Der Urheber des 6,3-Milliarden-Dollar-Hacks auf Binance hielt Ende September mehr Bitcoin als die kombinierten Investitions- und Betriebsbestände des Krypto-Börsenbetreibers Coinbase, wie Daten von Blockchain-Analyseunternehmen zeigen.

Bitquery, ein Blockchain-Analyseunternehmen, hat 18.270 Bitcoin (BTC) im Wert von rund 1,4 Milliarden US-Dollar zu 19 Adressen zurückverfolgt, die mit dem Angreifer in Verbindung stehen. Coinbase meldete zum 30. September Bestände von 17.954 BTC für Investitionen und 117 BTC für den Betrieb, zusammen 18.071 BTC — die Beute des Hackers überstieg damit die Unternehmensbestände der Börse um 199 BTC. Die Zahlen umfassen nicht die BTC, die Coinbase im Auftrag von Kunden verwahrt.

Auf Basis seines Investitionsbestands von 17.954 BTC rangiert Coinbase laut BitcoinTreasuries.net unter den börsennotierten Unternehmen nach Bitcoin-Beständen auf dem achten Platz.

Binance bestätigte am Freitag, dass das Unternehmen von dem 6,3-Milliarden-Dollar-Hack betroffen war, und teilte mit, dass etwa 3 Milliarden US-Dollar der gestohlenen Assets eingefroren wurden. Die Börse sicherte zu, alle Verluste zu übernehmen. Der Vorfall ist der größte einzelne Kryptodiebstahl, der bislang verzeichnet wurde; Branchenbeobachter hatten zuvor den rund 1,5 Milliarden US-Dollar schweren Angriff auf die Börse Bybit im Februar 2025 als den größten eingestuft. Die Einfrierungsquote, Stand Freitag, lässt rund 3,3 Milliarden US-Dollar der Beute außerhalb dieser Summe, und die bekannten Adressen des Angreifers bleiben öffentlich nachverfolgbar — weitere Einfrierungen sowie mögliche Bewegungen der verbleibenden Gelder sind damit die unmittelbaren Indikatoren für die Wiederherstellungsbemühungen.

Das Blockchain-Intelligence-Unternehmen TRM Labs hat den Angriff der Hackergruppe TraderTraitor zugeschrieben, die mit Nordkorea in Verbindung gebracht wird. TraderTraitor ist die Bezeichnung, die in Beratungen der US-Regierung für nordkoreanische Cyberakteure verwendet wird, deren frühere Operationen den Angriff auf die Ronin-Network-Bridge im Jahr 2022 umfassen; Ermittler der Vereinten Nationen haben berichtet, dass gestohlene Kryptowährungen die Waffenprogramme des Landes mitfinanzieren. Binance teilte mit, dass die Ermittler inzwischen weitere Angriffspunkte aufgedeckt haben, nachdem zunächst ein kompromittierter Laptop eines DevOps-Ingenieurs verdächtigt worden war.

Laut Bitquery befanden sich auf 17 der Bitcoin-Adressen des Angreifers jeweils 1.000 BTC, während sich die übrigen Münzen in zwei weiteren Wallets befanden. Die BTC wurde aus den Hot Wallets von Binance gestohlen — internetverbundenen Wallets, die Börsen zur Abwicklung von Kundenauszahlungen finanziert halten —, während des Angriffs am Donnerstag, der neun Blockchains in weniger als vier Stunden betraf.

Bitquery hat außerdem 508.621 Ether (ETH) zu den Angreifern zurückverfolgt, Stand desselben Freitagsschnappschusses. Das übersteigt die 495.362 ETH, die BitcoinTreasuries.net The Ether Machine zuschreibt, das auf der Liste der Ether-Bestände von Unternehmen den dritten Platz belegt.

Die Angreifer stahlen zunächst 200.630 ETH und erwarben den Rest durch den Umtausch gestohlener Stablecoins und anderer Token, so Bitquery.