Das FBI hat den Hack im Wert von 6,3 Milliarden US-Dollar auf Binance formell TraderTraitor zugeordnet, einer mit Nordkorea in Verbindung gebrachten Hackeroperation, und dabei Hunderte mit dem Diebstahl verknüpfte Kryptowährungsadressen identifiziert sowie Börsen, Dezentral-Finance-Protokolle (DeFi) und Anbieter von Blockchain-Infrastruktur aufgefordert, Transaktionen mit den gestohlenen Geldern zu blockieren. Die Festlegung erfolgte in einer am 31. Oktober veröffentlichten Warnung, zwei Tage nachdem Angreifer die Hot Wallets der Börse kompromittiert und Milliarden von Dollar über mehrere Blockchains bewegt hatten.

Insgesamt wurden rund 3 Milliarden US-Dollar der betroffenen Assets inzwischen durch Abstimmung mit Stablecoin-Herausgebern und Blockchain-Partnern eingefroren. Binance hat derweil etwa 95 % der betroffenen Assets mit Unternehmensreserven und Notfonds wiederhergestellt und bereitet die Wiederaufnahme der Kundenauszahlungen am 1. November vor.

Bundesbehörden verfolgen die Geldwäsche der gestohlenen Mittel

In ihrer Mitteilung ordnete das FBI den Diebstahl vom 29. Oktober TraderTraitor zu, einer Operation, die zuvor mit bedeutenden Kryptodiebstählen in Verbindung gebracht worden war. Die Gruppe wurde erstmals 2022 in Warnhinweisen der US-Regierung benannt, als Bundesbehörden sie mit dem Diebstahl von rund 620 Millionen US-Dollar von der Ronin-Bridge in Verbindung brachten – damals der größte Angriff der Branche. Gemeinsam mit dem US Secret Service und der Strafverfolgungsabteilung des IRS (IRS Criminal Investigation) stellten die Bundesermittler fest, dass die gestohlenen Assets hauptsächlich in Ethereum umgewandelt werden, wobei weitere Geldwäsche über dezentrale Börsen, Instant-Swap-Dienste und andere DeFi-Infrastruktur erwartet wird. In früheren, mit TraderTraitor in Verbindung gebrachten Fällen verliefen die Wäscheketten über Mixing-Dienste – ein Muster, das das US-Finanzministerium 2022 dazu veranlasste, Mixer wie Blender.io und Tornado Cash zu sanktionieren.

Die Behörden riefen Handelsplattformen, THORNode-Betreiber, RPC-Anbieter und Blockchain-Analyseunternehmen auf, Transaktionen mit den identifizierten, von Angreifern kontrollierten Adressen zu blockieren. Das FBI veröffentlichte zudem eine umfangreiche Liste von Kryptowährungsadressen, die mit der Operation in Verbindung stehen, darunter Hunderte auf Ethereum und weitere Adressen auf Bitcoin und Solana. Die Veröffentlichung von Adresslisten auf diese Weise verschafft Börsen und Analysefirmen eine gemeinsame Screening-Referenz und macht zentralisierte On-Ramps sowie Sperrfunktionen der Emittenten zu praktischen Interventionspunkten.

Die Zuordnung bestätigt frühere Erkenntnisse der Blockchain-Analysefirmen TRM Labs und Chainalysis, die Transaktionsmuster identifiziert hatten, die mit nordkoreanischen Operationen übereinstimmen. US-Beamte und Sanktionsbeobachter der Vereinten Nationen haben zuvor eingeschätzt, dass Kryptodiebstähle eine bedeutende Einnahmequelle für Nordkoreas Waffenprogramme darstellen. TraderTraitor wurde auch mit dem Angriff auf Bybit im Februar 2025 in Verbindung gebracht, der Verluste von rund 1,5 Milliarden US-Dollar verursachte. Der Angriff auf Binance ist mehr als viermal so groß und damit der größte dokumentierte Kryptodiebstahl auf Basis der aktuellen Schätzungen.

Präsident Donald Trump reagierte zurückhaltend, als er am 31. Oktober auf die Verbindung zu Nordkorea angesprochen wurde, und erklärte, seine Regierung bewerte die Lage noch. „Wir wissen nicht, ob es Nordkorea ist, aber wenn ja, werden wir mit Nordkorea darüber sprechen“, sagte Trump bei einer Stellungnahme in Mar-a-Lago.

Binance stellt 95 % der Assets wieder her, Auszahlungen ab dem 1. November

Binance hat die Wiederherstellung der betroffenen Reserven beschleunigt und die Abdeckung von 80 % am 30. Oktober auf 90 % am Folgetag und rund 95 % zum 1. November erhöht. Die Börse bestätigte, dass zehn wichtige Assets nun vollständig gedeckt sind: BTC, ETH, USDT, USDC, BNB, SOL, XRP, USD1, RLUSD und ZEC. Die verbleibenden 5 % bestehen hauptsächlich aus weniger liquiden Token, die Binance weiterhin über Marktankäufe und OTC-Transaktionen erwirbt.

Die Auffüllung stützt sich auf Binance' Secure Asset Fund for Users (SAFU), den Futures-Versicherungsfonds und das Unternehmensvermögen. SAFU wurde 2018 als Notreserve zum Schutz von Kundengeldern bei Shortfalls der Börse eingerichtet. Der Ersatz der Reserven ist jedoch nicht identisch mit der Rückgewinnung der gestohlenen Kryptowährungen: Die rund 3 Milliarden US-Dollar, die On-Chain eingefroren wurden, müssen nicht unbedingt an die Börse zurückgegeben werden.

Die Auszahlungen sollen laut einer Unternehmensmitteilung schrittweise zwischen 06:00 und 09:00 UTC am 1. November wieder aufgenommen werden, beginnend mit den wichtigsten Netzwerken darunter Bitcoin, Ethereum, BNB Chain, Solana, Tron und XRP Ledger. Einzahlungen waren während des gesamten Wiederherstellungsprozesses funktionsfähig.

Binance' erste Untersuchung identifizierte einen möglicherweise kompromittierten Laptop eines DevOps-Mitarbeiters und unbefugten Zugriff auf die interne Auszahlungsinfrastruktur, wobei spätere Erkenntnisse zusätzliche Kompromittierungspunkte aufdeckten. Die Börse erklärte, es gebe keine Hinweise darauf, dass private Wallet-Schlüssel offengelegt wurden. Eine vollständige technische Erklärung steht noch aus.

Nachdem die Zuordnung des FBI nun formell erfolgt ist, verlagert sich der Fokus auf die Verfolgung und Unterbindung der Bewegung der gestohlenen Gelder. Beobachtenswert ist unter anderem, ob die Auszahlungen am 1. November planmäßig wieder aufgenommen werden, ob ein Teil der rund 3 Milliarden US-Dollar an eingefrorenen Assets auf rechtlichem Weg zurückgewonnen wird und welche technische Aufarbeitung Binance noch veröffentlichen wird. Das Ausmaß des Angriffs unterstreicht trotz Binance' Zusage, die Kundeverluste zu tragen, die anhaltende Bedrohung, die staatlich unterstützte Hackeroperationen für die Krypto-Infrastruktur darstellen.