Hacker leerten am Donnerstag, den 29. Oktober, rund 6,36 Mrd. USD aus den Hot Wallets von Binance auf zehn Blockchains und vollstreckten damit den größten Krypto-Diebstahl aller Zeiten – eine Beute, die mehr als viermal so groß ist wie der Bybit-Hack vom Februar 2025 (1,5 Mrd. USD), der bisherige Rekord. Laut dem Unternehmen begann der Angriff mit einem kompromittierten Laptop eines Mitarbeiters, und der Großteil der Mittel war innerhalb von etwa 20 Minuten verschwunden. Tether und Circle froren innerhalb einer Stunde rund 2,6 Mrd. USD der gestohlenen Stablecoins ein, und Binance beziffert den verifizierten eingefrorenen Gesamtbetrag nun auf rund 3 Mrd. USD. Das Unternehmen hat zugesagt, jeden Kundenschaden zu übernehmen, und hat Abhebungen ausgesetzt, die es voraussichtlich bis Sonntag wieder öffnet.

Die Märkte reagierten sofort. BNB fiel innerhalb einer Stunde um 8,7 %, Bitcoin rutschte unter 77.000 USD, und Hebelpositionen im Wert von rund 1,5 Mrd. USD wurden ausgelöscht.

Breaking: The hackers behind the $6B #Binance hack, $1.5B #Bybit hack, and $388M #Bitget hack may all be linked to North Korea's Lazarus Group. — Lookonchain (@lookonchain) October 30, 2026

Was ist beim Binance-Hack passiert?

Der Angreifer brachte Binances eigene Systeme dazu, Abhebungen aus den Hot Wallets zu signieren – den Online-Wallets, die eine Börse zur Auszahlung an Kunden nutzt und die typischerweise nur eine Arbeitsreserve halten, während der Großteil der Kundengelder in Offline-Cold Storage liegt. Am Freitag erklärte Binance, die ersten Erkenntnisse deuteten auf einen kompromittierten Laptop eines DevOps-Ingenieurs hin, der dem Angreifer den Zugriff auf einen Service-Container ermöglichte und das Einreichen unbefugter Abhebungstransaktionen erlaubte. Das Unternehmen fand „no evidence of any wallet private key leak.“

Binance's initial investigation suggests that the security incident may involve a compromised DevOps engineer's laptop, which allowed an attacker to gain access to a service container and submit unauthorized withdrawal transactions. We have found no evidence of any wallet private… pic.twitter.com/5REncAI77y — Binance (@binance) October 30, 2026

Der Raub war mehr als einen Tag zuvor vorbereitet worden. Eine Rekonstruktion des Blockchain-Analyseunternehmens TRM Labs legt den Zeitverlauf dar (alle Zeiten UTC):

• 28. Oktober, morgens: die Operator-Wallet des Angreifers wurde mit drei kleinen Abhebungen aus dem Tornado-Cash-Mixer finanziert, einem Datenschutz-Tool, das das US-Finanzministerium 2022 sanktionierte.
• 29. Oktober, früher am Tag: der Angriffscode wurde an zwei Wallets getestet, an einer dritten geprobt und rund vier Stunden später in einer Binance-Hot-Wallet installiert.
• 20:05–20:09: fünf Binance-XRP-Ledger-Wallets sendeten 233,46 Millionen XRP an eine einzige Adresse.
• 20:20: eine Binance-Bitcoin-Hot-Wallet sendete 18.270 BTC, eine Tron-Wallet folgte binnen zwei Minuten mit 612,7 Millionen USDT.
• 20:23: die Ethereum-Haupt-Hot-Wallet wurde geleert: 167.464 ETH und 1,615 Mrd. USDT.
• 21:29: Binance verkündete, es untersuche „a potential security issue.“
• 23:05: eine zweite Welle traf Binance-Wallets auf Avalanche und Polygon.

Auf Ethereum nutzte der Angreifer EIP-7702, eine Funktion der Pectra-Aktualisierung vom Mai 2025, die es einer Standard-Wallet ermöglicht, die Kontrolle an einen Smart Contract zu übergeben. Die Hot Wallet signierte 50 solcher Übergaben an einen „Sweeper“-Contract, sodass neu eingehende Einlagen über Stunden weiter abgeschöpft wurden – TRM zählte sechs weitere Sweeps zwischen 20:41 und 23:56.

TRM schreibt den Angriff „mit hoher Wahrscheinlichkeit“ TraderTraitor zu, der mit Nordkorea verbundenen Einheit, die das FBI für den 1,5-Mrd.-USD-Bybit-Hack im Februar 2025 verantwortlich macht. US-Behörden verfolgen nordkoreanische Cyberoperationen unter Bezeichnungen, die sowohl Lazarus Group als auch TraderTraitor umfassen, und UN-Ermittler haben die Krypto-Diebstähle des Landes – in den letzten Jahren Milliardenbeträge – mit der Finanzierung seiner Waffenprogramme in Verbindung gebracht. Binance hat keinen Täter namentlich benannt.

Wie viel wurde gestohlen, und wie viel wurde eingefroren?

Etwa 6,36 Mrd. USD verließen Binance, und rund 2,7 Mrd. USD davon sind eingefroren, so die Zählung von TRM am Freitag um 00:30 UTC, bewertet zu den Kursen zum Zeitpunkt der jeweiligen Transfers. Binance selbst spricht von „rund 6,3 Mrd. USD“ Diebesgut und rund 3 Mrd. USD verifiziert eingefroren, und der Betrag könne noch steigen.

Ethereum traf der härteste Schlag, mit etwa 3,79 Mrd. USD, gefolgt von den 18.270 BTC aus der Bitcoin-Wallet im Wert von etwa 1,47 Mrd. USD.

Stablecoins erwiesen sich als Schwachstelle des Angreifers, da deren Emittenten Adressen sperren können. Die Einfrierungen gingen schnell:

• Circle: froren 823 Millionen USDC in der Hauptempfangs-Wallet um 21:04 UTC ein. CEO Jeremy Allaire sagte auf X, Circle habe „in coordination with law enforcement“ gehandelt.
• Tether: froren 971,1 Millionen USDT um 21:01 ein, und CEO Paolo Ardoino bezifferte die Summe um 21:25 auf über 1,567 Mrd. USDT. TRM zählt inzwischen etwa 1,77 Mrd. USDT, die auf Ethereum, Tron, Avalanche und Polygon eingefroren sind.
• Ripple: froren 40,5 Millionen RLUSD um 22:01 ein, nachdem der Angreifer bereits 48 Millionen auf dezentralen Börsen verkauft hatte.
• World Liberty Financial: froren 27,8 Millionen USD1 ein.
• Arbitrum: sein Sicherheitsrat veranlasste die Entfernung von 8.426 ETH und 74,6 Millionen ARB – etwa 30 Millionen USD – aus der Wallet des Angreifers.

Der Rest ist in Bewegung. Laut TRM kontrolliert der Angreifer noch etwa 2,4 Mrd. USD, einschließlich des gestohlenen Bitcoin, der in 1.000-BTC- und 100-BTC-Stücke aufgeteilt wird. Etwa 325 Millionen USDT wurden über UniswapX gegen rund 122.300 ETH getauscht, wobei der Angreifer mehr als 10 % über dem Marktpreis für das Ether zahlte – der Preis, um vor Tethers Eingreifen auszusteigen, da Ethereum von einem Emittenten nicht eingefroren werden kann.

Ein eingefrorener Saldo ist jedoch nicht dasselbe wie Geld, das zurück in Binances Händen ist. Seine Freigabe erfordert die Emittenten, Strafverfolgungsbehörden und in einigen Fällen Gerichte – und keiner davon hat einen Zeitplan genannt.

CZ warnte tagelang vor Phishing. Was hat Binance seitdem gesagt?

Binances Gründer Changpeng Zhao (CZ) hatte die Woche damit verbracht, Trader aufzufordern, ihre Konten abzusichern. Am 23. Oktober argumentierte er, dass KI für Krypto-Nutzer durch geleakte Daten und schärferes Phishing eine größere Bedrohung darstellt als jeder Angriff auf die Verschlüsselung selbst. Am Mittwoch veröffentlichte er eine Sicherheitscheckliste, nachdem es an einem einzigen Tag vier Datenlecks gegeben hatte – beim Coinbase-Anbieter Amplitude, bei Koreas Bithumb und zwei koreanischen Brokern. Sein Spruch zu Datenschutzverletzungen: „scammers move fast after one.“ Am nächsten Tag war seine eigene Börse in den Schlagzeilen.

Binance hat nicht erklärt, wie der Laptop des Ingenieurs kompromittiert wurde, doch der Vorfall deutet auf dieselbe Schwachstelle hin, die CZ immer wieder anprangerte: das Gerät einer einzelnen Person. FBI-Hinweise zu TraderTraitor beschreiben Täter, die Mitarbeiter der Krypto-Branche mit gefälschten Stellenangeboten ansprechen, um Malware zu installieren – ein Vorgehen, das auf Einzelpersonen und nicht auf Börsen-Code abzielt.

Seit dem Diebstahl wiederholen CZ und Co-CEO Yi He eine Botschaft: die Nutzer werden nicht für die Verluste aufkommen. „Loss might be a bit higher than that, but will cover“, antwortete CZ am Donnerstagabend. Stunden später fügte er hinzu: „It hurts, but we will survive.“

Die neuesten Entwicklungen, Stand Freitagmorgen:

• Abhebungen: auf allen Netzwerken ausgesetzt. In einer Service-Update-Meldung um 04:36 UTC erklärte Binance, es baue seinen Auszahlungsdienst und seine Adressen neu auf und rechne mit einer Wiederaufnahme „innerhalb von 48 Stunden“.
• Einzahlungen: funktionieren normal.
• Weitere Dienste: der Handel auf Binance Alpha ist ausgesetzt, und die PREDICT-Listung vom Freitag wurde verschoben.
• Grundursache: „multiple factors“; ein vollständiger Abschlussbericht folgt.
• Binance.US: nicht betroffen, da es als eigenständige Plattform betrieben wird.

Das Phishing-Risiko hat sich nun auch auf Binances Nutzer verlagert. In ihrem neuesten Beitrag am Freitag bat Yi He die Nutzer, nur offiziellen Binance-Kanälen zu vertrauen und keine inoffiziellen Links anzuklicken oder Kontodaten weiterzugeben. Gefälschte „Erstattungs“- und „Abhebungsüberprüfungs“-Nachrichten folgen typischerweise auf einen Hack dieser Größenordnung.

Wie reagierten die Märkte auf den Binance-Hack?

Mit einem schnellen Abverkauf, gefolgt von einer teiligen Erholung. BNB, Binances eigener Token, fiel in der Stunde nach 20:00 UTC von 744,90 USD auf 680 USD, ein Rückgang von 8,7 %. Bitcoin fiel bis zum frühen Freitag von 80.849 USD auf 76.500 USD, Ether von 2.337 USD auf 2.174 USD.

Hebel verstärkten den Schaden. CoinGlass weist Liquidationen von 1,55 Mrd. USD über 24 Stunden aus, die 239.610 Trader trafen; 83,6 % davon – 1,29 Mrd. USD – stammten aus Long-Positionen. Bitcoin-Positionen machten 501,6 Millionen USD aus, Ethereum 360,6 Millionen USD. Binance selbst wickelte 49,4 % der Gesamtsumme ab, darunter der größte Einzelauftrag: eine 11,09-Millionen-USD-BTCUSDT-Long-Position, geschlossen bei 79.254,71 USD.

Der Crypto Fear & Greed Index fiel von 51 auf 30, in den Bereich „Angst“. Bitcoin-Tief kam innerhalb von 30 USD an seinen 200-Tage-EMA bei 76.473 USD heran, und Käufer griffen dort ein. Derzeit notiert er nahe 78.000 USD.

Kann BNB 680 USD nach dem Binance-Hack halten?

Bisher ja. BNB erholte sich bis 03:00 UTC auf 720 USD, als Binance bekräftigte, alle Verluste zu übernehmen, doch Verkäufer stoppten die Erholung, und der Token notiert wieder bei 706 USD, 6,2 % niedriger in 24 Stunden.

• Widerstand: 720 USD, das Erholungshoch vom Freitag, dann 745,74 USD, wo BNB vor dem Hack handelte.
• Unterstützung: 692,49 USD, der 200-Tage-EMA, dann 680 USD, das Tief der Hack-Stunde. Darunter liegt 674,60 USD, das Tief vom 1. September.

Der nächste Test ist das 48-Stunden-Fenster. Wenn Binance die Abhebungen bis Sonntagmorgen wieder öffnet, ohne dass es zu einem Massenabfluss kommt, dürfte das Schlimmste dieses Hacks bereits eingepreist sein. Verschiebt sich die Wiedereröffnung, ist 680 USD das Level, das es zu beobachten gilt. Abseits der Charts bleiben zwei offene Fragen: der vollständige Abschlussbericht, den Binance versprochen hat, und der Prozess – Emittenten, Strafverfolgungsbehörden und in einigen Fällen Gerichte –, der bestimmt, wann die rund 3 Mrd. USD eingefrorenen Vermögenswerte tatsächlich zurückgegeben werden.