Drei Blockchain-Analysefirmen haben den Hackerangriff auf Binance in dieser Woche Nordkorea zugeschrieben, wobei die beiden größten – TRM Labs und Chainalysis – die nordkoreanische Hackergruppe TraderTraitor als verantwortlich für den von beiden als größten Krypto-Diebstahl aller Zeiten bezeichneten Angriff benennen.

TRM Labs erklärte, die Zuordnung erfolge „mit hoher Konfidenz“ auf Basis „robuster On- und Off-Chain-Intelligenz“. Die Firma beziffert den Diebstahl auf rund 6,36 Milliarden US-Dollar, die aus Binance-Wallets auf 10 Blockchains abgeflossen sind, wobei der Großteil innerhalb von etwa 20 Minuten ab 16:05 Uhr ET am Donnerstag abfloss. Das ist etwa viermal so viel wie der Bybit-Hack vom Februar 2025 in Höhe von 1,5 Milliarden US-Dollar, den das FBI derselben Gruppe zuschrieb, wie TRM anmerkte.

Chainalysis, das die Gesamtsumme auf etwa 6,4 Milliarden US-Dollar schätzt, erklärte, der stärkste Beweis sei ergbracht, als seine Ermittler sahen, wie gestohlene Binance-Mittel in Echtzeit mit den Erlösen des Bitget-Exploits vom letzten Monat vermischt wurden, der nordkoreanischen Akteuren zugeschrieben worden war. Ein Chainalysis-Sprecher sagte gegenüber CNN, das Unternehmen sei sich „mit hoher Konfidenz“ sicher, dass Nordkorea hinter dem Angriff stehe.

Auch das in Singapur ansässige Pangolin Intelligence teilte CNN mit, es halte eine nordkoreanische Hackereinheit für verantwortlich, gestützt auf „die Analyse der mit diesem Angriff verbundenen On-Chain-Aktivitäten und die Abstimmung mit Informationen aus früheren bekannten Vorfällen“. Nordkorea hat Hacker-Vorwürfe in der Vergangenheit zurückgewiesen.

Wie der Angriff funktionierte

TRM und Chainalysis erklärten beide, die Wallet des Angreifers sei über Tornado Cash, einen Krypto-Mixer, finanziert worden. TRM sagte, dies und weitere Merkmale – darunter Vorbereitungen, die lange vor dem Diebstahl begannen – stimmten mit früheren Nordkorea zugeschriebenen Angriffen wie dem Bybit-Hack und dem KelpDAO-Exploit im April überein.

Auf Ethereum nutzte der Angreifer eine EIP-7702-Delegation – eine Funktion aus Ethereums Pectra-Upgrade, die es einer normalen Wallet ermöglicht, Smart-Contract-Code auszuführen – um laut TRM eine Binance-Hot-Wallet (eine mit dem Internet verbundene Wallet) in einen Sweeper unter seiner Kontrolle zu verwandeln, mit 50 im Voraus vorbereiteten vorsignierten Autorisierungen. Ein Sweeper überträgt automatisch alle an eine Adresse gesendeten Mittel heraus. Die Binance-Wallets auf den anderen neun Chains sendeten die Mittel über gewöhnliche signierte Transfers an den Angreifer. Nach TRMs Einschätzung deutet dies auf eine Kompromittierung der Signatur-Infrastruktur der Binance-Hot-Wallets hin.

Binance hat erklärt, seine Untersuchung habe mit dem kompromittierten Laptop eines Ingenieurs begonnen, inzwischen jedoch „zusätzliche Einstiegspunkte“ entdeckt. Auch der Bybit-Angriff begann mit einer einzigen kompromittierten Maschine: Nordkoreanische Hacker hatten nach der Kompromittierung des Computers eines Safe-Entwicklers bösartigen Code in der Infrastruktur des Wallet-Anbieters Safe platziert, wie Decrypt seinerzeit berichtete.

Schnelle Geldwäsche, wachsende Einfrierungen

Der Angreifer hat rasch damit begonnen, was er nicht behalten konnte, zu waschen. Chainalysis erklärte, man beobachte „nie dagewesene Wäscheprozesse“ mit Tausenden Transaktionen in kurzer Zeit, was auf den Einsatz von Automatisierung hindeutet, um Mittel wiederholt zwischen Adressen zu bewegen.

Der Angreifer verkaufte USDT an Market Maker und lieh sich ETH gegen USDT auf dem Lending-Protokoll Aave, um den Einfrierungen der Emittenten zuvorzukommen, so TRM. Er hält nun mehr als 420.000 ETH und 18.270 BTC – rund 2,4 Milliarden US-Dollar, die für keinen Emittenten erreichbar sind, da weder ETH noch BTC ein ausgebendes Unternehmen mit Einfrierungsmöglichkeit haben.

Tether, Circle, Ripple und World Liberty Financial haben etwa 2,67 Milliarden US-Dollar in Stablecoins eingefroren, und der Arbitrum Security Council frierte 8.426 ETH und 74,6 Millionen ARB ein, so TRM. Binance beziffert die Gesamtsumme der eingefrorenen Mittel auf etwa 3 Milliarden US-Dollar.

Binance verpflichtet sich zur Deckung der Nutzer-Verluste

Binance hat begonnen, betroffene Assets für die Nutzer zurückzugewinnen und arbeitet weiterhin mit Strafverfolgungsbehörden, Emittenten, Blockchain-Analysefirmen und Industriepartnern zusammen, um weitere Mittel aufzuspüren, einzufrieren und zurückzugewinnen.

Binance has begun recovering affected assets for users and continues to work with law enforcement, issuers, blockchain intelligence firms and industry partners to trace, freeze and recover additional funds. The company has already publicly committed to cover losses through… pic.twitter.com/UqtBd37Fpj

— Binance (@binance) October 30, 2026

In einem Update am Freitag erklärte die Börse, sie habe mehr als 6,34 Milliarden US-Dollar an Unternehmensmitteln für den Vorfall zurückgelegt, wovon 5 Milliarden bereits in exakt den gestohlenen Token gehalten werden. Den Rest kauft sie über Markt- und OTC-Kanäle ein, was „länger dauern kann, da einige Token möglicherweise geringe Liquidität aufweisen“, so Binance. Diese Zahlen umfassen keine eingefrorenen Assets. Wie schnell diese Käufe abgeschlossen werden können, das volle Ausmaß der Kompromittierung und ob weitere gestohlene Mittel eingefroren oder zurückgewonnen werden können, bleiben offene Fragen, während die Untersuchung andauert.

„Wir werden diesen Sturm überstehen“, erklärte Binance.

Ein langjähriger Gegner

Nordkoreanische Hacker haben die Börse schon lange im Visier. Im August 2025 sagte Binance-Sicherheitschef Jimmy Su gegenüber Decrypt, nordkoreanische Angreifer versuchten jeden Tag, bei Binance eingestellt zu werden, und nannte sie die größte Bedrohung für Krypto-Unternehmen.

Am Mittwoch – einen Tag vor Beginn des Diebstahls – verhängte das US-Finanzministerium Sanktionen gegen 10 Einzelpersonen und eine Entität wegen nordkoreanischer IT-Arbeiter-Systeme, über die Millionen US-Dollar in Krypto bewegt wurden.