Der Täter hinter dem größten Krypto-Hack der Geschichte liquidiert derzeit aktiv gestohlenes Solana. On-Chain-Überwachungsplattformen berichten, dass 486.970 SOL – im Wert von rund 46,4 Millionen US-Dollar – innerhalb einer einzigen Stunde bewegt wurden, als Teil eines umfassenderen Vorhabens, nahezu 970.000 SOL über Relay Protocol in Bitcoin umzuwandeln.

Die Umwandlung von 46,4 Millionen US-Dollar in SOL zu Bitcoin

Die On-Chain-Intelligenzplattform Arkham und der Überwachungsdienst Lookonchain führten die Bewegung auf eine größere Operation zurück, bei der 970.522 SOL im Wert von etwa 95,9 Millionen US-Dollar in Bitcoin umgewandelt werden. Als Cross-Chain-Routing-Mechanismus zum Überbrücken der Assets wurde Relay Protocol identifiziert.

Von der Gesamtposition wurden 486.970 SOL (~46,4 Millionen US-Dollar) in der berichteten Stunde bewegt, während sich zum Zeitpunkt der Berichterstattung noch etwa 483.600 SOL (~46,14 Millionen US-Dollar) in der Wallet des Hackers befanden, wie aus Arkham-Daten hervorgeht.

Phase zwei einer 6,3-Milliarden-Dollar-Geldwäsche-Operation

Die SOL-zu-BTC-Umwandlung ist kein isoliertes Ereignis. Sie stellt eine bewusste zweite Phase dar, die auf den Diebstahl von 6,01 Milliarden US-Dollar aus Binance-Hot-Wallets über neun Chains zwischen 20:10 und 23:05 UTC am 29. Oktober 2026 folgt – ein Angriff, den Arkham als den größten Krypto-Hack der Geschichte bestätigte.

Die ursprünglichen Stablecoin-Bestände des Angreifers wurden weitgehend neutralisiert, als Tether, Circle und Ripple zusammen 2,80 Milliarden US-Dollar der gestohlenen Assets einfrorren, womit dieser Teil der Beute als nutzbarer Exit-Weg entfiel. Das Einfrieren war möglich, weil wichtige Stablecoins über ein vom Emissor kontrolliertes Blacklisting auf Ebene des Token-Vertrags verfügen, was den Emittenten einen direkten Hebel gibt, sobald markierte Adressen identifiziert sind – ein Hebel, der bei nativen Assets wie SOL oder BTC nicht existiert.

Da die Stablecoins eingefroren waren, verlagerte sich der Angreifer auf die Solana-Bestände und leitet sie nun über Relay Protocol in Bitcoin. Die tiefere Liquidität von Bitcoin – bei einer Marktkapitalisierung von etwa 1,567 Billionen US-Dollar – macht große Zuflüsse schwerer erkennbar und einzufrieren als vergleichbare Stablecoin-Bewegungen.

SOL wird derzeit bei 95,28 US-Dollar gehandelt, was bedeutet, dass die gesamte Position von 970.522 SOL anhaltenden Verkaufsdruck auf einen bereits belasteten Markt darstellt. Der Fear-and-Greed-Index steht bei 34 und damit klar im Bereich „Angst“, nach dem Angriff vom 29. Oktober.

Der Angriff selbst nutzte EIP-7702 auf Ethereum aus – ein 2025 eingeführter Standard, der herkömmlichen Externally-Owned-Wallets vorübergehend Smart-Contract-Fähigkeiten wie Transaktions-Batching und delegierte Ausführung verleiht. Dies ermöglichte es dem Angreifer, eine Binance-Hot-Wallet über 50 vorausgezeichnete Autorisierungen in einen von ihm kontrollierten Sweeper umzuwandeln, kombiniert mit dem Zugriff über einen kompromittierten Laptop eines DevOps-Ingenieurs, wie aus technischen Berichten von The Block hervorgeht. Die daraus resultierende Liquidationskaskade über den gesamten Markt unterstrich, wie eng das Infrastrukturrisiko von Börsen mit DeFi-Protokollen verflochten ist.

Nordkoreanische Zuschreibung und was weiterhin gefährdet ist

Das FBI, Chainalysis und TRM Labs haben den Binance-Hack mit hoher Sicherheit der nordkoreanischen Hacker-Einheit TraderTraitor zugeschrieben. TraderTraitor ist ein staatlich gesponsertes Programm der DVRK, das US-Behörden seit 2022 in öffentlichen Warnhinweisen verfolgen und das für Angriffe auf Kryptobörsen und DeFi-Plattformen bekannt ist. Chainalysis teilte auf X mit, dass Ermittler beobachtet hätten, wie Gelder aus dem Angriff mit Erlösen des früheren Bitget-Exploits vermischt wurden – ein Muster, das zur Geldwäsche-Methodik der DVRK passt.

„Unsere Ermittler beobachteten, wie von der DVRK gestohlene Gelder aus dem Bitget-Exploit des letzten Monats mit Geldern aus dem Binance-Diebstahl vermischt wurden. Wir sind zu einem hohen Grad davon überzeugt, dass die DVRK für den 6,4-Milliarden-Dollar-Hack gegen Binance verantwortlich ist.“ – Chainalysis (@chainalysis) auf X

TRM Labs schätzt, dass Nordkorea allein im Jahr 2026 Kryptowerte im Wert von etwa 7,4 Milliarden US-Dollar gestohlen hat, womit sich die Gesamtsumme des Regimes seit 2017 auf rund 12,8 Milliarden US-Dollar beläuft. Der Angriff auf Binance folgt einem inzwischen bekannten Muster: Ausnutzung der Signatur-Infrastruktur einer Börse, gleichzeitiges Abzapfen über mehrere Chains und Umwandlung nachverfolgbarer Bridge-Assets in Bitcoin, bevor sie zu Mixern weitergeleitet werden.

Binance-Reaktion und Marktreaktion

Binance-Co-CEO Richard Teng erklärte: „Ihr Geld ist sicher, und wir decken jeden Verlust“, und die Börse stellte 6,34 Milliarden US-Dollar aus Reserven zur Deckung der Verluste bereit. Bis zum 1. November bestätigte Binance, dass 90 % der gestohlenen Assets wieder aufgefüllt wurden.

Die verhaltene Preisreaktion von Bitcoin im Vergleich zu früheren Börsen-Hacks spiegelt sowohl die Tiefe der aktuellen BTC-Liquidität als auch das Vertrauen in die Reserven von Binance wider; BTC wurde bei 77.922 US-Dollar gehandelt, ein Plus von 0,70 % am Tag, trotz der aktiven Umwandlung durch den Angreifer.

Warum die Bewegung für das On-Chain-Tracking wichtig ist

Jedes Asset-Umwandlungsereignis ist ein nachverfolgbarer On-Chain-Moment. Wenn der Angreifer SOL über Relay Protocol in BTC leitet, entsteht ein neuer Wallet-Cluster, den Blockchain-Forensik-Firmen mit den ursprünglichen Binance-Exploit-Adressen verknüpfen können, was die Ermittlungskette verlängert.

Das Fehlen veröffentlichter Transaktions-Hashes für die spezifische Bewegung von 486.970 SOL schränkt die unabhängige Überprüfung derzeit ein. Arkham und Lookonchain sind die zitierten Überwachungsquellen, rohe Explorer-Daten der Blockchain wurden in der verfügbaren Berichterstattung jedoch nicht veröffentlicht.

Das FBI hat privatwirtschaftliche Unternehmen aufgefordert, Transaktionen von identifizierten Hacker-Adressen zu blockieren, und das breitere DeFi-Ökosystem hat reagiert, indem es die Collateral-Parameter für Assets, die dem Hack ausgesetzt sind, verschärft hat. Da etwa 2,9 Milliarden US-Dollar in ETH, BTC, TRX, SOL und Altcoins laut Arkham nach wie vor beweglich sind, wird sich die aktive Umwandlungsphase wahrscheinlich fortsetzen, während Ermittler darum kämpfen, neue Wallet-Adressen zu kartieren und zu markieren, bevor die Gelder Mixer oder OTC-Desks erreichen. Wer die Geldwäsche in Echtzeit verfolgt, achtet am besten auf Bewegungen des verbleibenden Saldos von 483.600 SOL, weitere Einfrierungsmaßnahmen im Zusammenhang mit neu identifizierten Adressen und neue Wallet-Cluster-Zuschreibungen, die neue Bewegungen mit dem Exploit vom 29. Oktober verbinden.

Haftungsausschluss: Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Finanz- oder Anlageberatung dar. Krypto- und digitale Asset-Märkte sind mit erheblichen Risiken verbunden. Führen Sie stets eigene Recherchen durch, bevor Sie Entscheidungen treffen.