Angreifer leerten in etwa 20 Minuten den Großteil von rund 6,3 Milliarden USD aus den Hot Wallets von Binance, und der vollständige Ablauf des Raubs ist inzwischen als Zeitleiste verfügbar. Laut dem Blockchain-Analyseunternehmen TRM Labs ließen sich die Diebe die Transaktionen vom eigenen Signatursystem der Börse signieren.

Eine Krypto-Börse hält Kundengelder teilweise in Hot Wallets, die zur Abwicklung von Auszahlungen online bleiben, während der Rest offline in Cold Storage liegt. Jede Auszahlung durchläuft zunächst eine Signatur-Infrastruktur, die Anfragen anhand interner Richtlinien prüft; erst danach signiert sie diese mit den Schlüsseln der Hot Wallets. Wer diese Schicht kontrolliert, benötigt folglich überhaupt keinen privaten Schlüssel. Binance meldete den Diebstahl am 29. Oktober 2026 und nannte am Folgetag weitere Einfallspunkte.

Das Muster ähnelt stark dem Bybit-Hack vom Februar 2025, bei dem ebenfalls die Genehmigungsschicht versagte und kein Contract-Bug eine Rolle spielte. TRM schreibt den Angriff mit hoher Wahrscheinlichkeit Nordkorea zu. In seiner Rekonstruktion des Angriffs beziffert es den Verlust auf 6,36 Milliarden USD über zehn Chains. Elliptic kommt hingegen auf 6,43 Milliarden USD über elf Chains, wobei jedes Asset zum Zeitpunkt der Übertragung bewertet wurde. Ein von der Börse zugesagter Root-Cause-Bericht soll die genaue Ursache klären.

36 Stunden Vorbereitung über Tornado Cash

Die Vorarbeiten begannen mindestens 36 Stunden vor dem Diebstahl. Ab dem 28. Oktober 2026 erhielt eine neu angelegte Operator-Wallet kleine Beträge über den Mixer Tornado Cash – laut Elliptic drei Abhebungen von jeweils 0,1 ETH. Gegen 16:00 UTC am 29. Oktober 2026 deployeden die Angreifer den Sweeper-Contract auf der Blockchain. Das Programm leert Guthaben in Massen und nimmt Befehle nur von der Operator-Wallet entgegen. Nach Angaben des Sicherheitsunternehmens Immunefi besteht es aus nur rund 130 Codezeilen.

Noch am selben Tag hatten die Angreifer eine erste Version des Codes an zwei Wallets getestet. Etwa vier Stunden vor dem Angriff probten sie die finale Version an einer dritten Wallet, danach flossen die Testgelder an den Operator zurück. Die Angreifer prüften den Code somit zweimal und probten ihn einmal. TRM erkennt dasselbe Muster wie beim Bybit-Hack und beim Angriff auf KelpDAO im April 2026.

Wie der Binance-Hack Minute für Minute ablief

In einer ersten Erklärung nannte Binance einen möglicherweise kompromittierten Laptop eines DevOps-Ingenieurs als Einfallspunkt. Über diese Maschine hätten die Angreifer angeblich einen Service-Container erreicht und unbefugte Auszahlungen eingereicht; dieser Darstellung zufolge gab es zunächst keine Hinweise auf geleakte private Schlüssel. Am 30. Oktober 2026 meldete die Börse jedoch weitere Einfallspunkte und beschrieb einen komplexen Angriff, den keine Einzelperson durchgeführt haben kann. Binance hat noch nicht offengelegt, welche Punkte dies sind – der Laptop bleibt somit eine unbewiesene erste Behauptung.

Die Abflüsse begannen am 29. Oktober 2026 um 20:05 UTC auf dem XRP Ledger. Bis 20:09 hatten fünf Binance-Wallets dort 233,46 Millionen XRP im Wert von rund 296 Millionen USD an eine einzige Adresse geschickt, wobei jede Wallet bei ihrem Mindestguthaben stoppte. Kurz nach 20:10 folgte Solana mit 970.500 SOL, zusammen mit Optimism. Um 20:20 schickte die Bitcoin-Hot-Wallet 18.270 BTC im Wert von rund 1,47 Milliarden USD ab; eine sogenannte Peel Chain teilte den Betrag noch im selben Block in Tranchen von 1.000 und 100 BTC auf. Zur gleichen Zeit verlor die Tron-Hot-Wallet innerhalb von zwei Minuten 612,7 Millionen USDT und 46,4 Millionen TRX. Mit dem Ethereum-Sweep um 20:24 hatte die Hauptphase etwa 20 Minuten gedauert. Schließlich traf eine zweite Welle um 23:05 Avalanche und Polygon.

TRM zieht aus dieser Abfolge seinen zentralen Schluss. Für sich genommen könnte die Ethereum-Delegation wie Phishing aussehen. Doch die Angreifer leerten neun weitere Chains mit gewöhnlichen signierten Transfers, ohne jede Delegation. TRM folgert daher, dass das Signatursystem der Hot Wallets selbst für den Angreifer signierte. Daten von Elliptic stützen diese Lesart: Eine zweite Ethereum-Hot-Wallet namens „Binance 16" hat ihren eigenen Schlüssel und schickte 28.006 ETH und andere Token direkt an den Angreifer, zusammen im Wert von 174 Millionen USD zum Zeitpunkt des Diebstahls.

Wie 50 Autorisierungen den Sweeper entschlüsselten

Auf Ethereum nutzten die Angreifer eine Funktion, die mit dem Pectra-Upgrade im Mai 2025 kam. Nach EIP-7702 signiert eine gewöhnliche Wallet eine Autorisierung, die auf einen Smart Contract verweist und dessen Code ausführt. Die Signatur deckt nur die Chain-ID, die Zieladresse und die Nonce ab – nicht die einzelne Transaktion. Die Nonce ist der Zähler des Kontos. Weder Empfänger noch Betrag sind Teil der Signatur, und eine solche Autorisierung kann jeder einreichen. Die Spezifikation selbst warnt, dass Delegation dem Code uneingeschränkten Zugriff auf das Konto gibt.

Um 20:20:59 UTC reichten die Angreifer eine Transaktion mit 50 Autorisierungen ein. Jede trug eine Signatur mit dem Schlüssel der Wallet „Binance 14" und verwies auf den Sweeper. So viele waren nötig, weil die Nonce exakt übereinstimmen muss, während die hohe Auszahlungsrate den Zähler weiter vorantrieb. Die Serie umfasste die Nonces 18.914.775 bis 18.914.824; am Ende traf nur die Nonce 18.914.809, das Netzwerk verwarf die anderen 49. TRM liest die Serie als Zeichen eines zeitlich begrenzten Zugriffs oder eines Wegs über ein Anfragesystem.

Um 20::23 UTC rief der Angreifer den Sweeper dann über Binance 14 auf. Eine einzige Transaktion leerte 167.464 ETH und 63 Token – darunter etwa 1,6 Milliarden USDT – zusammen im Wert von rund 2,5 Milliarden USD.

Die Delegation blieb danach aktiv, da EIP-7702 sie bis zur nächsten Autorisierung aufrechterhält. Die Spezifikation begründet dies mit Komfort, da Nutzer nicht ständig neue Contracts einrichten sollen. Hier ermöglichte dieselbe Eigenschaft jedoch weitere Sweeps neuer Einlagen ohne neue Signatur. Diese folgten unter anderem um 20:41, 21:04, 22:39 und 23:56 UTC. Binance 14 hob die Delegation erst um 00:10 UTC am 30. Oktober 2026 auf – fast vier Stunden später.

Über die kompromittierte Wallet wiesen die Angreifer auch eine weitere Binance-Wallet an und leerten daraus 823 Millionen USDC. Nach Angaben von TRM handelt es sich bei dieser zweiten Wallet um ein separates Smart Account. Insgesamt verlor Binance auf Ethereum nach TRMs Zählung 3,79 Milliarden USD.

Das Rennen gegen die Stablecoin-Freezeouts

Stablecoins wie USDT, USDC und RLUSD haben einen zentralen Emittenten, der einzelne Adressen einfrieren kann. Bitcoin und Ether haben eine solche Instanz nicht; nur eine Börse, die eingehende Gelder sperrt, oder Behörden mit Schlüsselzugriff können sie stoppen. Doch Tether und Circle froren die ersten Adressen erst etwa eine Stunde nach Beginn der Abflüsse ein.

Laut Elliptic tauschten die Angreifer 434 Millionen USDT über Uniswap, 1inch und Market Maker in 160.451 ETH um und akzeptierten dabei einen Abschlag von 12 bis 26 % unter Marktpreis – was Elliptic so deutet, dass Geschwindigkeit Vorrang vor Wert hatte. Bis zu den ersten Freezeouts waren bereits rund 786 Millionen USD in Stablecoins in ETH und TRX umgewandelt worden.

Eine zweite Angreifer-Wallet wandte sich außerdem dem Lending-Protokoll Aave zu. Sie hinterlegte 59,9 Millionen USDT als Sicherheiten und lieh sich 19.762 ETH im Wert von rund 44 Millionen USD. Dadurch liegen die freezbaren USDT nun im Aave-Pool, während die ETH beim Angreifer blieben. Aave sperrte die betroffenen Märkte vorsorglich und hat sie inzwischen wieder geöffnet; die Positionen bleiben vollständig besichert.

Auf Tron tauschten die Angreifer 234 Millionen USDT auf SunSwap in 638 Millionen TRX um. Nach Angaben von Elliptic führte die wichtigste Wasch-Wallet dort 546 TRX-Transfers mit einem Median-Intervall von 96 Sekunden aus. In seiner eigenen Analyse stuft Chainalysis das Transaktionsmuster auf Tron als automatisiert ein: Viele Adressen erhalten zunächst exakt 1 TRX und dann den Betrag, den sie anschließend weiterleiten. Ob KI-Agenten eine Rolle spielen, kann Elliptic jedoch nicht beurteilen.

TRM beziffert den nicht freezbaren Rest auf rund 2,4 Milliarden USD in Bitcoin und Ether. Einschließlich XRP und TRX zu aktuellen Preisen kommt Elliptic auf 3,21 Milliarden USD. Die Bitcoin verteilen sich über eine Peel Chain auf 19 Adressen und haben noch keinen Service erreicht. Analysten erwarten daher Bridges, Swap-Dienste und OTC-Desks als nächste Stufe.

Die Kontrollen, die Börsen ergänzen müssen

TRMs Empfehlungen zielen genau auf diese Schwachstellen. Börsen sollten EIP-7702-Autorisierungen ablehnen, sofern sie sie nicht erwarten, und Anfragen nach vielen Autorisierungen über einen Nonce-Bereich hinweg als Zeichen einer Kompromittierung werten. Zudem empfiehlt TRM, die Signatur-Infrastruktur und Genehmigungspfade nach Chain und Wallet-Stufe zu trennen. Bei Treasury-Wallets ist jede Delegation ein sofortiger Alarm, denn eine Adresse, die keinen Code enthalten sollte, trägt plötzlich welchen.

Bei Binance lief die Delegation nach Angaben der Börse nicht durch die üblichen Genehmigungen, und die Aufhebung erfolgte erst nach fast vier Stunden. Genau für dieses Szenario empfiehlt TRM einen getesteten, vorab genehmigten Aufhebungsprozess. Auch Immunefi-Vizepräsident Simone Imbrescia sieht die Schwachstelle in der operativen Schicht, da der Angriff nur wenig On-Chain-Code benötigte.

Binance hat den ursprünglichen Einfallspunkt noch nicht offengelegt. Die Börse hält Auszahlungen pausiert, plant eine schrittweise Wiedereröffnung und überarbeitet ihr Auszahlungssystem. Neben dem Root-Cause-Bericht ist auch ein Proof-of-Reserves-Bericht für den 2. November 2026 geplant.

Basiert auf Berichten von Crypto Valley Journal.