XRP-Bestand des Binance-Hackers fällt im Zuge von Bitcoin-Tauschgeschäften stark
Wichtige Erkenntnisse
- •Laut der Spur von Bitquery wurden beim Angriff vom 29. Oktober rund 233,5 Millionen XRP aus fünf Binance-Konten übertragen.
- •Elliptics Schätzungen zeigen einen Rückgang des gestohlenen XRP-Bestands von rund 192 Millionen Token am 6. November auf etwa 60 Millionen am 10. November, darunter rund 33 Millionen unberührte Token auf einer am 2. November finanzierten Adresse.
- •THORChain stoppte den XRP-Handel am 7. November für fast einen ganzen Tag, bevor die Tauschgeschäfte wieder aufgenommen wurden; am Morgen des 10. November schienen die Umrechnungen erneut gestoppt, und neue Einzahlungen wurden zurückerstattet.
- •Eine Rekonstruktion von Bitint vom 9. November ergab, dass nach Korrektur der Rückerstattungen höchstens 93,85 Millionen XRP tatsächlich umgetauscht wurden.
- •Elliptic schätzt, dass voraussichtlich nur ein vernachlässigbarer Teil der gestohlenen Gelder ausgezahlt wurde, da die meisten Geldwäscheaktivitäten das gehaltene Asset veränderten, während die Erlöse auf öffentlichen Blockchains nachverfolgbar blieben.
XRP-Bestand des Binance-Hackers fällt im Zuge von Bitcoin-Tauschgeschäften stark
Der XRP-Bestand, der mit dem Hack vom 29. Oktober bei Binance in Verbindung gebracht wird, war bis zum 10. November auf rund 60 Millionen Token gesunken, wie das Blockchain-Analyseunternehmen Elliptic berichtete – nach einer weiteren Welle von Umtauschgeschäften, die größtenteils in Bitcoin flossen.
In einem am 10. November veröffentlichten Update teilte Elliptic mit, dass etwa 35 Millionen weitere XRP über THORChain getauscht worden seien – ein dezentrales Cross-Chain-Liquiditätsprotokoll, das Handelsgeschäfte zwischen Blockchains aus gemeinsamen Pools statt über ein zentrales Orderbuch abwickelt –, wobei fast alles gegen Bitcoin getauscht wurde. Der Rückgang vollzog sich, während XRP unter einem breiteren Marktdruck stand und in den vergangenen 30 Tagen 24% verlor – allerdings belegen die Daten zum Geldwäschevorgang nicht, ob dieser Kursrückgang auf die Umtauschgeschäfte des Angreifers zurückzuführen ist.
Der schrumpfende Reservebestand und seine Tauschroute
Die Spur von Bitquery identifizierte beim Diebstahl 233,5 Millionen XRP, die im Zuge des Angriffs vom 29. Oktober aus fünf Binance-Konten übertragen wurden. Elliptics anschließende Bestandsschätzungen verzeichneten einen kontinuierlichen Rückgang: etwa 192 Millionen XRP am 6. November, rund 148 Millionen am 7. November, etwa 95 Millionen bis zum frühen Nachmittag des 9. November und etwa 60 Millionen gemäß der Schätzung vom 10. November – darunter rund 33 Millionen auf einer Adresse, die sich seit ihrer Funding am 2. November nicht bewegt hatte.
In gerundeten Zahlen belief sich der verbleibende XRP-Bestand auf 192 Millionen am 6. November um 08:45 UTC; 148 Millionen am 7. November, ohne genaue Zeitangabe; 95 Millionen bis zum frühen Nachmittag des 9. November; und 60 Millionen am 10. November 2026 um 11:00 UTC. Dabei handelt es sich um datierte Bestände und nicht um Nettogesamtwerte abgeschlossener Verkäufe. Quelle: Elliptic-Update, 10. November 2026, 11:00 UTC.
Elliptic dokumentierte zudem wiederholte Unterbrechungen entlang der Tauschroute. Demnach stoppte THORChain den XRP-Handel am 7. November, wodurch die Tauschgeschäfte für fast einen ganzen Tag ruhten; erfolgreiche Tauschgeschäfte liefen ab dem Nachmittag des 8. November wieder. Am Morgen des 10. November schienen XRP-Tauschgeschäfte erneut gestoppt zu sein, und neue Einzahlungen wurden zurückerstattet.
Die Dokumentation von THORChain unterscheidet diese Zustände: Ein Handelsstopp stoppt Tauschgeschäfte, erlaubt aber weiterhin Rückerstattungen; ein Signaturstopp setzt ausgehende Zahlungen in die Warteschlange; ein vollständiger Chain-Stopp beendet die Beobachtung der Chain vollständig. Eine ausstehende Zahlung, eine zurückgegebene XRP-Einzahlung und ein abgeschlossener Bitcoin-Umtausch stellen daher unterschiedliche Ergebnisse dar.
Eine separate Rekonstruktion von Bitint vom 9. November bezifferte den tatsächlich umgetauschten XRP für die definierte Einzahlungspopulation nach Korrektur der Rückerstattungen auf höchstens 93,85 Millionen. Bitints Bitcoin-Abrechnungslager endete am 7. November und wurde bis zum 8. November erneut überprüft.
Die Liquidität bestimmt das Tempo
Der Streaming-Swap-Mechanismus von THORChain teilt einen Auftrag in kleinere Teile auf, was Slippage verringern kann – die preislichen Kosten der Ausführung gegenüber der verfügbaren Liquidität. Wenn die Teile zeitlich versetzt ausgeführt werden, können Arbitrageure die Pools dazwischen neu ausbalancieren.
Das Protokoll erfasst erfolgreiche und erfolglose Beträge zudem getrennt. Ein Stream kann den umgetauschten Wert auszahlen und den erfolglosen XRP-Anteil zurückgeben, während ein gescheiterter erster Versuch eine vollständige Rückerstattung auslösen kann. Eine Einzahlung, ihre kleineren Teilausführungen und ihre Auszahlung als separate Verkäufe zu zählen, würde die Aktivität überbewerten.
Die nützlichsten künftigen Beobachtungen werden neue Bestände auf den verbleibenden Adressen, erfolgreiche XRP-Umtauschgeschäfte in Übereinstimmung mit den entsprechenden Bitcoin-Auszahlungen sowie der tatsächliche Rückerstattungs- oder Stoppstatus der Route sein. Das schrumpfende Inventar des Angreifers begrenzt, was auf diesem nachverfolgten Weg verbleibt, während nutzbare Liquidität und Zugang bestimmen, wie schnell er umgetauscht werden kann.
In seinem Update vom 10. November schätzte Elliptic, dass im gesamten Geldwäschevorgang voraussichtlich nur ein vernachlässigbarer Betrag ausgezahlt wurde: Ein Großteil der Aktivität hatte lediglich das gehaltene Asset verändert, während die Gelder auf öffentlichen Blockchains blieben, wo Analyseunternehmen sie weiter nachverfolgen können. Der Verkauf von XRP gegen Bitcoin verringert die XRP-Exposure des Angreifers, obwohl die Erlöse in Krypto verbleiben.
