Das Federal Bureau of Investigation hat bestätigt, dass Nordkorea hinter dem Diebstahl von mehr als 6 Milliarden US-Dollar von Binance steckt. In seiner Ankündigung vom 31. Oktober ordnete die Behörde den Angriff der Aktivität zu, die sie als TraderTraitor verfolgt, und klärte damit die Frage der nordkoreanischen Verantwortung, die über dem Fall geschwebt hatte.

Warum sich der Appell an die Infrastruktur richtet

Das FBI, der Secret Service und die Strafverfolgungsbehörde des IRS haben THORNode-Betreiber, RPC-Betreiber, Instant-Börsen, DeFi-Dienste, Analysefirmen und andere Virtual-Asset-Anbieter gebeten, Transaktionen im Zusammenhang mit den von ihnen veröffentlichten Adressen zu blockieren. Nach Angaben der Behörden werden die gestohlenen Vermögenswerte hauptsächlich in ETH umgewandelt, und eine weitere Wäsche wird über DeFi- und Instant-Swap-Dienste erwartet.

Diese Umwandlung erklärt, warum sich der Appell an so viele Arten von Diensten richtet. Stablecoin-Aussteller können ihre eigenen Token einfrieren, und ein Teil der Beute wurde auf diese Weise innerhalb weniger Stunden eingefroren. ETH hat keinen Aussteller, den man kontaktieren könnte. Sobald der Angreifer Werte in ETH bewegt hat, hängt die Unterbrechung von den Diensten ab, durch die die Gelder als Nächstes laufen.

Die Adressliste ist der Ausgangspunkt. Das FBI beschreibt die gelisteten Wallets als Adressen, die gestohlene Vermögenswerte halten oder zuvor gehalten haben und die von TraderTraitor-Akteuren betrieben oder eng mit diesen verbunden sind. Einige könnten bereits leer sein. Jeder Anbieter muss weiterhin prüfen, was er innerhalb seiner eigenen Rolle tun kann, wenn überhaupt.

Was „Blockieren" bedeuten kann: Fünf Stufen

Die Intervention reicht von der schwächsten zur stärksten Form, und nur die letzte Stufe bringt Geld zurück:

1. Rückverfolgung. Analysefirmen kartieren, wohin die Gelder fließen, und alarmieren andere – Information, keine Kontrolle.
2. Verweigerung einer Verbindung. Ein RPC-Anbieter oder eine App-Oberfläche weist Anfragen von markierten Adressen auf seinem eigenen Dienst ab.
3. Anhalten eines Protokolls. Ein Netzwerk wie THORChain kann den Handel oder eine ganze Chain anhalten und dadurch die Transaktionen aller Nutzer stoppen, nicht nur die des Angreifers.
4. Einfrieren in Verwahrung. Eine Börse oder Verwahrstelle, die die Vermögenswerte hält, verweigert den Zugriff darauf.
5. Rückführung von Geldern. Identifizierte Vermögenswerte werden tatsächlich zurücküberwiesen.

Jede Stufe erfordert andere Nachweise. Eine verweigerte Verbindung zeigt, dass ein Dienst Nein gesagt hat. Ein Stopp zeigt, dass die Aktivität für eine Zeit pausiert wurde. Eine Verwahrsperre zeigt, dass Vermögenswerte gehalten werden, bis ein rechtliches Verfahren abgeschlossen ist. Nur eine Rückführung zeigt eine tatsächliche Rückholung. Die im Appell genannten Anbieter stehen auf unterschiedlichen Stufen: Analysefirmen verfolgen, RPC-Betreiber und App-Oberflächen verweigern, Protokollbetreiber können anhalten, und Verwahrstellen frieren ein.

Verweigerung einer Verbindung

Anwendungen erreichen Ethereum über Nodes, die häufig von RPC-Anbietern betrieben werden, um Daten zu lesen oder Transaktionen zu senden, wie die JSON-RPC-Dokumentation von Ethereum erläutert. Ein Anbieter kann Anfragen ablehnen, die über seinen Dienst laufen, doch die Regeln des Netzwerks ändern sich dadurch nicht. Broadcasting, Blockaufnahme und Finalität sind getrennte Schritte, und eine von einem Anbieter abgelehnte Transaktion kann weiterhin über einen anderen gesendet werden. Dasselbe gilt für eine Website, die ihre Oberfläche einschränkt, während das zugrunde liegende Protokoll weiterläuft.

Anhalten eines Protokolls: THORChains Position

Das FBI benannte THORNode-Betreiber direkt – die Betreiber, die das THORChain-Netzwerk betreiben –, was das Design von THORChain unter verstärkte Beobachtung stellt. In einem Beitrag vom 1. Oktober, veröffentlicht vor dem Binance-Diebstahl, erklärte das Projekt, sein Protokoll könne sicherheitshalber eine Chain oder das gesamte Netzwerk pausieren, habe aber keine Kontrolle, um einen einzelnen Swap zu entfernen. Sein Quartalsbericht vom 23. Oktober wiederholte diese Position.

Die Entwicklerdokumentation des Projekts beschreibt mehrere Arten von Pausen, vom Stoppen des Handels über das Anhalten des ausgehenden Signierens bis hin zum Stilllegen einer Chain. Jede davon würde alle Nutzer dieser Route treffen, nicht nur den Angreifer.

Ein Unfall hat bereits gezeigt, wie eine ungeplante Unterbrechung aussieht. Am 31. Oktober teilte Chainalysis mit, dass eine Ethereum-Blockreorganisation THORChain dazu veranlasst hatte, eine doppelte Rückerstattung an jemanden auszustellen, der 10 ETH eingezahlt hatte, was versehentlich das Wäschen der von Binance gestohlenen Gelder verzögerte. Das war ein betrieblicher Fehler, keine bewusste Beschränkung – und verzögerte Gelder sind keine zurückgeholten Gelder.

THORChain hat versehentlich das Wäschen einer erheblichen Menge von Geldern verzögert, die von Binance gestohlen wurden. Der Grund? Eine Ethereum-Reorganisation. Eine fand heute Morgen statt und veranlasste THORChain, fälschlicherweise eine doppelte Rückerstattung an jemanden auszustellen, der 10 ETH eingezahlt hatte. Dies löste einen „Notfallstopp" auf THORChain aus, der alle Nutzer, einschließlich der nordkoreanischen Geldwäscher, daran hinderte, Cross-Chain-Swaps zu nutzen. Bis der Dienst wieder online ist, können weder die Hacker noch jemand anderes über die Mehrheit von THORChains Bridges tauschen.

— Chainalysis (@chainalysis) 31. Oktober 2026 — auf X gepostet

Einfrieren in Verwahrung

Der stärkste Kontrollpunkt ist ein Unternehmen, das die Vermögenswerte tatsächlich hält. ETH hat keine Aussteller-Sperrliste, aber eine Börse oder Verwahrstelle, die gestohlene ETH für einen Kunden hält, kann dieses Konto sperren. Wo Sanktionen gelten, verlangt die OFAC-Richtlinie, dass US-Personen, die gesperrte virtuelle Währung halten, den Zugriff verweigern und die Aufbewahrungs- und Meldevorschriften einhalten. Der Hinweis des FBI ist eine Bitte, keine Sanktionsfestlegung oder Gerichtsbeschluss, sodass jeder Inhaber weiterhin eine eigene Rechtsgrundlage zum Handeln benötigt.

Was als Fortschritt gelten würde

Erwähnenswerte Aktualisierungen nennen den Anbieter, die ergriffene Maßnahme, die betroffenen Vermögenswerte und den Zeitpunkt. Eine bestätigte Beschränkung zeigt, dass sich der Weg des Angreifers verengt. Eine Verwahrsperre zeigt, dass Vermögenswerte gehalten werden. Nur eine dokumentierte Rücküberweisung zeigt, dass Geld zurückfließt – und genau diese Zahl wird letztlich messen, wie viel von den 6 Milliarden US-Dollar die Reaktion tatsächlich gerettet hat.

Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Finanz- oder Anlageberatung dar.