Die Krypto-Tracking-Plattform MistTrack teilte mit, dass von Binance gestohlene $TRX über die Swap-Bridge der Bitget Wallet zu einer Ethereum-Adresse gelangt sind, die mit dem Phemex-Diebstahl in Verbindung steht, und identifizierte damit eine Überschneidung der beiden Transaktionsspuren.

Aufzeichnungen von TronScan, dem öffentlichen Block-Explorer des Tron-Netzwerks, bestätigen drei aufeinanderfolgende Wallet-zu-Wallet-Schritte in der von MistTrack veröffentlichten Route. Laut Berechnungen von The Defiant überwies die letzte Tron-Wallet rund 317.093 $TRX, den nativen Token von Tron, über 10 erfolgreiche Aufrufe in einen Swap-Router. Ethereum-Aufzeichnungen zeigen, dass die Zieladresse $ETH von Verträgen mit der Kennzeichnung Bitget DEX Aggregator und Bitget Swap 2 erhielt. Derartige Swap-Dienste wandeln ein Asset über Smart Contracts in ein anderes um – so tauchten die auf Tron in die Route eingebrachten $TRX auf Ethereum als $ETH-Eingänge auf.

Der Befund verknüpft die Geldbewegungen bei Binance mit einer Transaktionshistorie, die MistTrack Phemex, einer Kryptowährungsbörse, zuordnet, und bietet Ermittlern eine weitere Spur zur Untersuchung. Für sich allein beweist dies nicht, dass dieselbe Person oder Gruppe beide Diebstähle begangen hat, noch lässt sich daraus ableiten, ob der gemeinsame Empfänger eine von Angreifern kontrollierte Wallet oder ein Zwischendienst ist. Überschneidende Adressen gehören zu den Signalen, die Tracking-Unternehmen kennzeichnen, wenn sie den Weg gestohlener Gelder nachzeichnen; solche Überschneidungen können sowohl auf gemeinsame Betreiber als auch auf wiederverwendete Zwischeninfrastruktur hinweisen.

„Wir haben festgestellt, dass die Zieladresse zuvor vom Phemex-Hacker genutzt worden war“, schrieb MistTrack in einem Beitrag auf X. Der Tracker veröffentlichte beide Adressfolgen und verknüpfte eine Bitget-Bridge-Bestellung.

Die Tron-Route begann mit einer Übertragung von rund 46,38 Millionen $TRX von der Wallet, die MistTrack als Startadresse des Binance-Hackers identifizierte. Anschließend bewegten sich kleinere Tranchen durch die nächsten Wallets, und die Zahl von 317.093 $TRX erfasst die nativen Token-Eingaben in den Swap-Router der letzten Wallet und nicht den Gesamtbetrag des Diebstahls bei Binance. Da das Tron-Ledger öffentlich ist, lässt sich jeder veröffentlichte Schritt unabhängig anhand von Explorer-Aufzeichnungen überprüfen.

Auf Ethereum erhielt die gemeinsame Zieladresse 13,61 $ETH, das native Asset von Ethereum, von der vorletzten Wallet in der Phemex-seitigen Sequenz von MistTrack, bevor die Auszahlungen mit Bitget-Kennzeichnung eingingen. Die veröffentlichte Phemex-Route umfasst mehrere Übertragungen und Zeitpunkte, darunter eine 0,004-$ETH-Übertragung zwischen vorgelagerten Wallets im Dezember 2025. Diese Übertragungen belegen Verbindungen zwischen Adressen, nicht jedoch die Identität ihrer Betreiber.

Die Spur folgt auf einen umfassenderen Sicherheitsvorfall bei Binance, den die Börse auf rund 6,3 Milliarden US-Dollar bezifferte. Binance teilte mit, dass etwa 3 Milliarden US-Dollar an betroffenen Vermögenswerten On-Chain eingefroren wurden und dass alle Verluste über den SAFU (Secure Asset Fund for Users) Notfallfonds sowie Unternehmensmittel gedeckt werden.

Der gemeinsame Ethereum-Empfänger hatte die Gelder bereits weitergeleitet: Seine Transaktionshistorie weist eine ausgehende Übertragung von 23,51 $ETH nach dem zuletzt in den Aufzeichnungen gezeigten Eingang mit Bitget-Kennzeichnung aus. Da sowohl der Tron- als auch der Ethereum-Abschnitt der Spur auf öffentlichen Ledger-Daten beruhen, können weitere Bewegungen entlang der veröffentlichten Adressfolgen in denselben Aufzeichnungen verfolgt werden, während die Ermittler ihre Arbeit fortsetzen.