Rund die Hälfte der 6,43 Milliarden US-Dollar, die letzten Monat von Binance gestohlen wurden, ist bislang noch nicht gewaschen, wie das Blockchain-Analyseunternehmen Elliptic in einem Freitag aktualisierten Bericht mitteilte. Mit 6,43 Milliarden US-Dollar ist die Beute mehr als viermal so groß wie der 1,5-Milliarden-Dollar-Hack von Bybit im Februar 2025.

Etwa 3,11 Milliarden US-Dollar befinden sich noch auf Adressen, die mit dem Diebstahl in Verbindung gebracht werden, überwiegend in ETH und Bitcoin. Diese Mittel befinden sich nach Angaben von Elliptic "sehr wahrscheinlich" noch im Besitz Nordkoreas. Weitere 2,85 Milliarden US-Dollar, also 44 Prozent der Beute, wurden eingefroren oder beschlagnahmt – überwiegend Stablecoins, die Emittenten wie Tether und Circle innerhalb einer Stunde nach dem Diebstahl eingefroren haben. Zum Vergleich: Nach dem 1,5-Milliarden-Dollar-Hack von Bybit im Februar 2025 waren laut Elliptic nur rund 3 Prozent eingefroren.

Es wird davon ausgegangen, dass bislang nur ein vernachlässigbarer Anteil der gestohlenen Mittel abgeflossen ist. Elliptic erwartet, dass der Angreifer die Mittel in Bitcoin umwandelt und sie über mehrere Monate hinweg über OTC-Broker (Over-the-Counter) abfließt – ein Muster, das dem Vorgehen nach dem Bybit-Hack 2025 entspricht.

In einem am Freitag auf X veröffentlichten Update teilte Elliptic mit, dass das gestohlene XRP sich zu bewegen begonnen habe:

Binance hack update: the XRP has started moving. About $50 million has been swapped, mostly through THORChain into BTC, with about $226 million still to move. Bitcoin converted from other stolen assets is now about 1,650 BTC ($124 million), almost twice the figure a day earlier.…

— Elliptic (@elliptic) November 6, 2026

Das FBI schreibt den Diebstahl vom 29. Oktober nordkoreanischen Hackern zu, die es als TraderTraitor bezeichnet. Nordkorea hat jede Beteiligung bestritten.

Elliptic beschrieb die bislang durchgeführte Geldwäsche als "höchst komplex und eindeutig automatisiert". Sie umfasste mehr als 20.000 Wallets auf 16 Blockchains, mindestens 36 Dienste und mindestens 65.000 Transaktionen – etwa alle 30 Sekunden wurde eine Wallet erstellt.

Die 18.270 BTC, die von Binance gestohlen wurden und zum Zeitpunkt des Diebstahls etwa 1,5 Milliarden US-Dollar wert waren, wurden am Tag des Hacks auf 19 Adressen aufgeteilt und haben sich seitdem nicht bewegt. Die neun größten Ethereum-Adressen, die 89 Prozent des ETH des Angreifers halten, sind seit dem 30. Oktober ebenfalls inaktiv.

Wie sich die Mittel bewegen

Der bislang größte Teil der Geldwäsche – rund 220 Millionen US-Dollar in TRX – lief über Tron. Eine einzelne Distribution-Wallet sendete 684,6 Millionen TRX über 51 Stunden an Hunderte neu erstellte Adressen, auch in der Nacht in Pyongyang. Fast das gesamte TRX wurde anschließend nach Ethereum gebrückt.

Das gesamte gestohlene Solana, zum aktuellen Preis etwa 87 Millionen US-Dollar, wurde getauscht, gebrückt oder gemischt. Der Angreifer hat auch begonnen, das gestohlene XRP zu waschen: Etwa 50 Millionen US-Dollar wurden bislang umgewandelt, rund 226 Millionen US-Dollar stehen noch aus. Insgesamt wurden etwa 124 Millionen US-Dollar in Bitcoin umgewandelt, ein Großteil über den Cross-Chain-Dienst THORChain.

Ein kleinerer Teil der Mittel wurde gemischt. Etwa 33 BTC im Wert von rund 2,5 Millionen US-Dollar wurden durch Coinjoins im Wasabi-Stil geschleust, während ungefähr 1,1 Millionen US-Dollar in ETH und SOL in den Privacy-Cash-Pool eingezahlt wurden, der Einzahlungen für etwa einen Tag aussetzte.

Das Tempo hat Spekulationen genährt, dass KI-Agenten die Mittel bewegen. Elliptic zufolge deutet die Evidenz jedoch auf konventionelle Automatisierung hin. "Die Geldwäsche ist eindeutig automatisiert, aber nichts, was wir gesehen haben, zeigt einen KI-Agenten, der Entscheidungen trifft", teilte das Unternehmen mit.

Elliptic erwartet, dass der Angreifer das ETH in Bitcoin umtauscht und das Geld dann über einen Zeitraum von Monaten über OTC-Broker und Börsen abfließen lässt. Nach dem Bybit-Hack wusch Nordkorea alle 499.000 gestohlenen ETH binnen zehn Tagen, brauchte aber Monate, um das Geld vollständig abzufließen, so das Unternehmen. Bis dieser Abfluss abgeschlossen ist, sind die inaktiven Bitcoin- und Ethereum-Adressen, die den Großteil der ungewaschenen Mittel halten, zusammen mit dem Tempo der verbleibenden XRP-Umwandlungen die wichtigsten Indikatoren, die man beim Fortschreiten der Operation beobachten sollte.

Binance stellt Dienste weiter wieder her

Binance hat die Wiederherstellung seiner Dienste nach dem Diebstahl fortgesetzt. Am Freitag teilte die Börse mit, dass Nutzer nun per Zero-Knowledge-Proof des neuesten Proof-of-Reserves-Snapshots verifizieren können, dass ihre Guthaben mindestens im Verhältnis 1:1 hinterlegt sind. Die Börse fügte hinzu, dass sie beabsichtigt, Auszahlungen für alle Token auf wiederhergestellten Netzwerken bis Ende nächster Woche wieder zu öffnen. Ob dieses Ziel erreicht wird, wird der nächste sichtbare Meilenstein der Erholung von Binance sein.