Binance schätzt die Gesamtauswirkungen des Sicherheitsvorfalls vom Donnerstag auf etwa 6,3 Milliarden Dollar und erklärte, dass rund 3 Milliarden Dollar der betroffenen Vermögenswerte mit Hilfe von Blockchain-Partnern onchain eingefroren wurden. Das geschätzte Ausmaß würde den Vorfall zu den größten der Branchengeschichte zählen und übertrafe die rund 1,5 Milliarden Dollar, die im Februar 2025 von Bybit erbeutet wurden – bislang der größte dokumentierte Diebstahl von einer Krypto-Börse.

Die Börse erklärte zunächst, dass ein kompromittierter Laptop eines DevOps-Ingenieurs einem Angreifer den Zugriff auf einen Service-Container und die Einrichtung unbefugter Auszahlungstransaktionen ermöglicht haben könnte. Binance erklärte inzwischen, dass die Untersuchung „weitere Angriffspunkte“ aufgedeckt habe.

In einem Update zur Untersuchung erklärte Binance: „Unsere erste Untersuchung ließ vermuten, dass der Sicherheitsvorfall einen kompromittierten Laptop betreffen könnte; unsere anschließende Untersuchung hat jedoch weitere Angriffspunkte aufgedeckt. Dies war ein komplexer Angriff, und wir tun alles, was wir können, in Koordination …“

Die Erklärung wurde von Binance am 30. Oktober 2026 auf X veröffentlicht: https://twitter.com/binance/status/2116089661408108712

Die Börse erklärte, es gebe keine Hinweise darauf, dass ein privater Wallet-Schlüssel kompromittiert wurde. Binance setzte zunächst Ein- und Auszahlungen aus, zog die Autorisierung für die betroffene Adresse zurück und nahm die Zusammenarbeit mit Strafverfolgungsbehörden und Blockchain-Analyseunternehmen auf, um die Gelder zurückzuverfolgen und wiederzubeschaffen.

Binance erklärte, alle Verluste über den Secure Asset Fund for Users (SAFU), einen Notfallreservefonds für Nutzer, sowie über Unternehmensmittel zu decken. Der Fonds wurde 2018 aufgelegt und wird über einen Teil der Handelsgebühren finanziert; er bietet der Börse einen speziellen Puffer genau für diese Art von Notfall. Die Börse bekräftigte, dass „die Gelder der Nutzer sicher seien“.

Einzahlungen liefen bis Freitagmorgen wieder normal, teilte Binance-CEO Richard Teng mit, während Auszahlungen weiterhin eingestellt blieben, da das Unternehmen eine „Sicherheitsüberholung des Auszahlungsdienstes und der zugehörigen Adressen“ durchführt. Binance erklärte, die Auszahlungen sollen 45 Stunden nach Beginn der Aussetzung wieder aufgenommen werden.

Teng erklärte, der Angreifer habe „nicht einfach die Berechtigungen eines Ingenieurs genutzt, und dies war keine einzelne ‚Ein-Klick‘-Aktion“, und beschrieb einen „komplexeren Angriffsprozess“. Er ergänzte: „Unsere Untersuchung hat bisher keiner einzelnen Person eine Verantwortung zugeschrieben.“

Tengs Erklärung wurde am 30. Oktober 2026 auf X veröffentlicht: https://twitter.com/_RichardTeng/status/2116072080525656150

Binance erklärte, man sammle weiterhin Fakten und werde „einen detaillierten technischen Post-Mortem-Bericht veröffentlichen, sobald die Untersuchung abgeschlossen und jede Tatsache überprüft ist“. Teng sagte zudem, die Börse werde nach Abschluss der Behebung ein aktualisiertes Proof of Reserves veröffentlichen – einen Bericht, der belegen soll, dass die Bestände einer Börse die Guthaben ihrer Kunden abdecken.

Das Blockchain-Analyseunternehmen Arkham schätzte, dass zwischen 16:10 Uhr und 19:05 Uhr Ostküstenzeit am Donnerstag insgesamt rund 6,01 Milliarden Dollar aus den Hot Wallets von Binance auf neun Blockchains entnommen wurden. Hot Wallets sind die mit dem Internet verbundenen Wallets, mit denen Börsen Auszahlungen abwickeln – im Unterschied zur Offline-Kaltlagerung. Laut Arkham waren zum Zeitpunkt der Berichterstattung 2,80 Milliarden Dollar der Vermögenswerte eingefroren, während sich rund 2,9 Milliarden Dollar in Ethereum, Bitcoin, Tron, Solana und anderen Tokens noch bewegen ließen.

Arkham berichtete, der Angreifer bewegte die Gelder weiter. Am frühen Freitagmorgen schickten die Wallets 38,82 Millionen Dollar in Ethereum an eine neue Adresse, während noch 1,12 Milliarden Dollar in ETH gehalten wurden. Stunden später schickte eine von Arkham als dem Angreifer zugehörig markierte Tron-Adresse etwa 2,1 Millionen Dollar in TRX in 14 Transfers an neun neue Adressen. Diese Bewegungen sind für jeden, der die Chain beobachtet, sichtbar – genau das ermöglicht es Analyseunternehmen, die Gelder zu verfolgen, und Partnern, Frostungen zu koordinieren, während sich das Geld bewegt.

Arkham’s Bericht ist auf X verfügbar: https://twitter.com/arkham/status/2116022327674810570

Stablecoin-Emittenten frieren Vermögenswerte ein

Stablecoin-Emittenten reagierten umgehend, als die Gelder Binance verließen. Sowohl USDT als auch USDC sind zentralisierte Tokens, deren Emittenten Adressen auf eine Sperrliste setzen können – ein Frostmechanismus, der nativen Chain-Assets wie Bitcoin und Ether fehlt. Tether und Circle froren rund 975,1 Millionen USDT und 823 Millionen USDC ein, die sich in der wichtigsten Empfänger-Wallet befanden und zusammen etwa 1,8 Milliarden Dollar wert waren. Decrypt berichtete am Donnerstag über die Frostungen, als eine Onchain-Bilanz den Abfluss auf 5,57 Milliarden Dollar schätzte.

Binance-Mitgründer Changpeng „CZ“ Zhao dankte den beiden Emittenten für das „schnelle Einfrieren“.

Zum Freitagmorgen wies Arkhams Entitätsseite für den Angreifer Bestände von rund 18.270 BTC, 488.364 ETH, 663,6 Millionen TRX und 970.551 SOL aus, dazu eingefrorene Stablecoin-Guthaben.

Die offizielle Ankündigung von Binance ist hier verfügbar: https://www.binance.com/en/support/announcement/detail/c5a8729a97ac486d963784d96c5642d7