Die Hacker hinter dem beispiellosen Diebstahl bei Binance haben begonnen, einen großen Teil des gestohlenen XRP in Bitcoin umzuwandeln, wie das Blockchain-Analyseunternehmen Elliptic in seinem bis Freitag reichenden aktuellen Bericht mitteilt. Rund 42 Millionen XRP – etwa 50 Millionen Dollar – wurden bereits umgetauscht, der Großteil davon über THORChain, ein dezentrales Cross-Chain-Tauschnetzwerk, das native Assets ohne zentralen Verwahrer zwischen Blockchains austauscht.

Durch diese Umtauschvorgänge erhöhte sich das aus anderen gestohlenen Assets des Hacks stammende Bitcoin über Nacht auf rund 1.650 BTC im Wert von etwa 124 Millionen Dollar, so Elliptic. Der Großteil dieses Anstiegs ging auf die XRP-Route zurück. Etwa 192 Millionen XRP im Wert von rund 226 Millionen Dollar liegen in mit dem Diebstahl verbundenen Adressen weiterhin ungetauscht.

Das XRP war Teil des Abflusses vom 29. Oktober, den Binance später auf 6,34 Milliarden Dollar bezifferte. Zwischen 20:05 und 20:09 UTC jenes Tages überwiesen fünf mit dem Internet verbundene Hot Wallets 233,46 Millionen XRP an eine von Angreifern kontrollierte Adresse. Das FBI schreibt die Kampagne der nordkoreanischen Gruppe TraderTraitor zu, einem Akteur, den US-Behörden zuvor mit einer Reihe hochwertiger Diebstähle von Börsen und Bridges in Verbindung gebracht haben. Binance hat die Auszahlungen seitdem schrittweise wieder geöffnet, erklärt, rund 2,85 Milliarden Dollar eingefroren oder abgefangen zu haben, und deckt die Verluste der Kunden aus eigenen Mitteln.

Wie das gestohlene XRP in Bewegung kam

Das gestohlene XRP blieb zunächst ruhig. In der Frühe des 2. November, zwischen 02:12 und 04:00 UTC, verlagerte sich der gesamte Bestand von rund 233 Millionen XRP auf sechs neue Adressen, wo er bis zum 5. November verblieb, so Elliptic. Ab dem Nachmittag des 5. November begannen zwei dieser sechs Adressen, XRP an Dutzende neue Konten weiterzuleiten, die die Mittel umtauschten – meist über THORChain in Bitcoin. Eine geringe Menge Ether floss an jenem Abend ebenfalls über THORChain in Bitcoin.

Die Hauptbestände des Diebstahls in Bitcoin und Ether – die größten Posten – haben sich bislang nicht bewegt, so Elliptic. Das Muster entspricht dem, was das Unternehmen nach dem Bybit-Hack beobachtete – dem Angriff vom Februar 2025, bei dem rund 1,5 Milliarden Dollar in Ether von der Börse abgeflossen waren und der ebenfalls vom FBI nordkoreanischen Hackern zugeschrieben wurde: Zuerst freezbare und mittelliquide Token in Bitcoin umwandeln, dann später den Auszahlungsversuch über OTC-Broker starten.

Der Fußabdruck der Geldwäsche ist bereits enorm. Seit dem Diebstahl hat Elliptic mehr als 20.000 Wallets auf 16 Blockchains, mindestens 36 Dienste und mindestens 65.000 Transaktionen gezählt – etwa alle 30 Sekunden eine neue Wallet und alle 10 Sekunden eine Transaktion. Rund 3,11 Milliarden Dollar befinden sich noch in Adressen, die mit dem Angriff in Verbindung gebracht werden, überwiegend in Ether und Bitcoin, während bislang voraussichtlich nur ein vernachlässigbarer Betrag abgeschöpft wurde.

Warum XRP und Bitcoin hier eine Rolle spielen

Emittenten können viele Stablecoins einfrieren; XRP lässt sich nicht auf dieselbe Weise einfrieren, und Bitcoin kann nicht eingefroren werden. Nachdem Tether und Circle am 29. Oktober große Stablecoin-Tranchen blockiert hatten, priorisierte der Angreifer Assets außerhalb dieser Abschaltmöglichkeit. Die Umwandlung von XRP in Bitcoin folgt derselben Logik: Einmal über neue Adressen fragmentiert, lässt sich Bitcoin deutlich schwerer zurückholen.

Das gesamte gestohlene SOL – rund 87 Millionen Dollar nach Elliptics Bewertungsmaßstäben – wurde bereits umgetauscht, über Brücken transferiert oder gemischt, wobei ein Großteil in Bitcoin endete. Auch der Großteil der frühen Tron-Geldwäsche – rund 220 Millionen Dollar in TRX – ist bereits abgelaufen; Bitcoin Magazine hatte diesen Fluss bei der Berichterstattung über die stille Einstellung der T3 Financial Crime Unit vor dem Hack aufgezeigt. Von den Hauptbeständen in Ether und NEAR haben sich nur kleine Teile bewegt.

Ein Teil des umgewandelten Bitcoin ist in Wasabi-artige Coinjoins geflossen, eine Mischtechnik, die Coins vieler Nutzer bündelt, um nachverfolgbare Verbindungen zu trennen – rund 33 BTC oder 2,5 Millionen Dollar seit dem 1. November –, während etwa 1,1 Millionen Dollar in Ether und SOL in den Privacy-Cash-Pool flossen, bevor dieser Dienst Einzahlungen aussetzte. Elliptic zufolge deutet das Tempo auf konventionelle Automatisierung hin und nicht auf einen KI-Agenten, der Entscheidungen in Echtzeit trifft: feste Zeiten, festgelegte Beträge, blinde Wiederholungen und neue Taktiken im Abstand von Stunden.

US-Bankaufsichtsbehörden haben nach dem Binance-Angriff bereits Gespräche mit Kreditinstituten geführt. Für die Bitcoin-Märkte ist die näherliegende Frage, wie viel mehr der verbleibenden rund 192 Millionen XRP – und schließlich des geparkten Ethers – in BTC umgewandelt wird, bevor jemand einen Auszahlungsversuch unternimmt.

Die entscheidende Frage ist nun, ob die THORChain-Betreiber und andere Bridges die veröffentlichten Angreiferadressen schnell genug blockieren, um die XRP-zu-Bitcoin-Pipeline zu verlangsamen – oder ob der Rest des Bestands denselben Übernacht-Weg nimmt wie die ersten 50 Millionen Dollar bereits.

Dieser Artikel basiert auf einem Beitrag, der zuerst auf Bitcoin Magazine erschien, und wurde von Micah Zimmerman verfasst.