung folgte auf verdächtige Abhebungen in Höhe von zunächst 2,77 Milliarden US-Dollar über fünf Blockchains am Vorabend. Nach vorläufigen Erkenntnissen von Binance könnten die Angreifer den Laptop eines DevOps-Ingenieurs kompromittiert, Zugriff auf einen internen Service-Container erlangt und nicht autorisierte Abhebungstransaktionen eingereicht haben.

Die Börse hat Ein- und Auszahlungen vorübergehend ausgesetzt – ein üblicher Eindämmungsschritt während einer laufenden Sicherheitsuntersuchung –, die Autorisierung der betroffenen Adresse widerrufen und zugesagt, sämtliche Verluste über ihren Secure Asset Fund for Users (SAFU), einen 2018 eingerichteten Notfallfonds, der aus einem Teil der Handelsgebühren finanziert wird, sowie Unternehmensmittel abzudecken. Binance erklärte, dass die Kundenguthaben weiterhin geschützt seien. Die Untersuchung hat jedoch noch nicht den endgültig wiederherstellbaren Betrag oder das vollständige Ausmaß der Kompromittierung festgestellt.

Kompromittierter Laptop eines Ingenieurs mit Binance-Angriff in Verbindung gebracht

Der Vorfall erregte am 29. Oktober erstmals Aufmerksamkeit, als Blockchain-Forscher ungewöhnlich große Transfers von Binance zugeordneten Wallets an Adressen außerhalb der öffentlich identifizierten Verwahrungsinfrastruktur der Börse feststellten. Erste Berichte bezifferten die Abflüsse auf etwa 2,77 Milliarden US-Dollar (Crypto Adventure).

Weitere Nachverfolgungen zeigten, dass der Vorfall deutlich größer war. In der Sicherheitsmitteilung vom 30. Oktober bezifferte Binance die geschätzten Auswirkungen auf 6,3 Milliarden US-Dollar – eine deutliche Steigerung gegenüber den vorläufigen Zahlen.

Der mutmaßliche Einstiegspunkt war ein kompromittierter Laptop eines DevOps-Ingenieurs. Die Ermittler gehen davon aus, dass der Angreifer diesen Zugriff nutzte, um einen Service-Container zu erreichen, der nicht autorisierte Abhebungsanweisungen übermitteln konnte. Binance hat keine Hinweise darauf gefunden, dass private Schlüssel von Wallets direkt offengelegt wurden. Dies deutet darauf hin, dass der Angriff möglicherweise interne operative Berechtigungen ausgenutzt hat, anstatt auf einen herkömmlichen Diebstahl privater Schlüssel zurückzugreifen. Diese Unterscheidung verlagert die Sicherheitsfrage von der Schlüsselverwahrung auf die internen Autorisierungssysteme, auf die sich Börsen bei der Übertragung von Kundengeldern stützen – genau jene Systeme, deren Funktionsweise die Untersuchung noch nicht vollständig erklärt hat.

Während des Vorfalls wurden nach einer On-Chain-Analyse von TRM Labs etwa 6,36 Milliarden US-Dollar über 10 Blockchains bewegt. Der Großteil der Aktivitäten ereignete sich innerhalb eines Zeitraums von ungefähr 20 Minuten, der am 29. Oktober um 20:05 UTC begann.

Die Transfers betrafen Ethereum, Bitcoin, Tron, XRP Ledger und Solana sowie kleinere Bewegungen über mehrere weitere Netzwerke. Auf Ethereum stellten Ermittler die Nutzung der EIP-7702-Kontodelegation fest. Diese soll es einem vom Angreifer kontrollierten Contract ermöglicht haben, Gelder aus einer Binance-Hot-Wallet umzuleiten – dem Typ internetverbundener Wallets, auf den sich Börsen für die Abwicklung routinemäßiger Abhebungen stützen. EIP-7702 ist ein Ethereum-Mechanismus, der bestimmte Funktionen zur Kontodelegation ermöglicht.

In anderen betroffenen Netzwerken wurden herkömmliche signierte Transaktionen festgestellt. Dies wirft Fragen darüber auf, wie auf die internen Autorisierungssysteme von Binance für Abhebungen zugegriffen wurde. Der genaue Zusammenhang zwischen diesen On-Chain-Techniken und dem kompromittierten Gerät des Mitarbeiters wird weiterhin untersucht.

Tether, Circle und Blockchain-Partner frieren 3 Milliarden US-Dollar ein

Mehrere große Kryptowährungs-Emittenten ergriffen Maßnahmen, um mit dem mutmaßlichen Angreifer verbundene Vermögenswerte einzuschränken. Tether fror mehr als 1,567 Milliarden USDT ein, die mit dem Vorfall in Verbindung standen, während Circle in Abstimmung mit den Ermittlern mehr als 800 Millionen USDC blockierte.

Ripple schränkte Berichten zufolge ebenfalls Vermögenswerte im Wert von etwa 200 Millionen US-Dollar ein, und World Liberty Financial fror rund 27 Millionen US-Dollar in USD1-Token ein. Weitere Maßnahmen betrafen Anbieter von Blockchain-Infrastruktur, darunter den Sicherheitsrat von Arbitrum, der mit dem Exploit verbundene Vermögenswerte einschränkte.

Nach den zuletzt bestätigten Zahlen von Binance trugen diese Maßnahmen insgesamt dazu bei, Vermögenswerte im Wert von etwa 3 Milliarden US-Dollar einzufrieren. Das Einfrieren verhindert, dass die Vermögenswerte über die betroffenen Token-Contracts oder Netzwerke übertragen werden können – eine Möglichkeit, über die große Stablecoin-Emittenten wie Tether und Circle auf Contract-Ebene verfügen. Es bedeutet jedoch nicht zwangsläufig, dass die Gelder an Binance zurückgegeben wurden.

Das verbleibende Risiko ist erheblich. Auf Grundlage der vorläufigen Schätzung der Börse von 6,3 Milliarden US-Dollar entfallen etwa 3,3 Milliarden US-Dollar auf den nicht eingefrorenen Betrag. Diese Summe entspricht jedoch nicht zwangsläufig dem endgültig unwiederbringlichen Verlust, da die Nachverfolgung und Wiederherstellung der Gelder noch andauern.

Binance hat Strafverfolgungsbehörden, Token-Emittenten und Blockchain-Intelligence-Unternehmen eingeschaltet, um weitere Gelder nachzuverfolgen und zusätzliche Bewegungen zu verhindern. Die Börse hat außerdem zugesagt, etwaige Verluste aus ihrem SAFU-Notfallfonds und Unternehmensmitteln auszugleichen, und eine aktualisierte Proof of Reserves nach Abschluss der Behebung angekündigt.

Nordkoreanische Hackergruppe mit Angriff in Verbindung gebracht

Die Untersuchung hat Bedenken über eine mögliche Beteiligung nordkoreanischer Cyberkrimineller geweckt. TRM Labs machte TraderTraitor, eine mit Nordkorea verbundene Hackeroperation, die mit hochentwickelten Kryptowährungsdiebstählen in Verbindung steht, für den Angriff verantwortlich. Das Unternehmen erklärte, seine Einschätzung basiere mit hoher Zuversicht auf Blockchain-Aktivitäten und weiteren Informationen.

Der mutmaßliche Zusammenhang ist angesichts der Vorgeschichte Nordkoreas bei Angriffen auf Kryptowährungsplattformen von Bedeutung. Im Februar 2025 stahlen mit dem Land verbundene Hacker bei einem Angriff etwa 1,5 Milliarden US-Dollar von Bybit. Dabei wurden Schwachstellen bei der Sicherheit institutioneller Wallets offengelegt – ein Diebstahl, der vor diesem Vorfall als größter Krypto-Hack aller Zeiten gegolten hatte. Der jüngste Vorfall folgt außerdem auf den Wallet-Angriff bei Bitget im September, bei dem 387,5 Millionen US-Dollar betroffen waren. Kompromittierte interne Zugangsdaten ermöglichten dort nicht autorisierte Abhebungsbefehle, ohne private Schlüssel direkt offenzulegen – ein Muster, das den mutmaßlichen Mechanismen des Binance-Angriffs sehr ähnlich ist.

Für Binance hat der Schutz der Kundenguthaben, die Absicherung der operativen Infrastruktur und die Wiederherstellung der betroffenen Vermögenswerte weiterhin höchste Priorität. Mitgründer Changpeng Zhao, der 2023 als Chief Executive zurücktrat, erklärte, der Vorfall sehe nach einem Hack aus, und zeigte sich in einem Beitrag auf X zuversichtlich, dass die Kunden vollständig abgesichert würden.

Der Vorfall belastete auch die Kryptowährungsmärkte. Bitcoin fiel während der ersten Reaktion unter 79.000 US-Dollar, während BNB deutlich stärker nachgab, als Händler mögliche operative und finanzielle Folgen für die Börse bewerteten. Binance hat keinen bestätigten Zeitplan für die Wiederaufnahme von Ein- und Auszahlungen bekannt gegeben.

Nach Abschluss der Untersuchung wird eine vollständige technische Analyse erwartet. Sie soll weitere Einzelheiten zum Einstiegspunkt des Angriffs, zu den betroffenen Systemen und zu den Fehlern bei der Abhebungsautorisierung liefern.

Wie viel von den verbleibenden rund 3,3 Milliarden US-Dollar letztlich wiedererlangt wird, wann Ein- und Auszahlungen wieder aufgenommen werden und welche Erkenntnisse die technische Analyse liefert, wird die Bewertung des endgültigen Ausmaßes des Vorfalls prägen. Da weiterhin Milliardenbeträge nachverfolgt und wiederhergestellt werden müssen, bleibt die endgültige finanzielle Auswirkung ungewiss. Der Angriff zählt bereits zu den folgenschwersten Sicherheitsvorfällen bei Kryptowährungsbörsen. Sollte sich die vorläufige Schätzung bestätigen, könnte sein Umfang jeden zuvor verzeichneten Krypto-Diebstahl übertreffen.