Wallets im Zusammenhang mit dem mutmaßlichen Binance-Hack erhielten Zehntausende ETH von Uniswap-Verträgen und liehen sich auf Aave 19.762 ETH gegen etwa 60 Millionen US-Dollar in USDT. Es gibt keinen Hinweis darauf, dass eine der beiden Anwendungen ausgenutzt wurde.

Zum Zeitpunkt 22:07 UTC lagen etwa 253.000 ETH – im Wert von rund 570 Millionen US-Dollar – in zwei Wallets ohne ausgehende Transfers. Anders als bei zentralisierten Stablecoins gibt es bei ETH keinen Aussteller, der den Vermögenswert einfrieren könnte.

Die Aktivität erfolgte, während der Angreifer hinter den Wallets, die Binance abzapften, dezentrale Börsen und Kreditprotokolle als Exit-Wege nutzte. Etherscan-Aufzeichnungen für 10 Wallets, von denen acht als Exploiter gekennzeichnet sind, zeigen, dass der mutmaßliche Angreifer Stablecoins, die Aussteller einfrieren können, in ETH umwandelte, das von keinem Aussteller eingefroren werden kann.

Wallets der größten Kryptobörse der Welt wurden am Donnerstag um mindestens 5,5 Milliarden US-Dollar erleichtert, wobei die Gesamtsumme weiter steigt. Binance sagte, es untersuche einen Sicherheitsvorfall, bestätigte jedoch nicht, ob Nutzerfonds betroffen seien. Sicherheitsexperten gehen weitgehend davon aus, dass die Börse tatsächlich gehackt wurde. Bei Bestätigung wäre der Vorfall der größte Hack in der 18-jährigen Geschichte der Kryptobranche.

Die Stablecoin-Aussteller Tether und Circle sperrten rasch Adressen, die mit dem mutmaßlichen Angreifer in Verbindung stehen, um einen Teil der Mittel einzufrieren und unzugänglich zu machen. Als zentralisierte Aussteller können beide Unternehmen Adressen auf die schwarze Liste setzen, sodass ihre Token nicht bewegt werden können. Mehr als 2 Milliarden US-Dollar in USDT und USDC wurden bisher von verschiedenen Stablecoin-Anbietern eingefroren. ETH hat keinen Aussteller, was bedeutet, dass in ETH umgewandelte Mittel vor einem Einfrieren nicht mehr auf dieselbe Weise blockiert werden können.

Die Swaps liefen über Uniswap, eine dezentrale Börse, auf der Trades automatisch abgewickelt werden, ohne dass ein Unternehmen als Vermittler auftritt. Eine Relay-Wallet erhielt um 20:34 UTC 20.940 ETH im Wert von 45,58 Millionen US-Dollar vom UniswapX-Vertrag von Uniswap. Eine weitere erhielt um 20:47 UTC 3.552 ETH im Wert von mehr als 8 Millionen US-Dollar.

Zwei nachfolgende Wallets erhielten etwa 18.085 ETH im Wert von rund 41 Millionen US-Dollar von Uniswap-Verträgen, in Tranchen von 7.444 ETH und 10.642 ETH. Sie erhielten außerdem etwa 16.498 ETH im Wert von 37,5 Millionen US-Dollar in Tranchen von 6.946 ETH und 9.552 ETH.

Aave, eine Kreditanwendung, bei der Nutzer Kryptowährungen als Sicherheiten hinterlegen und andere Assets leihen können, bot einen zweiten Exit-Weg. Zwischen 20:57 und 21:01 UTC hinterlegte eine Wallet 10 Millionen und dann 50 Millionen US-Dollar in USDT. Dagegen lieh sie 3.271 ETH im Wert von 7,43 Millionen US-Dollar und anschließend 16.491 ETH im Wert von 37,47 Millionen US-Dollar. Der Kreditweg führt zum selben Ziel wie die Swaps: Die hinterlegten Stablecoins bleiben als Sicherheiten zurück, während das geliehene ETH keinen Aussteller hat, der es einfrieren könnte.

Die Transaktionen veranlassten Odysseas Lamtzidi, Gründer des Cybersecurity-Unternehmens Phylax Systems, vor einer „kontagion in full effect“ zu warnen.

Update: They just approved AAVE. Contagion in full effect — Odysseus | phylax.systems (@odysseas_eth) October 29, 2026

Aave hat inzwischen seine V3-Märkte auf dem Ethereum-Mainnet eingefroren, was neue Einlagen und Kreditaufnahme blockiert. Der Schritt unterstreicht einen strukturellen Unterschied in den Reaktionsmöglichkeiten der Branche: Stablecoin-Aussteller setzen einzelne Adressen auf die schwarze Liste, während dezentrale Protokolle gesamte Märkte pausieren.

Kamino, ein auf Solana aufgebautes DeFi-Protokoll, pausierte seine Solana- und Bitcoin-Märkte ebenfalls vorsorglich. Kamino erklärte, es sei von der Binance-Situation nicht betroffen und habe die Kreditaufnahme im SOL/BTC-Markt vorübergehend ausgesetzt, während es die Lage beobachte und mit Partnern kommuniziere.

Kamino can confirm that it is currently unaffected by the ongoing Binance situation Out of an abundance of caution, we have temporarily paused borrowing in the SOL/BTC Market We are actively monitoring the situation and are in communication with various partners. Any further… — Kamino (@kamino) October 29, 2026

Das ETH hat sich in den mutmaßlichen Exploiter-Wallets angesammelt, statt sich weiterzubewegen. Eine als Exploiter 8 gekennzeichnete Wallet hielt um 22:03 UTC 195.460 ETH im Wert von 444,2 Millionen US-Dollar. Weitere 57.891,77 ETH im Wert von 131,6 Millionen US-Dollar waren bei einer als Exploiter 11 gekennzeichneten Wallet eingegangen. Zusätzlich beliefen sich die Bestände auf etwa 253.000 ETH bzw. rund 570 Millionen US-Dollar.

Die zweite Gruppe der Mittel kam nach vier Transfers innerhalb von 28 Minuten an: von Exploiter 4 zu Exploiter 5, von 5 zu 6, von 6 zu 7 und von 7 zu 11.

Der Angreifer tauschte außerdem 36 Millionen RLUSD, Ripples dollargebundenen Stablecoin, in 15.439 ETH um. Weitere 52,54 Millionen RLUSD waren in der Verwahr-Wallet noch nicht eingefroren, wie aus einer on-chain-Aktualisierung hervorgeht, die auf X kursiert. Etherscan zeigte um 20:41 UTC etwa 88,5 Millionen US-Dollar in RLUSD in der wichtigsten Empfänger-Wallet, was der Summe der beiden Beträge entspricht. Ob das verbleibende RLUSD vollständig eingefroren wird, ob sich das angesammelte ETH in Bewegung setzt, ob Aave und Kamino ihre pausierten Märkte wieder öffnen und ob Binance die Auswirkungen auf Nutzerfonds beziffert, sind die unmittelbaren Entwicklungen, die zu beobachten sind.

Binance-Co-CEO Yi He sagte, Ripple habe inzwischen etwa 200 Millionen US-Dollar in RLUSD eingefroren, zusätzlich zu mehr als 2 Milliarden US-Dollar in USDT und USDC, die von Stablecoin-Anbietern eingefroren wurden.

„Thanks to the Ripple team for promptly freezing approximately 200 million. User Funds are SAFU“, schrieb Yi He auf X, in Anspielung auf den Notreservefonds der Börse.

„Ripple is closely monitoring reports of a potential exploit involving Binance and its attackers‘ RLUSD holdings and we are actively freezing affected funds“, erklärte Jack McDonald, Ripples Senior Vice President für Stablecoins, in einer Stellungnahme. „We’re coordinating with relevant parties and stand ready to support any investigation and appropriate action to keep users protected.“

Ripple is closely monitoring reports of a potential exploit involving Binance and its attackers‘ RLUSD holdings and we are actively freezing affected funds. We’re coordinating with relevant parties and stand ready to support any investigation and appropriate action to keep users… — Jack McDonald (@JackMcDonald) October 29, 2026

Tornado Cash, ein Mixer, der die Spur von Krypto-Zahlungen verschleiert, ist bisher offenbar nur als Finanzierungsquelle für die Adresse aufgetreten, die den Angriff einrichtete.

Für einen Einblick, wie sich Vorfälle dieses Ausmaßes zuvor entwickelt haben, ist der Bybit-Hack der jüngste Präzedenzfall: Nach diesem Angriff wandelte Nordkoreas Lazarus Group laut dem CEO von Bybit 84,45 % des gestohlenen ETH über Thorchain, ein Cross-Chain-Swap-Netzwerk, in Bitcoin um. Monero, eine Privacy-Coin, die die Identität der Transaktionsteilnehmer verbirgt, stieg am Donnerstag um etwa 6 %, was auf eine mögliche Rotation in die Privacy-Coin hindeutet.

Quelle: https://decrypt.co/382194/binance-hack-exit-ramps-defi-exchange-ethereum