Hacker stahlen am Donnerstag rund 6,3 Milliarden US-Dollar von Binance – der größte Krypto-Diebstahl aller Zeiten, der den im Februar 2025 erbeuteten 1,5 Milliarden US-Dollar von Bybit in den Schatten stellt. Branchenpartner haben etwa 3 Milliarden US-Dollar der betroffenen Vermögenswerte eingefroren, während die Kunden der Börse auf die Wiedereröffnung der Auszahlungen warten.

Das Blockchain-Analyseunternehmen TRM Labs verfolgte die ersten unbefugten Überweisungen auf etwa 20:05 Uhr UTC am Donnerstag zurück, als Binance-Wallets über mehrere Blockchains hinweg geleert wurden. Die Angreifer zielten auf Hot Wallets ab, die Börsen zur Abwicklung von Auszahlungen mit dem Internet verbunden halten. Da Hot Wallets online bleiben müssen, gelten sie im Allgemeinen als der am stärksten exponierte Teil der Infrastruktur einer Börse, und große Börsen-Hacks haben sich wiederholt auf sie konzentriert.

TRM Labs führte den Angriff auf die nordkoreanische Gruppe TraderTraitor zurück – denselben Akteur, den das US-amerikanische Federal Bureau of Investigation für den Diebstahl bei Bybit verantwortlich macht. Binance hat die Identität der Angreifer nicht öffentlich bestätigt. Sollte die Zuordnung zutreffen, gingen die beiden größten Krypto-Diebstähle der Geschichte auf eine einzige Gruppe zurück.

Die folgenden Zahlen und der Zeitverlauf stammen aus der Live-Berichterstattung von Cointelegraph über den Vorfall sowie aus den nachfolgenden Erklärungen der Börse. Die Untersuchung läuft noch, und sowohl die Verlustsummen als auch der Zeitplan für die Wiederherstellung können sich ändern.

Binance legt 6,34 Milliarden US-Dollar zur Abdeckung der Verluste zurück

Binance teilte mit, dass das Unternehmen mehr als 6,34 Milliarden US-Dollar aus eigenen Mitteln zurückgelegt hat, um die Verluste abzudecken, darunter 5 Milliarden US-Dollar, die bereits in den betroffenen Token gehalten werden. Diese Zuordnung umfasst die eingefrorenen Vermögenswerte nicht, und die Börse erklärte, sie kaufe die übrigen Token über Börsen und Over-the-Counter-Geschäfte. Die Einfrierungen durch Partner und die aus Unternehmensmitteln gebildete Rücklage bilden zusammen die beiden wichtigsten Hebel zur Wiederherstellung bei einem Diebstahl dieses Ausmaßes: das Abfangen der gestohlenen Gelder auf ihrem Weg durch das Ökosystem und die Auffüllung der Kundenguthaben aus der eigenen Bilanz der Börse.

Ein Sprecher teilte Cointelegraph mit, dass sich die 5 Milliarden US-Dollar in der Verwahrung von Binance befänden, wollte die Wallet-Adressen aber aus Sicherheitsgründen nicht nennen. Das Sicherheitsunternehmen CertiK erklärte, es benötige weitere Informationen, um die Bestände unabhängig zu überprüfen.

Die Rolle von EIP-7702 unter scrutiny

Ethereums Upgrade EIP-7702 geriet unter Beschuss, nachdem Angreifer damit eine Binance-Wallet geleert hatten. EIP-7702 ist eine Funktion, mit der eine Wallet Software autorisieren kann, in ihrem Namen zu handeln. Blockaid-CEO Ido Ben-Natan erklärte gegenüber Cointelegraph, dass kompromittierte Signiersysteme den Diebstahl wahrscheinlich ermöglicht haben.

Nach Angaben von Ben-Natan hätten die Angreifer die Gelder auch ohne EIP-7702 stehlen können, doch die Funktion könnte ihnen geholfen haben, Sicherungen zu umgehen und die Vermögenswerte in einem einzigen Zug abzuziehen.

Binance-Co-CEO Richard Teng erklärte, der Angreifer habe eine EIP-7702-Delegierung genutzt, um die Ausführungsbefugnis über eine Hot Wallet zu erlangen, ohne die üblichen Genehmigungskontrollen der Börse zu durchlaufen. Ein „Selbstzerstörungsmechanismus" habe Werkzeuge und Spuren vernichtet, was die Untersuchung erschwere, so Teng.

Binance teilte mit, dass die Ermittler über den anfänglich vermuteten kompromittierten Laptop hinaus weitere Sicherheitsverletzungen aufgedeckt hätten. Die Börse berichtete jedoch, es gebe keine Hinweise darauf, dass private Wallet-Schlüssel abgeflossen seien, und kündigte an, innerhalb von etwa 48 Stunden weitere technische Erkenntnisse zu veröffentlichen.

„Um es klar zu sagen: Der Angreifer hat nicht einfach die Berechtigungen eines einzigen Ingenieurs genutzt, und es war keine einzelne ‚One-Click'-Aktion", sagte Teng. „Unsere Untersuchung hat bisher keiner Einzelperson eine Verantwortung zugeschrieben."

Chainalysis beobachtete Tausende von Transaktionen in schneller Abfolge, die auf automatisiertes Money Washing hindeuten könnten, wobei die Gelder zwischen Adressen zirkulierten und teilweise zu zuvor genutzten Wallets zurückkehrten.

Nutzer warten auf die Wiedereröffnung der Auszahlungen

Der Diebstahl erschütterte die Krypto-Kurse und veranlasste den dezentralen Kreditgeber Aave, vorsorglich neue Einlagen und Kredite einzufrieren. Aave kündigte auf X an, dass seine Märkte am Freitagabend wieder geöffnet wurden, während die Auszahlungen von Binance weiterhin ausgesetzt blieben.

In einem Freitags-Update auf X erklärte Binance, man wolle ab Sonntag, dem 1. November, beginnen, die Auszahlungen schrittweise wieder zu öffnen, vorbehaltlich des Abschlusses der Sicherheitsüberprüfungen. Einzahlungen und andere nicht betroffene Dienste blieben in Betrieb.

In einer offiziellen Ankündigung erklärte die Börse außerdem, sie plane, innerhalb von 12 Stunden nach der Ankündigung einen ersten Proof-of-Reserves-Snapshot zu erstellen, dessen Ergebnisse bis Montag vorliegen sollen. Der Bericht soll die Vermögenswerte aufzeigen, die Binance hält, und die Deckung der Kundenguthaben belegen.

In einem Samstags-Update teilte Binance mit, dass 90 % der gestohlenen Vermögenswerte ersetzt wurden und die Wiedereröffnung der Auszahlungen bis Sonntag weiter im Zeitplan liege. Zusammengenommen bilden die für Sonntag angesetzte schrittweise Wiedereröffnung, die innerhalb von etwa 48 Stunden versprochenen technischen Erkenntnisse und die für Montag erwarteten Proof-of-Reserves-Ergebnisse den Zeitrahmen, an dem sich die Wiederherstellung der Börse messen lassen wird.