Hacker hinter dem Diebstahl von 6,43 Milliarden US-Dollar bei Binance haben laut einem Bericht vom 6. November des Blockchain-Analyseunternehmens Elliptic rund 124 Millionen US-Dollar der gestohlenen Altcoins in Bitcoin umgewandelt. Die Geldwäsche läuft zur gleichen Zeit ab, in der die Börse ihre Auszahlungsdienste für Kunden wiederherstellt.

Umwandlung von Altcoins, kein Abheben

Die Tauschgeschäfte brachten rund 1.650 BTC ein – getrennt von den 1,48 Milliarden US-Dollar, die direkt beim Angriff am 29. Oktober erbeutet wurden. Bisher wurden etwa 50 Millionen US-Dollar in XRP bewegt, während sich 226 Millionen US-Dollar noch in Wallets der Hacker befinden. Fast das gesamte gestohlene Solana – im Wert von etwa 87 Millionen US-Dollar – wurde in andere Kryptowährungen umgetauscht, über Blockchains hinweg verschoben oder durch Transaktionen geleitet, die seine Herkunft verschleiern sollen.

Die aktuellen Zahlen liefern kein vollständiges Bild der gestohlenen Mittel. Elliptic schätzt, dass 2,85 Milliarden US-Dollar oder 44,3 % des Gesamtbetrags eingefroren sind, während sich weitere 3,11 Milliarden US-Dollar oder 48,4 % in verbundenen Wallets befinden. Zusammen decken diese Kategorien 5,96 Milliarden der 6,43 Milliarden gestohlenen US-Dollar ab; rund 470 Millionen US-Dollar oder 7,3 % sind in den gemeldeten Summen nicht erfasst. Unterschiede bei der Bewertung der Assets und den Meldezeitpunkten könnten die Diskrepanzen erklären.

Die 124 Millionen US-Dollar, die in Bitcoin umgewandelt wurden, sollten nicht als zusätzlicher Betrag betrachtet werden, da die Hacker einfach eine Kryptoform gegen eine andere tauschten, anstatt auszuzahlen. Laut Elliptic wurde bisher nur ein kleiner Teil des gestohlenen Geldes abgehoben. Wie viel des Saldos in den verbundenen Wallets eingefroren, bewegt oder abgehoben wird, ist die Zahl, die sich in den kommenden Updates am wahrscheinlichsten ändern wird.

Wie die Geldwäsche weiterläuft

Die gestohlenen Assets wurden über eine hohe Anzahl von Transaktionen verteilt. Elliptics Analyse hat mehr als 20.000 Krypto-Wallets, 16 verschiedene Blockchains und 65.000 Transaktionen nachverfolgt. Die Aktivität scheint automatisiert zu sein, allerdings gibt es keine Belege dafür, dass KI-Agenten sie steuern.

TRM Labs fand heraus, dass die Hacker Token und Liquiditätspools auf Tron erstellten, um Transfers zu verschleiern. Sie bewegten die Mittel zudem über Kreditbeleg-Token und miteinander verbundene Blockchain-Bridges und umgingen dabei Wallets, in denen Assets eingefroren werden könnten.

Zuvor verfolgte Chainalysis, wie 325 Millionen US-Dollar in Stablecoins binnen 20 Minuten in 285 Millionen US-Dollar in Ether umgewandelt wurden – offenbar, um Einfrierungen zu vermeiden. Einige XRP-Umwandlungen liefen über THORChain. Wie Cryptopolitan berichtete, sperrte die Website von THORChain markierte Adressen nach einer Anfrage des FBI, doch unabhängige Nodes verarbeiteten die Transaktionen weiter.

Wiedereröffnung der Auszahlungen und der Liquiditätstest

Binance stellt die Auszahlungen wieder her, während die gestohlenen Mittel weiterhin im Umlauf sind. In einem Update vom 6. November, das auch auf X geteilt wurde, kündigte die Börse an, die Auszahlungen für HYPE, INJ, APT, PLASMA, NEAR und LTC bis Ende der Folgewoche wieder zu öffnen. Binance gab außerdem an, bis zum 31. Oktober 98 % der betroffenen Token-Assets ersetzt zu haben, und sicherte zu, die Verluste der Kunden zu übernehmen – allerdings ist das Ersetzen gestohlener Assets nicht dasselbe wie deren Wiederbeschaffung. Das Ziel mit sechs Token setzt den nächsten konkreten Meilenstein im Zeitplan zur Erholung der Börse.

Die Wiedereröffnung hat die Liquidität von Binance unter Druck gesetzt. Talos verzeichnete Nettokapitalabflüsse von 6,1 Milliarden US-Dollar. Die Orderbuchtiefe von Bitcoin innerhalb von 1 % fiel am ersten Tag nach dem Angriff um 28 % und erreichte Anfang November ein Tief von rund 44 % unter dem Niveau vor dem Hack, bevor sie sich erholte. Bitcoin selbst gab nach dem Hack etwa 5 % nach. Dennoch fand Talos im Vergleich zum Zusammenbruch von FTX nur begrenzte Anzeichen einer breiteren Marktansteckung.

Was der Vorfall für Börsen und Compliance bedeutet

Das FBI schrieb den Diebstahl am 31. Oktober der nordkoreanischen Gruppe TraderTraitor zu. Die Behörde veröffentlichte Adressen, die mit den Hackern in Verbindung stehen, und forderte THORNode-Betreiber, DeFi-Dienste und Instant-Exchanges auf, entsprechende Transaktionen zu blockieren.

Trotz der raffinierten Geldwäsche begann der Angriff mit bekannten Sicherheitsschwächen. Binances Untersuchung beschrieb ein gefälschtes Vorstellungsgespräch, Schadsoftware auf dem Computer eines Ingenieurs und den Missbrauch eines internen KI-Tools. Die Angreifer erlangten schließlich Zugriff auf Systeme, die an der Signierung von Wallet-Transaktionen beteiligt sind.

Der Vorfall verdeutlicht zwei Herausforderungen für Börsen: den Schutz von Mitarbeitern und sensiblen Systemen vor Eindringlingen sowie die Verhinderung, dass gestohlene Mittel über dezentrale Netzwerke bewegt werden.