Der Diebstahl von 6,3 Milliarden US-Dollar bei Binance am 29. Oktober ist der größte Krypto-Diebstahl der Geschichte. In den Tagen danach haben Sicherheitsgruppen, On-Chain-Ermittler und Versicherer jeweils neue Details veröffentlicht, die zusammen zeigen, wie sich der Angriff entwickelte und was mit dem Geld geschehen ist.

🚨 NORTH KOREA-LINKED HACKERS MAY HAVE INFILTRATED BINANCE 8 WEEKS BEFORE THE $6.3 BILLION HACK. According to cybersecurity group SEAL, attackers may have gained access to Binance's internal systems as early as September. The attack reportedly involved fake job interviews,… — Nehal (@nehalzzzz1) November 6, 2026

https://x.com/nehalzzzz1/status/2118731305768906983?ref_src=twsrc%5Etfw

Falsche Recruiter und ein Zeitfenster von acht Wochen

Security Alliance, eine gemeinnützige Cybersecurity-Gruppe, die als SEAL bekannt ist, teilte mit, dass Hacker mit Verbindungen zu Nordkorea im September das Gerät eines Binance-Softwareingenieurs kompromittiert hatten. Nach Angaben der Gruppe verschafften sich die Eindringlinge über ein gefälschtes Recruiting-Verfahren Zugang; das Eindringzeitfenster wird auf rund acht Wochen vor dem Angriff geschätzt.

So verlief der Angriff

Binance hat eine längere Zeitleiste genannt. Ein Sprecher erklärte, die ersten Geräte-Kompromittierungen seien im Juni und September erfolgt, doch die Angreifer erlangten den für Wallet-Vorgänge nötigen Zugriff erst am 20. Oktober. SEAL wies darauf hin, dass seine Achtwochen-Angabe nur den Zeitraum September bis Oktober abdeckt und nicht den Beginn der breiter angelegten Kampagne, die die Börse beschrieben hat.

Der Angriff im Juni begann, als ein anderer Mitarbeiter eine manipulierte Homebrew-Installation herunterlud, während er versuchte, ein KI-Coding-Tool einzurichten. Binance entdeckte den Vorfall, ersetzte das Gerät und rotierte die zugehörigen Zugangsdaten, doch zu diesem Zeitpunkt hatten die Angreifer bereits Informationen über Mitarbeiter gesammelt, die an der Wallet-Infrastruktur arbeiteten.

Am 20. Oktober nutzten die Angreifer den kompromittierten Computer des Ingenieurs und ein internes KI-Tool, um die Kontrolle über die Geräte von zwei Wallet-Infrastruktur-Ingenieuren zu übernehmen. Anschließend fanden sie ein Deployment-Berechtigungstoken, das beim Angriff am 29. Oktober verwendet wurde.

SEAL identifizierte mindestens vier Scheinfirmen, die mit den gefälschten Recruiting-Kampagnen im Jahr 2026 in Verbindung stehen: citalab.net, citalab.com, bitfit.io und oddium.io. Die Gruppe erklärte, ähnliche mehrstufige Muster seien bei anderen Diebstählen aufgetreten. Nach ihren Schätzungen hatten die Angreifer vor dem Bitget-Hack über 388 Millionen US-Dollar rund sechs Wochen lang Zugang, vor der Schwachstelle hinter dem Kelp-DAO-Exploit über 293 Millionen US-Dollar ebenfalls rund sechs Wochen Zugang zu LayerZero, und vor dem AFX-Exploit über 24 Millionen US-Dollar etwa drei Wochen.

Das FBI ordnete den Angriff der nordkoreanischen Gruppe TraderTraitor zu. Kim Yo Jong, die Schwester des nordkoreanischen Machthabers Kim Jong Un, wies den Vorwurf zurück.

Eingefrorene Mittel und Marktreaktion

Sentora, ein DeFi-Analytics-Unternehmen, bezeichnete die Reaktion als die größte koordinierte On-Chain-Einfrierung von Assets in der Geschichte von DeFi. Circle sperrte 823 Millionen USDC in einer einzelnen Wallet, bevor der Angreifer sie bewegen konnte. Ripple fror etwa 40 Millionen US-Dollar in RLUSD ein, und World Liberty Financial fror 27 Millionen US-Dollar in USD1 sowie 48 Millionen WLFI-Token ein. Die Stablecoin-Einfrierungen allein belaufen sich auf rund 890 Millionen US-Dollar. Bitcoin und Ether haben keinen Herausgeber, der Mittel auf diese Weise sperren könnte; Sentora fand nach der Eindämmung 18.270 BTC und mehr als 420.000 ETH unter den Beständen des Angreifers.

Die DeFi-Kreditmärkte verzeichneten an einem einzigen Tag Nettoabflüsse von 1,59 Milliarden US-Dollar, etwa 3 % des Total Value Locked. Rund 60 % dieses Geldes kehrten innerhalb von drei Tagen zurück, und Sentora fand in den untersuchten Märkten keine Bad Debt. Zum Vergleich: Der Kelp-DAO-Exploit im April löste über fünf Tage Abhebungen von 10,9 Milliarden US-Dollar aus, etwa 21 % des gebundenen Kreditwerts, wovon in diesem Zeitraum nichts zurückkehrte. Sentora führte den Unterschied darauf zurück, wo sich die betroffenen Assets befanden: Der Verlust von Binance blieb auf der Börse, während das Asset von Kelp als Sicherheit in den Kreditmärkten diente.

Elliptic erklärte, dass Stand 6. November etwa 1.650 BTC im Wert von 124 Millionen US-Dollar aus anderen gestohlenen Assets umgewandelt worden seien, fast doppelt so viel wie am Vortag. Der Großteil des Wachstums stammte aus XRP, die über THORChain getauscht wurden. Die ursprünglichen 18.270 BTC blieben über 19 Adressen hinweg unangetastet. Das Analytics-Unternehmen zählte mehr als 20.000 Wallets und 65.000 Transaktionen über 16 Blockchains hinweg, wobei sich etwa 3,11 Milliarden US-Dollar weiterhin auf Diebstahl zugeordneten Adressen befinden.

Binance stellt die meisten betroffenen Assets wieder her

Binance erklärte am 4. November, etwa 98 % der betroffenen Assets mit Unternehmensmitteln ersetzt zu haben. Die verbleibenden 2 % betreffen weniger liquide Token, die über Markt- und OTC-Kanäle gekauft werden. Am 5. November bat das Unternehmen die Arbitrum DAO um Zustimmung zur Rückgabe von 8.425,997 ETH und 74.559.805,2 ARB, ein Prozess, der voraussichtlich etwa 49 Tage dauern wird. Diese beiden Punkte – der Rückkauf und die DAO-Zustimmung – sind die noch offenen Bestandteile der Wiederherstellungsmaßnahmen.

Versicherer schauen genauer hin

Reuters berichtete am Freitag, dass Versicherer ihre Krypto-Kunden genauer befragen. Jacqueline Quintal von Marsh erwartet keine wesentlichen Änderungen bei Preisen, Deckung oder Kapazität, allerdings könnten Versicherer von Kunden die Behebung von Schwachstellen verlangen, und viele Policen schließen staatlich unterstützte Angriffe aus – ein relevanter Ausschluss angesichts der Zuordnung dieses Diebstahls durch das FBI zu Nordkoreas TraderTraitor-Gruppe.

Dieser Artikel erschien ursprünglich auf CoinCentral.