Warum Binance-Exploit-Gelder über THORChain flossen

#ThorChain’s $RUNE token up following the #BinanceHack. — BitKE (@BitcoinKE) October 30, 2026

Der On-Chain-Ermittler ZachXBT meldete, dass mit dem Binance-Exploit in Verbindung gebrachte Gelder über THORChain flossen, bevor sie auf einer Ethereum-Adresse gebündelt wurden, die auch mit dem Bitget-Hack vom September in Höhe von 387,5 Millionen US-Dollar in Verbindung steht. BitKE hatte zuvor über den Binance-Vorfall und die Bewegung der mit dem Bitget-Angriff verbundenen Gelder berichtet.

Beide Vorfälle werden nordkoreanischen Hackeroperationen zugeschrieben. Der Bitget-Exploit verdeutlichte jedoch, warum Angreifer THORChain nutzen könnten, um gestohlene Assets über Blockchain-Netzwerke hinweg zu bewegen.

THORChain ist ein dezentrales Austauschprotokoll, das auf gepoolter Liquidität statt auf Orderbüchern basiert; sein RUNE-Token dient als Settlement-Asset, das die Pools über Netzwerke hinweg verbindet. Die permissionless Architektur ermöglicht Nutzern den Tausch nativer Assets wie Bitcoin und Ethereum über Blockchains hinweg ohne Genehmigung einer zentralisierten Börse. Da jeder Swap auf öffentlichen Blockchains abgewickelt wird, hinterlassen Transfers eine nachverfolgbare Spur, selbst wenn die Assets das Netzwerk wechseln; dennoch kann dieselbe Struktur es Plattformen erschweren einzugreifen, sobald gestohlene Gelder in die Liquiditätsinfrastruktur des Protokolls gelangt sind. Im Fall Bitget nutzte der Angreifer THORChain, um gestohlene Assets in Bitcoin umzuwandeln, und bewegte zugleich rund 83 Millionen US-Dollar in gestohlenem XRP über mehrere Wallets. BitKE berichtete über die XRP-Transfers und die Nutzung von THORChain zur Bewegung der gestohlenen Gelder.

Die XRP-Bewegungen machten auf eine weitere Grenze der Rückholung von Krypto-Assets aufmerksam. Ripple kann natives XRP in Wallets unter Kontrolle des Angreifers nicht einfrieren – anders als Stablecoin-Herausgeber wie Tether und Circle, die Herausgeber von USDT und USDC, die bestimmte Adressen auf eine Sperrliste setzen können.

THORChains Weigerung, Adressen zu sperren, die mit dem Bitget-Angreifer in Verbindung stehen, löste zudem einen Streit mit Bitget-CEO Gracy Chen aus. Chen argumentierte, dass Dezentralisierung Infrastruktur nicht schützen dürfe, die die Bewegung identifizierbarer gestohlener Gelder erleichtert. THORChain hielt dagegen, dass seine Architektur eine selektive Zensur einzelner Transaktionen nicht unterstütze.

Die Kontroverse erinnerte an den Bybit-Hack vom Februar 2025, als Angreifer THORChain nutzten, um rund 1,4 Milliarden US-Dollar in gestohlenen Assets zu waschen. Der Vorfall führte zu Meinungsverschiedenheiten unter Mitwirkenden darüber, ob das Netzwerk Transaktionen im Zusammenhang mit krimineller Aktivität einschränken sollte. Bybit verklagte später Nordkorea und erreichte ein Asset-Freeze.

Der jüngste Vorfall hat die Aufmerksamkeit erneut auf THORChains permissionless Cross-Chain-Modell gelenkt, das Transaktionsgebühren aus Swaps generiert. Steigende Aktivität kann der Ökonomie des Protokolls zugutekommen, doch hackbedingte Flüsse stellen nicht zwangsläufig eine nachhaltige organische Nachfrage nach seinen Diensten dar.

Die mit Binance verbundenen Transfers verdeutlichen daher den Zielkonflikt im Zentrum von THORChains Design: Seine Cross-Chain-Funktionalität kann Asset-Bewegungen ohne zentrale Genehmigung ermöglichen, während dieselbe Eigenschaft die Fähigkeit von Plattformen einschränken kann, Transaktionen mit identifizierbaren gestohlenen Geldern zu stoppen.