Acht Wochen stiller Zugang gingen dem Rekord-Heist von 6,3 Milliarden US-Dollar bei Binance voraus

Den Hackern, die am 29. Oktober rund 6,3 Milliarden US-Dollar von Binance erbeuteten, hatten laut Berichten acht Wochen lang Zugang zur Börse, bevor sie zuschlugen. Der Diebstahl selbst war schnell; die Vorbereitung war es nicht, und genau diese Lücke ist der unbequemste Teil der Geschichte. Der Überfall zielte auf Binance Hot Wallets – die internetverbundenen Wallets, die Börsen online halten, um tägliche Ein- und Auszahlungen von Kunden abzuwickeln – und gilt als bislang größter Diebstahl digitaler Assets.

Zwanzig Minuten Aktion, Wochen der Geduld

Der Angriff begann gegen 20:05 UTC am 29. Oktober 2026, wobei sich der Großteil der Operation innerhalb von rund 20 Minuten abspielte. In diesem Zeitfenster bewegten die Angreifer Mittel über mehr als zehn Blockchains, darunter Ethereum, Bitcoin und Solana. Ein koordinierter Abzug über so viele Netze erfordert Planung statt Improvisation. Die Streuung verengt auch die Rückholoptionen: Die Werkzeuge zur Verfolgung und zum Einfrieren gestohlener Mittel unterscheiden sich von Kette zu Kette, und nicht jedes bewegte Asset lässt sich abfangen.

Die Vorbereitung reicht laut Berichten deutlich weiter zurück. Untersuchungen zum Vorfall deuten auf eine Vorbereitungsphase hin, die spätestens im Juni 2026 begann. Die Zeitleiste umfasst zudem konkrete Schritte am 20. Oktober; das Testen des internen Zugangs erfolgte Berichten zufolge etwa 36 Stunden vor dem Angriff.

Wie sie hineinkamen

Binance Untersuchung ergab, dass die Sicherheitsverletzung aus einer mehrlagigen Kampagne auf Basis von Social Engineering resultierte – also der Manipulation von Menschen und vertrauenswürdigen Abläufen statt eines direkten kryptografischen Bruchs. Zu den Taktiken gehörten ein gefälschtes Vorstellungsgespräch und manipulierte Software-Entwicklungswerkzeuge, die den Angreifern den Zugang zu Binance internen Systemen verschafften. Von dort aus konnten sie unautorisierte Transaktionen durchsetzen.

Bemerkenswert ist, dass die Angreifer keine privaten Schlüssel kompromittieren mussten. Private Keys sind die kryptografischen Passwörter, die Krypto-Wallets kontrollieren, und gelten üblicherweise als Kronjuwelen der Börsensicherheit.

Die Sicherheitsverletzung wird TraderTraitor zugeschrieben, einer nordkoreanischen, staatlich unterstützten Hackergruppe. Dieselbe Gruppe wird mit früheren Angriffen in Verbindung gebracht, darunter der Diebstahl von 1,5 Milliarden US-Dollar von Bybit im Februar 2025, der seinerzeit als wegweisender Verlust für eine zentralisierte Börse galt. Die Summe bei Binance ist mehr als viermal größer.

Binance Schadensbegrenzung

Binance stoppte die Auszahlungen unmittelbar nach dem Diebstahl und nahm sie später schrittweise wieder auf. Die Börse stellte rund 6,34 Milliarden US-Dollar aus Unternehmensmitteln bereit, um die Verluste zu decken, und gab bis zum 31. Oktober an, dass etwa 98 % der gestohlenen Assets wiederbeschafft seien.

Auch Partner und Stablecoin-Emittenten griffen ein. Rund 2,85 bis 3 Milliarden US-Dollar der gestohlenen Mittel wurden eingefroren oder abgefangen. Stablecoin-Emittenten können Tokens auf Vertragsebene sperren und damit einen Teil der Beute für die Täter wirkungslos machen. Diese Kontrolle besteht nur für Tokens, deren Verträge von den Emittenten verwaltet werden – weshalb eine über so viele Chains verteilte Beute nicht vollständig auf diesem Weg neutralisiert werden kann.

Binance hat zudem eine unabhängige Sicherheitsprüfung in Auftrag gegeben. Ihr erklärter Zweck ist es, die Sicherheitsverletzung zu analysieren und die Widerstandsfähigkeit der Börse künftig zu stärken.

Ein bekanntes Muster in größerem Maßstab

Nordkorea verbundene Hacker verfeinern seit Jahren einen spezifischen Ansatz gegen Krypto-Ziele, und der Fall Binance fügt sich in das Muster ein: geduldige Infiltration, menschliche Manipulation, dann ein schneller Abgang.

Gefälschte Vorstellungsgespräche sind eine besonders wirksame Falle. Ein Entwickler, der glaubt, eine technische Bewertung durchzuführen, führt Code aus oder installiert Tools möglicherweise ohne die Prüfung, die er einer unbekannten Datei zukommen ließe. Manipulierte Entwicklungswerkzeuge setzen dieselbe Idee fort: Ingenieure vertrauen ihren Toolchains, und dieses Vertrauen wird zum Einfallstor.

Was das bedeutet

Für Börsen ist die klarste Lehre, dass die Sicherheit von Hot Wallets nur so stark ist wie die internen Systeme, die Transaktionen aus ihnen autorisieren können. Der Schutz privater Schlüssel ist notwendig, aber offensichtlich nicht ausreichend, wenn ein Eindringling innerhalb der Genehmigungspipeline operieren kann.

Der berichtete achtwöchige Zugangszeitraum dürfte die größte Aufmerksamkeit auf sich ziehen. Nicht nur Prävention, sondern Erkennung ist der Bereich, in dem die unabhängige Prüfung Antworten liefern muss.

Das teilweise Einfrieren von rund 2,85 bis 3 Milliarden US-Dollar verdeutlicht eine weitere Dynamik: Stablecoin-Emittenten und Partnerfirmen fungieren inzwischen als faktische Notbremse bei großen Diebstählen, was das Argument für zentralisierte Interventionswerkzeuge stärkt, denen Teile der Krypto-Branche noch immer widerstehen.

Für Nutzer geht die praktische Lektion weniger um Binance im Besonderen als darum, wie Verwahrung funktioniert. Mittel auf einer zentralisierten Börse hängen von deren internen Kontrollen, ihren Reserven und ihrer Fähigkeit ab, einen Treffer zu verkraften, wenn diese Kontrollen versagen. Binance hatte diesmal die Reserven. Die offene Frage für die Branche ist, wie viele andere Plattformen dasselbe behaupten könnten, wenn eine Gruppe mit wochenlangem stillen Zugang sie als Nächstes auswählt.