Der 6,3-Milliarden-Dollar-Hack auf Binance versetzte die Kryptowährungsbranche in einen Schockzustand und zeigte, wie weit staatlich unterstützte Hacker gehen können und werden — nach einer Reihe zunehmend schwerwiegender Cybersicherheitsvorfälle traf es diesmal die größte Krypto-Börse der Welt.

TRM Labs, ein Blockchain-Analyseunternehmen, war an vorderster Front dabei, den Diebstahl zu stoppen, und veröffentlichte nach dem Angriff einen Bericht. Das Unternehmen führte den Angriff früh auf TraitorTrader zurück, eine nordkoreanische Hackergruppe, unter Verweis auf „unwiderlegbare" On-Chain- und Off-Chain-Beweise. Dieselbe Gruppe steckte hinter dem 1,5-Milliarden-Dollar-Hack auf Bybit im Februar 2025.

In einem Postmortem vom 3. November teilte Binance mit, dass die Angreifer sich als Recruiter ausgaben, um Schadsoftware auf den Arbeitscomputer eines Ingenieurs zu schleusen, und dann ein kompromittiertes internes KI-Tool nutzten, um den Wallet-Signing-Dienst der Börse zu erreichen.

Ari Redbord, globaler Leiter für Politik und Regierungsangelegenheiten bei TRM Labs, sagte gegenüber Cointelegraph, dass die koordinierte Reaktion der Branche auf den Angriff zwar beispiellos war, „wir aber noch viel mehr davon sehen werden."

Beispiellose Reaktion der Branche

Geschwindigkeit und Ausmaß der Branchenreaktion gehörten zu den Faktoren, die Redbord auffielen. Tether sperrte nur 37 Minuten nach dem Hauptsweep 971,1 Millionen USDt (USDT), und die Stablecoin-Emittenten sperrten insgesamt Token im Wert von etwa 2,67 Milliarden Dollar, so TRM.

„So etwas gab es noch nie", sagte Redbord. „Sie konnten 40 % sofort zurückholen."

Das Rennen, gestohlene Gelder abzufangen, bevor Hacker sie Off-Chain bewegen können, ist ein entscheidender Teil der Abwehr solcher Angriffe. Redbord erklärte, dass das Beacon Network, ein 2025 von TRM eingeführtes Informationsaustauschsystem es Unternehmen ermöglichte, sich schnell zu koordinieren, um die Mittel einzufrieren, bevor ihre Beschlagnahmung vorangetrieben wurde.

„Normalerweise sehe ich vielleicht jeden Tag ein paar Beacon-Warnungen. In den letzten Tagen habe ich, ich weiß nicht, Hunderte oder vielleicht sogar Tausende Beacon-Warnungen gesehen", sagte er.

Der Vorstoß für mehr Koordination erfolgt, während Bloomberg am 4. November berichtete, dass die T3 Financial Crime Unit, die TRM im September 2024 mit Tron und Tether gegründet hatte, Ende August aufgelöst wurde — Quellen verwiesen auf langsame Reaktionen und schlechte Koordination. Tether erklärte, es werde über Beacon weiterhin mit TRM zusammenarbeiten. Der Bericht erinnert daran, wie sehr der Sofortmaßnahmen-Katalog der Branche von der Zusammenarbeit über Firmengrenzen hinweg abhängt — und wie zerbrechlich solche Arrangements sein können.

Auch wenn Redbord mehr Koordination forderte, warnte er, dass solche Bemühungen künftige Angriffe kaum abschrecken dürften. Er wies darauf hin, dass der Diebstahl Nordkoreas vom 29. Oktober etwa einem Drittel des BIP des Landes entsprach und die Hälfte der seit 2017 von staatlich unterstützten Hackern gestohlenen 12,5 Milliarden Dollar ausmachte. Selbst wenn Angreifer nur 1 Milliarde Dollar behalten, bleibe der mögliche Gewinn enorm, so sein Argument.

„Nordkorea wird das weiter tun, solange es wirksam ist", sagte er.

Von der Verteidigung zur Offensive

Redbord argumentierte, dass die Verhinderung solcher Angriffe offensive Maßnahmen der Regierungen erfordert, als Reaktion auf Nordkoreas Einsatz von Hackern als Arm des Staates. TRMs Bericht zur Kapazitätslücke fand, dass die Lücke zwischen Angreifern und Cybersicherheits-Verteidigern weiter wächst, angetrieben durch die frühe Übernahme modernster Technologien wie KI durch Hacker. Strafverfolgungs- und Compliance-Teams müssten KI nutzen, um Schwachstellen genauso schnell zu finden und zu patchen, wie Hacker sie ausnutzen können. Der Angriff auf Binance bot dazu eine Fallstudie: Eine gefälschte Recruiter-Nachricht schleuste die Schadsoftware ein, ein kompromittiertes internes KI-Tool öffnete den Weg nach innen, und der Wallet-Signing-Dienst wurde zum Ziel.

„Jedes Mal, wenn Nordkorea hackt, sollten wir zurückhacken", fuhr er fort und forderte offensive Cyberoperationen sowie Maßnahmen gegen die Geldwäschenetzwerke und Banken, die Hacker zur Barauszahlung nutzen. „Das ist Cyberkrieg", sagte er.