Der Hacker hinter dem Binance-Hack im Wert von rund 6,3 Milliarden US-Dollar verlagerte am Montag sämtliche gestohlenen 233,46 Millionen XRP in sechs neue Wallets. Die Umverteilung unterstreicht einen entscheidenden Unterschied zwischen den bei dem Angriff entwendeten Assets: Anders als die ebenfalls gestohlenen Stablecoins verfügt natives XRP über keinen Herausgeber mit der Befugnis, es einzufrieren.

Laut den XRP-Ledger-Aufzeichnungen tätigte die Depotadresse ab 03:47 UTC sechs Testzahlungen von jeweils 1.000 XRP. Die Testüberweisungen gingen der ersten großen Zahlung um etwa fünf Minuten voraus; solche kleinen Vorabzahlungen dienen üblicherweise dazu zu prüfen, ob eine Zieladresse Zahlungen empfangen kann. Zwischen 03:52 und 04:00 UTC folgten neun große Zahlungen. Am Ende erhielten fünf Wallets jeweils etwa 40 Millionen XRP, drei davon in zwei Tranchen von 30 Millionen und 10 Millionen, während die sechste 33,46 Millionen übernahm. Die ursprüngliche Adresse behielt 23,7 XRP.

Zum Montagser Kurs von etwa 1,26 US-Dollar pro XRP waren die Coins rund 294 Millionen US-Dollar wert. Whale Alert machte auf eine einzelne Überweisung von 40 Millionen XRP im Wert von rund 50,4 Millionen US-Dollar von einer Adresse aufmerksam, die es als „Binance Hack 2026" bezeichnet.

Der Angreifer überwies zudem 1.000 XRP um 02:12 UTC an eine siebte, separate Adresse. Die Coins lagen rund 80 Stunden weitgehend unberührt auf der Depotadresse, bevor die großen Zahlungen begannen. Fünf Binance-Wallets hatten die gesamten 233,46 Millionen XRP am 29. Oktober in etwa vier Minuten an diese Adresse gesendet. Ledger-Daten vom Dienstag, 07:27 UTC, zeigten, dass keine der sechs neuen Wallets etwas abgebucht hatte. Da der Ledger öffentlich einsehbar ist, werden weitere Bewegungen von diesen Adressen in Echtzeit sichtbar sein.

Warum das gestohlene XRP nicht eingefroren werden kann

Gemäß der XRP-Ledger-Dokumentation kann natives XRP auf dem Ledger nicht eingefroren werden. Ripple fror die mit dem Angriff in Verbindung gebrachten gestohlenen RLUSD ein, doch diese Herausgeber-Kontrollen gelten nur für den eigenen Stablecoin: Einfrierbefugnisse sind an Tokens gebunden, die ein Herausgeber erschafft, und der native Asset des Ledgers hat keinen Herausgeber, der sie ausüben könnte. Nun besteht die Aufgabe darin, die sechs Wallets zurückzuverfolgen und dass Börsen Einzahlungen ablehnen, um das XRP wiederzubeschaffen. Die Aufteilung scheint ein Geldwäsche-Schritt zu sein: Sechs Guthaben bedeuten mehr Spuren zum Verfolgen und kleinere Posten zum Veräußern.

Der On-Chain-Tracker Lookonchain erklärte, dass rund 250.000 US-Dollar der Beute über einen Zeitraum von 12 Stunden an die Börse Gate überwiesen wurden.

further Folgen des Angriffs

Bei dem Angriff wurden auf Tron insgesamt rund 628 Millionen US-Dollar an Assets gestohlen. Tether fror etwa 378,7 Millionen USDT ein – dieselbe Befugnis auf Herausgeberebene, die Ripple bei RLUSD anwendete und die natives XRP nicht besitzt –, doch Analyst SomaXBT schätzt, dass rund 242 Millionen US-Dollar binnen zwei Tagen über Tron-verbundene Wege abflossen. Davon flossen etwa 140 Millionen US-Dollar über Dienste wie Relay und THORChain, deren Node-Betreiber vom FBI gebeten wurden, die Gelder zu blockieren. Schätzungen zufolge belief sich das Volumen bei Relay auf fast 48 Millionen US-Dollar und bei THORChain auf 44 Millionen US-Dollar.

Wie Cryptopolitan berichtete, hat die Branche rund 3 Milliarden US-Dollar der gestohlenen Assets eingefroren. Das FBI macht TraderTraitor verantwortlich, seine Bezeichnung für einen staatlich verbundenen nordkoreanischen Hacking-Vorstoß, und erklärt, die Angreifer würden die gestohlenen Kryptowerte in Ether umwandeln. Nordkoreas Kim Yo Jong wies jedoch die Beschuldigung des FBI zurück und nannte sie in einer offiziellen Erklärung vom 2. November „eine absurde Rhetorik und nichts Neues".

Binance teilte mit, dass Unternehmensmittel rund 95 % des betroffenen Betrags ausgeglichen haben, und fügte hinzu, dass die XRP-Guthaben vollständig gedeckt seien.