Binance hat die rund 6,34 Milliarden US-Dollar in Kryptowährungen, die beim Sicherheitsvorfall vom 29. Oktober gestohlen wurden, vollständig ersetzt, während den US-Behörden gerichtliche Genehmigung zur Beschlagnahme oder Sperrung von mehr als 1,2 Milliarden US-Dollar der gestohlenen Vermögenswerte erteilt wurde, die nordkoreanischen Hackern zugeordnet werden.

Der Austausch der betroffenen Kundengelder wurde am 12. November abgeschlossen, wobei Unternehmensmittel, Notfallreserven und Versicherungsressourcen zur Abdeckung der Verluste herangezogen wurden. Ein neuer Proof-of-Reserves-Snapshot über 198 Kryptowährungen wurde ebenfalls veröffentlicht, dessen vollständige kryptografische Verifizierung steht jedoch noch aus.

Die Auffüllung erfolgt zwei Wochen, nachdem Angreifer rund 6,3 Milliarden US-Dollar aus Binance Hot Wallets abgezogen hatten, was Notfall-Auszahlungsbeschränkungen und eine der größten koordinierten Vermögenssperren in der Geschichte der Kryptowährungen auslöste. Die Reaktion verlief auf zwei Ebenen – kundenseitige Entschädigung aus Unternehmensmitteln und koordinierte Vermögenssperren mehrerer Behörden – eine Kombination, die im Umgang der Branche und der Strafverfolgung mit den größten Diebstählen des Sektors inzwischen üblich geworden ist.

Binance schließt Auffüllung der Vermögenswerte ab, Auszahlungen bleiben eingeschränkt

Binance finanzierte den Ersatz der gestohlenen Vermögenswerte über den Secure Asset Fund for Users (SAFU) – den im Jahr 2018 eingerichteten Notfallversicherungsfonds – sowie über Überschüsse aus dem Futures-Versicherungsfonds und die eigenen Unternehmensmittel. Rund 98 Prozent der betroffenen Vermögenswerte waren bereits Anfang des Monats wiederhergestellt worden; der verbleibende Teil bestand hauptsächlich aus weniger liquiden Kryptowährungen, für die zusätzliche Käufe über Spotmärkte und OTC-Transaktionen erforderlich waren.

Proof-of-Reserves-Offenlegungen wurden nach dem Zusammenbruch von FTX Ende 2022 zur branchenweit verbreiteten Praxis, als große Börsen begannen, kryptografische Atteste zu veröffentlichen, damit Kunden ihre Guthaben überprüfen können. Der Reserve-Snapshot vom 12. November umfasst 198 Token und soll Kunden ermöglichen zu verifizieren, dass ihre Bestände mindestens im Verhältnis 1:1 gedeckt sind. Der vollständige Zero-Knowledge-Proof lag bei der Ankündigung der Auffüllung durch Binance jedoch noch nicht vor. Seine Erstellung wurde weitere 40 bis 50 Stunden dauern, sodass die unabhängige Verifizierung des neuesten Snapshots noch ausstand.

Binance hat sich zudem verpflichtet, den SAFU nach der Inanspruchnahme des Notfallfonds auf rund 1 Milliarde US-Dollar wieder aufzufüllen. Auszahlungen werden weiterhin in Phasen wieder freigegeben, statt auf allen unterstützten Netzwerken vollständig verfügbar zu sein. Zu den verbleibenden Meilensteinen der Wiederherstellung gehören die Veröffentlichung des vollständigen Zero-Knowledge-Proofs und die vollständige Wiederherstellung der Auszahlungsfunktion auf allen unterstützten Netzwerken.

Die Börse betonte, dass der Ersatz der Kundengelder von der Wiederbeschaffung der gestohlenen Kryptowährungen getrennt zu betrachten ist, die weiterhin Gegenstand laufender Blockchain-Tracking-Maßnahmen und strafrechtlicher Ermittlungen ist.

USA frieren 2,7 Milliarden US-Dollar im Zusammenhang mit nordkoreanischen Hackern ein

Das US-Justizministerium erlangte am 12. November gerichtliche Genehmigung zur Beschlagnahme oder Sperrung von mehr als 1,2 Milliarden US-Dollar der gestohlenen Binance-Vermögenswerte. Dieser Betrag ist Teil von über 2,7 Milliarden US-Dollar, die durch koordinierte Maßnahmen von Bundesermittlern, Kryptowährungsbörsen und anderen privaten Partnern eingefroren wurden. Die Gerichtsbeschlüsse belegen nicht, dass die Gelder bereits an Binance zurückgegeben wurden. Solche Einfrierungsmaßnahmen sind in großen Krypto-Diebstahlsfällen inzwischen ein routinemäßiger erster Schritt, wobei die Umwandlung von Gerichtsbeschlüssen in tatsächlich zurückgegebene Vermögenswerte Jahre rechtlicher Verfahren dauern kann.

Das FBI führte den Angriff zuvor auf die nordkoreanische Operation TraderTraitor zurück – ein Programm, das US-Behörden seit 2022 öffentlich verfolgen –, die kompromittierte interne Systeme ausnutzte, um unbefugte Transfers über mehrere Blockchains hinweg zu veranlassen. Binance vorläufige Ermittlung führte den Einbruch auf kompromittierte Mitarbeitergeräte, gestohlene Zugangsdaten und den Zugriff auf die Wallet-Signatur-Infrastruktur zurück. Die Angreifer nutzten zudem Ethereum-Autorisierungsmechanismus EIP-7702 aus, eine Funktion aus dem Pectra-Upgrade des Netzwerks vom Mai 2025, das Standard-Wallets vorübergehend als Smart Contracts agieren lässt, um Gelder unabhängig von den normalen Auszahlungssystemen der Börse zu bewegen.

Nordkoreanische Akteure versuchen weiterhin, die Erlöse über Krypto-Bridges, Mixer und Börsen zu waschen; US- und UN-Ermittler haben solche Diebstahlkampagnen wiederholt mit staatlicher Finanzierung in Verbindung gebracht. Zu früheren Wiederbeschaffungsmaßnahmen gehörte die Sicherung von rund 30 Millionen US-Dollar an gestohlenen Binance-Vermögenswerten durch Arbitrum, vorbehaltlich einer Genehmigung durch die Governance vor einer Freigabe.

Justizministerium unterbindet separate 400-Millionen-US-Dollar-Betrugskampagne Nordkoreas

US-Ermittler unterbanden zudem eine separate nordkoreanische Social-Engineering-Kampagne namens FaceStealer, die in den vorangegangen 18 Monaten über 400 Millionen US-Dollar in Kryptowährungen gestohlen hatte. Die Operation nutzte kompromittierte Messaging-Konten, betrügerische Videokonferenzen und KI-generierte Deepfakes, um Krypto-Fachleute zur Installation von Schadsoftware zu verleiten.

Die Angreifer gaben sich häufig als vertrauenswürdige Kontakte aus und konstruierten dann während Videoanrufen vorgetäuschte technische Probleme, um Opfer zur Herunterladung bösartiger Software zu bewegen, die Zugriff auf ihre Computer und Kryptowährungsbestände ermöglichte.

Das FBI beschlagnahmte die Cloud-Infrastruktur, die die Kampagne unterstützte, und erhielt im Rahmen eines Bundesbeschlusses mehr als 900 Webcam-Videos von Opfern, wodurch die Beschlagnahme von Infrastruktur mit der Vermögenssperren-Strategie der Hauptuntersuchung zum Hack kombiniert wurde. Die Ermittler untersuchen außerdem Versuche, Entwickler von Open-Source-Software zu kompromittieren, was den Angreifern Zugriff auf weit verbreitete Software-Repositories und deren Nutzer verschafft haben könnte.