Nordkoreanische Hacker bewegen die rund 6,4 Milliarden US-Dollar, die aus dem Hack von Binance gestohlen wurden, in einem atemberaubenden Tempo und legen etwa alle 25 Sekunden eine neue Krypto-Wallet an. Das geht aus der Analyse des Waschvorgangs hervor, die das Blockchain-Analyseunternehmen Elliptic am Montag veröffentlichte.

In weniger als vier Tagen hat der Angreifer die Gelder auf rund 12.000 Wallets über 11 Blockchains verteilt und dabei mehr als 40.000 Transaktionen ausgeführt. Elliptic bezeichnete die Operation als hochautomatisiert, fand aber keine Hinweise auf den Einsatz künstlicher Intelligenz.

Die Herausgeber von Stablecoins reagierten jedoch schneller, als die Täter das Geld verteilen konnten. Rund 2,85 Milliarden US-Dollar bzw. 44 Prozent der Beute wurden eingefroren oder beschlagnahmt – ein deutlicher Unterschied zu den etwa 3 Prozent, die nach dem Hack von 1,5 Milliarden US-Dollar bei Bybit durch Nordkorea im Februar 2025 eingefroren wurden, dem bis dahin größten Krypto-Diebstahl der Geschichte. Der Angriff auf Binance ist mehr als viermal so groß.

Geschwindigkeit erwies sich als entscheidend, da Stablecoins 3,46 Milliarden US-Dollar bzw. 54 Prozent der Beute ausmachten und ihre Herausgeber sie einfrieren können. Tether sperrte die gestohlenen USDT auf Ethereum 37 Minuten, nachdem sie in die Wallet des Angreifers gelangt waren, während Circle alle 823 Millionen US-Dollar in gestohlenen USDC einfror, bevor auch nur ein Teil umgetauscht werden konnte, so Elliptic.

Bevor diese Sperrungen in Kraft traten, tauschte der Hacker 434 Millionen USDT auf dezentralen Börsen wie Uniswap in ETH um, lieh sich 19.762 ETH über den Kreditprotokoll Aave gegen weitere 59,9 Millionen USDT und tauschte 234 Millionen USDT gegen Trons TRX-Token. Insgesamt entgingen damit etwa 786 Millionen US-Dollar in Stablecoins dem Eingreifen der Herausgeber.

Der Angriff selbst begann am späten Donnerstag, als die Täter begannen, Binance' Hot Wallets zu leeren – internetverbundene Wallets, die Börsen zur Abwicklung von Kundenauszahlungen nutzen und daher die am stärksten exponierte Schicht der Verwahrungsarchitektur einer Börse darstellen. Das FBI hat den Diebstahl inzwischen TraderTraitor zugeordnet, einer nordkoreanischen, staatlich verbundenen Hackergruppe, die US-Behörden zuvor bereits mit anderen großen Krypto-Diebstählen in Verbindung gebracht haben, und Hunderte zugehörige Adressen veröffentlicht. Binance, das zugesagt hat, alle Kundenverluste zu übernehmen, öffnete die Auszahlungen am Sonntag wieder und verzeichnete in den ersten neuneinhalb Stunden rund 3,64 Milliarden US-Dollar an Netto-Abflüssen.

Die anschließende Geldwäsche war unerbittlich. Tron wurde zum Hauptweg, wobei die Transaktionsaktivität mit rund 1.300 Überweisungen in einer einzigen Stunde ihren Höhepunkt erreichte. Dieses Tempo nährte Spekulationen, dass KI-Agenten die Bewegungen steuerten, doch Elliptic wies diese Deutung zurück und verwies auf feste zeitliche Abläufe, festgelegte Beträge, blinde Wiederholungen und Pausen, die menschlichen Arbeitszeiten ähneln. Zwar sei die Geldwäsche eindeutig automatisiert, schrieb das Unternehmen, doch „nichts, was wir gesehen haben, zeigt einen KI-Agenten, der Entscheidungen trifft.“

Erhebliche Summen sind noch unberührt. Rund 3,24 Milliarden US-Dollar liegen auf Adressen, die mit dem Diebstahl in Verbindung gebracht werden, überwiegend in ETH und den 18.270 gestohlenen Bitcoin, die sich seit dem Tag des Angriffs nicht bewegt haben. Elliptic ist überzeugt, dass sich diese Gelder mit großer Wahrscheinlichkeit noch im Besitz Nordkoreas befinden – UN-Ermittler haben zuvor berichtet, dass nordkoreanische Krypto-Diebstähle das Waffenprogramm des Landes finanzieren –, während das Geld, das sich bereits in der Waschpipeline befindet, möglicherweise an chinesische Geldwäschenetzwerke übergeben wurde. Nur ein vernachlässigbarer Betrag scheint bereits ausgezahlt worden zu sein. Etwa 16 Millionen US-Dollar flossen außerdem an Adressen, die Erlöse aus dem Bitget-Exploit im September enthalten.

Aufgrund des Musters nach dem Bybit-Hack erwartet Elliptic, dass der Angreifer seine ETH in kleinen Tranchen gegen Bitcoin tauschen und über einen Zeitraum von Monaten über OTC-Broker auszahlen lassen wird. Weitere Sperrungen werden laut dem Unternehmen schwieriger, da ETH und Bitcoin nicht eingefroren werden können. Die verbleibenden besten Möglichkeiten liegen bei zentralisierten Diensten, bei denen die Gelder schließlich auftauchen müssen – und wo die Hunderten vom FBI veröffentlichten Adressen den Compliance-Teams ein konkretes Screening-Instrument bieten.

Der Diebstahl bei Binance krönt eine harte Phase für die Sicherheit des Krypto-Sektors. BTCPay Server forderte Händler auf, ihre Server abzuschalten, am Montag, nachdem es Berichte über Angriffe auf Hot Wallets gab, und die brasilianische Börse Mercado Bitcoin stellte die Auszahlungen nach einem Hack von 40 Millionen US-Dollar ein. Es ist unklar, ob eines der beiden Ereignisse mit dem Angriff auf Binance in Zusammenhang steht.