Das FBI hat bestätigt, dass nordkoreanische Hacker hinter dem Diebstahl von mehr als 6 Milliarden US-Dollar in virtuellen Vermögenswerten bei Binance stecken, und hunderte Blockchain-Adressen veröffentlicht, die mit dem Angriff in Verbindung stehen – während die Börse die Auszahlungen wieder freigab und Milliarden von der Plattform abflossen.

In einer am Samstag veröffentlichten Warnung teilte die Behörde mit, der Angriff sei von der nordkoreanischen Hackergruppe ausgeführt worden, die sie als „TraderTraitor" bezeichnet, und bestätigte damit die Zuordnung, die die Blockchain-Analysefirmen TRM Labs und Chainalysis bereits am Freitag vorgenommen hatten. Das FBI teilte mit, die Gelder seien am oder um den 29. Oktober 2026 von der Kryptowährungsbörse gestohlen worden, und veröffentlichte den Hinweis auf seiner offiziellen Cyber-Warnseite.

TraderTraitor ist die Bezeichnung, die US-Behörden für mit der Demokratischen Volksrepublik Korea (DVRK) verbundene Akteure hinter hochwertigen Kryptodiebstählen verwenden. Die Behörde verkündete ihr Ergebnis auf X:

The FBI is releasing information advising the Democratic People's Republic of Korea (North Korea) was responsible for the theft of more than $6 billion USD in virtual assets from cryptocurrency exchange, Binance, on or about October 29, 2026. The FBI refers to this specific North… pic.twitter.com/TBUvUFln4n

— FBI Cyber Branch (@FBICyberBranch) October 31, 2026

Den Beitrag des FBI Cyber Branch auf X ansehen

Gemeinsam mit dem US Secret Service und der Steuerfahndung IRS Criminal Investigation hat das FBI beobachtet, wie die Hacker die gestohlenen Vermögenswerte hauptsächlich in Ethereum umwandelten, und erwartet, dass sie die Gelder weiter über dezentrale Finanzdienste (DeFi) und Instant-Swap-Dienste waschen. Die Behörde forderte Node-Betreiber, Instant-Börsen, DeFi-Dienste, Blockchain-Analysefirmen und andere Krypto-Unternehmen auf, Transaktionen mit den Hunderten Ethereum-Adressen, 19 Bitcoin-Adressen und einer Solana-Adresse zu blockieren, die sie mit dem Diebstahl in Verbindung bringt.

Der Secret Service, der den Diebstahl ebenfalls untersucht, erklärte am Sonntag, seine Ermittler hätten mit Partnern aus der Branche zusammengearbeitet, um binnen Minuten nach dem Angriff „einen erheblichen Teil" der gestohlenen Kryptowährungen zu identifizieren und einzufrieren. Diese Arbeit wird gemeinsam mit dem FBI, der IRS Criminal Investigation, den US-Staatsanwaltschaften für Washington, D.C. und den zentralen Bezirk von Kalifornien sowie den Abteilungen für Computerkriminalität und nationale Sicherheit des Justizministeriums fortgesetzt, so die Behörde.

Die Geldwäsche ist bereits in vollem Gange. Die Blockchain-Analysefirma Chainalysis teilte am Sonntag mit, die Hacker hätten nach dem Angriff mehr als 500 Millionen US-Dollar auf Tron über mehr als 1.000 Adressen, über 3.000 Einzahlungen und mehrere Tron-basierte DeFi-Protokolle bewegt. Die meisten dieser Zwischenwallets seien inzwischen geleert, wobei die Gelder Tron über Cross-Chain-Dienste wie Chainflip, Relay, THORChain und NEAR in Dutzende neue Wallets auf Ethereum, Bitcoin und anderen Chains verließen, und die Geldwäscher hätten begonnen, auf Solana überzuwechseln, so das Unternehmen. Diese Aktivität entspricht der Erwartung des FBI, dass die gestohlenen Gelder weiter über DeFi- und Instant-Swap-Dienste gewaschen würden.

Auszahlungen laufen wieder

Binance begann am Sonntag um 1 Uhr morgens ET, die Auszahlungen schrittweise wieder freizugeben, und alle 15 Netzwerke und Assets der ersten Phase waren bis 7:36 Uhr ET verfügbar. In den ersten neuneinhalb Stunden verarbeitete die Börse 4,649 Milliarden US-Dollar an Auszahlungen und 1,01 Milliarden US-Dollar an Einzahlungen, was einem Nettoabfluss von etwa 3,64 Milliarden US-Dollar entspricht, wie Binance mitteilte.

Das Unternehmen erklärte, dieser Nettoabfluss entspreche 2,1 Prozent der 171 Milliarden US-Dollar an Vermögenswerten, die im aktuellsten Proof of Reserves vom 28. Oktober ausgewiesen wurden. „Nach anfänglicher Spitze sind die Auszahlungsvolumina gesunken und stabilisieren sich wie erwartet", so Binance. Das Unternehmen erstellte am 31. Oktober einen neuen Reserven-Snapshot und erwartet, am Montag einen aktualisierten Bericht zu veröffentlichen. Da der Snapshot vom 28. Oktober vor dem Diebstahl liegt, wird der Bericht vom Montag der erste veröffentlichte Proof of Reserves der Börse nach dem Angriff sein.

Als die Auszahlungen begannen, erklärte CEO Richard Teng, Binance habe etwa 95 Prozent der betroffenen Vermögenswerte aufgefüllt, und beschrieb einen vorsichtigen, gestuften Ansatz, um die Dienste sicher wieder in Betrieb zu nehmen. „Binance wird die finanziellen Auswirkungen der gestohlenen Gelder tragen, nicht unsere Nutzer", schrieb er.

Today, we're beginning the phased resumption of withdrawals, taking a careful approach to ensure services return safely and securely. We've now replenished approximately 95% of the impacted assets, and our commitment remains clear: Binance will absorb the financial impact of the… pic.twitter.com/uWFGs3sJJ5

— Richard Teng (@_RichardTeng) November 1, 2026

Den Beitrag von Richard Teng auf X ansehen

Binance hat inzwischen die Auszahlungen auf weiteren Netzwerken freigegeben, darunter Zcash, TON und Sui, und am Montag die Fiat-Auszahlungen in US-Dollar, VAE-Dirham, vietnamesischen Dong, philippinischen Peso und indonesischen Rupiah wieder aufgenommen.

„Unsere oberste Priorität ist derzeit, die Umgebung abzusichern, danach können die Nutzer ihre Gelder abheben und Binance kann den Betrieb wieder aufnehmen", sagte Binance-Mitgeschäftsführerin Yi He am Montag auf X, wie Reuters berichtete.

Die Börse erklärte, sie habe 6 Milliarden US-Dollar zur Deckung der Verluste mobilisiert, aus ihrem Unternehmenstreuhandvermögen, einem Versicherungsfonds und ihrem SAFU-Notfallfonds, wie Reuters berichtete. Reuters meldete außerdem, dass der Stablecoin-Herausgeber Circle mehr als 1,1 Milliarden US-Dollar in USDC eingefroren habe.

Daten von DefiLlama, das die öffentlichen Wallets von Börsen verfolgt, wiesen die Gesamtvermögenswerte von Binance am Montag auf etwa 127,6 Milliarden US-Dollar aus. Mehr als 6 Milliarden US-Dollar flossen in den 24 Stunden nach Wiederöffnung der Auszahlungen aus Wallets ab, die mit Binance in Verbindung stehen, wie CoinDesk unter Verweis auf DefiLlama berichtete, wobei diese Bewegungen auch Überweisungen zwischen Binances eigenen Wallets umfassen können. Die konkurrierenden Börsen OKX und Bybit verzeichneten während der Wiedereröffnung Binances Nettozuflüsse von etwa 450 Millionen bzw. 134 Millionen US-Dollar.

Der Hack hat auch institutionelle Anleger beunruhigt. Spot-Bitcoin-ETFs verloren am Freitag 643,2 Millionen US-Dollar – die erste volle Handelssitzung nach dem Angriff –, womit die Fonds im Oktober auf insgesamt etwa 516 Millionen US-Dollar an Nettoabflüssen kommen.

„Ein Hack einer Krypto-Börse ist ein Banküberfall mit Internetgeschwindigkeit", sagte TRM Labs' Ari Redbord gegenüber Reuters.

Dieser Artikel basiert auf Decrypts ursprünglicher Berichterstattung.