Binance nahm am Sonntag die Abhebungen wieder auf, nachdem das Unternehmen den Großteil der beim Angriff vom 29. Oktober erbeuteten 6,3 Milliarden US-Dollar gedeckt hatte, wie Reuters berichtete, und bezifferte bis 15:30 UTC seine Nettoabflüsse auf rund 3,6 Milliarden US-Dollar. Konkurrierende Auswertungen von On-Chain-Datenanbietern weisen jedoch höhere Werte aus, und die Differenz lässt sich auf unterschiedliche Messzeitfenster, Wallet-Abdeckung und die Art zurückführen, wie neu erstellte Börsenadressen etikettiert werden.

Binance zählte 9,5 Stunden, DefiLlama zählte 24

Binance teilte mit, zwischen 06:00 und 15:30 UTC am Sonntag rund 4,65 Milliarden US-Dollar an Abhebungen und 1,01 Milliarden US-Dollar an Einzahlungen verarbeitet zu haben, wie The Block berichtete. Die Einzahlungen deckten etwa ein Fünftel des Abflusses, weshalb der Nettowert bei rund 3,6 Milliarden US-Dollar und nicht beim Bruttobetrag liegt. Diese Stunden folgten auf eine Sperrung, die seit dem 29. Oktober bestanden hatte.

Die Börse setzte den Nettowert ins Verhältnis zu 171 Milliarden US-Dollar an verwaltetem Vermögen aus ihren Proof-of-Reserves-Daten vom 28. Oktober und bezifferte den Abfluss auf 2,1%. Dieser Nenner datiert vor dem Hack, sodass das Verhältnis den Abfluss von Sonntag mit Binance-Beständen vor dem Diebstahl vergleicht – nicht mit den aktuellen Beständen.

Binance erklärte außerdem, dass sich die Abhebungsvolumina nach dem anfänglichen Anstieg stabilisieren, während die Einzahlungen substanziell blieben. Eine stündliche Aufschlüsselung veröffentlichte das Unternehmen nicht, sodass der Verlauf dieses Rückgangs von außerhalb der Börse nicht überprüft werden kann.

Die konkurrierenden Werte im Überblick:

• Binance, selbst gemeldet: rund 3,6 Milliarden US-Dollar netto, 06:00–15:30 UTC, 1. November
• DefiLlama, via The Block: rund 4,05 Milliarden US-Dollar netto, 24 Stunden bis 16:37 UTC, 1. November
• DefiLlama, via Reuters: rund 4,4 Milliarden US-Dollar, Zeitfenster nicht angegeben

Diese Zahlen messen nicht dasselbe. DefiLlamas 24-Stunden-Fenster beginnt am Samstagnachmittag, mehr als 13 Stunden bevor Binance die erste Abhebung verarbeitete – zu einem Zeitpunkt, als Kunden keine Möglichkeit hatten, Mittel von der Börse zu bewegen. Ein in diesen Stunden erfasster Guthabenrückgang konnte daher kein Kundenabfluss sein.

Auch die Abdeckung unterscheidet sich. DefiLlama verfolgt rund 131 Milliarden US-Dollar in Wallets, die es Binance zuordnet – deutlich weniger als die von der Börse gemeldeten 171 Milliarden US-Dollar. Beide zählen somit Ströme über unterschiedliche Adressensätze.

Eine neue Hot Wallet sieht aus wie abfließendes Geld

Nachdem die Angreifer die Hot Wallets geleert hatten, begann Binance, Abhebungen über neu generierte Wallets abzuwickeln und fügte diese ihrer Proof-of-Reserves-Liste hinzu, so The Block. Bis ein Tracker eine neue Adresse als Binance-zugehörig kennzeichnet, erscheinen Mittel, die die Börse dorthin bewegt, als Abfluss. CryptoQuants Methodik-Leitfaden weist auf dasselbe Risiko hin: Nicht identifizierte Börsenadressen können eine interne Übertragung wie eine externe Auszahlung erscheinen lassen.

Darauf stützt sich Binance Einwand gegen den höheren DefiLlama-Wert, der, so die Börse, die Einzahlungen in die neue Hot Wallet nicht vollständig berücksichtigt habe. Kein Tracker hat bisher eine Abstimmung veröffentlicht. Solange die neuen Adressen nicht etikettiert und die Zeitfenster nicht angeglichen sind, beruht diese Erklärung allein auf Binance Wort.

Dasselbe Etikettierungsproblem trübt die Daten des Angriffstags. CryptoQuant erfasste am 29. Oktober etwa 28.000 BTC und rund 2,9 Milliarden ERC-20 USDT, die aus als Binance markierten Wallets abflossen. Diese Summen vermischen gestohlene Mittel, Notfalltransfers und etwaige vor der Sperrung verarbeitete Kundenabhebungen, und die USDT-Reihe umfasst nur die Ethereum-Version des Tokens. Die USDT-Zahl birgt eine zweite Komplikation: Ein Teil davon ist gestohlener Stablecoin, den Emittenten theoretisch einfrieren könnten. Coindoos Analyse, wie der Hacker diese Freezes überwand, zeigt, wie es dem Angreifer dennoch gelang, die Mittel in Bewegung zu halten.

Wo das Geld auftauchte

Nur ein kleiner Teil der Abflüsse vom Sonntag tauchte bei konkurrierenden Börsen auf. Im selben 24-Stunden-Zeitraum verzeichneten die zehn nächstgrößten Börsen in DefiLlamas Daten zusammen rund 368 Millionen US-Dollar an Nettozuflüssen, angeführt von OKX mit knapp 317 Millionen US-Dollar, während Bitfinex und Gate Nettoabflüsse auswiesen. DefiLlama erfasst Coinbase und Kraken nicht, doch CoinGlass-Daten, auf die sich The Block berief, zeigten einen Anstieg ihrer Bitcoin-Bestände um etwa 984 BTC bzw. 1.422 BTC, während Binance um rund 19.289 BTC sank.

Der Großteil des Geldes floss somit an Adressen, die diese Dashboards nicht kennzeichnen. Dabei könnte es sich um Self-Custody-Wallets, kleinere Börsen oder noch nicht markierte Binance-Adressen handeln – allein anhand der On-Chain-Daten lässt sich das nicht unterscheiden.

Was Kunden tatsächlich abheben können

Binance ordnete die erste Phase anhand der Abhebungsnachfrage der Vorwoche, weshalb die wichtigsten Coins und die am stärksten genutzten Stablecoin-Netzwerke zuerst zurückkehrten. In seiner Aktualisierung zur Wiederherstellung vom 1. November erklärte die Börse, die Guthaben in BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD und ZEC seien vollständig gedeckt. Die rund 5% des gestohlenen Werts, die noch nicht ersetzt sind, entfallen auf weniger liquide Tokens außerhalb dieser Gruppe, die das Unternehmen weiterhin über Markt- und OTC-Kanäle ankauft.

Abhebungsstatus am Sonntagnachmittag (UTC):

• 12:36 – Alle 15 Netzwerke der ersten Phase wieder geöffnet
• 16:22 – Statusseite zeigte 531 von 552 Coins als gesperrt; 14 teilweise wiederhergestellt, darunter BTC und ETH
• Weiterhin im Test – Cardano, Chainlink, Hyperliquid, Litecoin, NEAR und weitere Netzwerke

Für alle, die einen weiterhin gesperrten Coin halten, sagen die Milliarden von Sonntag nichts über ihr eigenes Guthaben aus. Binance Netzwerk-Statusseite listet die Verfügbarkeit für jedes Asset- und Netzwerk-Paar auf.

Den gestohlenen Wert mit Unternehmensmitteln zu ersetzen, ist zudem etwas anderes als die gestohlenen Coins selbst zurückzugewinnen. Binance erklärt, mit Strafverfolgungsbehörden und Industriepartnern zusammenzuarbeiten, um diese aufzuspüren und einzufrieren; in der Aktualisierung vom 1. November gab das Unternehmen jedoch nicht an, wie viel davon bisher eingefroren wurde.

Reserve-Daten liegen weiterhin vor Sonntag

Beide im Umlauf befindlichen Reserve-Referenzen datieren vor der Welle. Das 2,1%-Verhältnis beruht auf Daten vom 28. Oktober. Binance erklärte, sein nächster Proof-of-Reserves-Bericht, der mit Zero-Knowledge-Proofs berechnet und für Montag erwartet wird, nutze einen Snapshot vom 31. Oktober. Dieser Bericht kann zeigen, was am Samstag die Kundenguthaben deckte – nicht, was nach den Auszahlungen am Sonntag übrig blieb. Der Anlegerbeauftragte der PCAOB hat zudem davor gewarnt, dass solche Berichte keine Prüfungen sind und wenig über die Gesamtfinanzen eines Unternehmens aussagen.

Drei Indikatoren werden zeigen, ob der Sonntag eine Bereinigung des Rückstands oder der Beginn eines längeren Abflusses war. Erstens, ob die gesperrten Coins wieder online gehen. Zweitens, ob DefiLlamas Werte sich den Zahlen von Binance annähern, sobald die neuen Wallets etikettiert sind. Drittens, der erste Reserve-Snapshot mit Datum nach dem 1. November.

Dieser Artikel wurde ursprünglich von Coindoo veröffentlicht.