Nordkorea hat die Verantwortung für den Krypto-Diebstahl von 6,3 Milliarden USD bei Binance zurückgewiesen und die FBI-Zuschreibung des Angriffs als "absurde Rhetorik" bezeichnet. Die Distanzierung erfolgte, während die größte Krypto-Börse der Welt meldete, dass sich die Kundenabflüsse nach dem Vorfall normalisiert hätten.

Binance hält Guthaben, das Kunden jederzeit abheben können, und diese Auszahlungsfähigkeit gilt weithin als das eigentliche Kapital einer Börse. Sperrt eine Börse Auszahlungen, wächst der Druck, Mittel abzuziehen. Binance gab den Diebstahl am 29. Oktober 2026 bekannt und sperrte Auszahlungen zunächst für mehr als zwei Tage. Analysefirmen haben den technischen Ablauf seither weitgehend rekonstruiert. Präzedenzfall ist der Hack von 1,5 Milliarden USD bei Bybit im Februar 2025 — damals der größte Krypto-Diebstahl, der je verzeichnet wurde —, bei dem das FBI ebenfalls Nordkorea als Angreifer benannte; der Binance-Fall ist damit etwa viermal so groß. Bis zum 2. November hatten Kunden netto 4,72 Milliarden USD von der Plattform abgezogen. Pyongyangs Reaktion auf die FBI-Zuschreibung, die am Wochenende ergangen war, erfolgte am Dienstag.

Pyongyang nennt FBI-Zuschreibung "absurde Rhetorik"

Am Wochenende hatte das FBI, die Bundespolizeibehörde der USA, die regelmäßig schwerwiegende Cyberangriffe staatlichen Akteuren zuschreibt, Nordkorea für den Diebstahl von Kryptowerten im Wert von mehr als 6 Milliarden USD verantwortlich gemacht. Die Analysefirma TRM Labs hatte den Angriff zuvor mit hoher Wahrscheinlichkeit Nordkorea zugeschrieben. Pyongyang antwortete über die staatliche Nachrichtenagentur KCNA.

Kim Yo Jong, die einflussreiche Schwester des Machthabers Kim Jong Un und Partei-Funktionärin, nannte die US-Anschuldigung "absurde Rhetorik und nichts Neues". Ihrer Darstellung zufolge will das FBI die DVRK als "Cyber-Verbrecherstaat" brandmarken und stützt sich dabei auf Informationen, wonach eine von der DVRK "unterstützte" Hackergruppe beteiligt war.

"Es ist eine schwere politische Provokation gegen die DVRK, dass die USA die internationale Öffentlichkeit in die Irre führen, als wären alle Cyberverbrechen in verschiedenen Teilen der Welt unsere Taten", sagte sie.

Kim Yo Jong fügte hinzu, Nordkorea habe angesichts der US-Feindseligkeit "Dinge zu überdenken", ohne zu präzisieren, was. Pyongyang hat auf die Angebote von US-Präsident Donald Trump zur Wiederaufnahme der Gipfeldiplomatie in diesem Jahr bislang nicht reagiert, und das Land bestreitet jede Verbindung zu Krypto-Diebstahl und anderer Cyberkriminalität grundsätzlich.

Analysten in Seoul bemerkten das Tempo der Antwort. Ihrer Ansicht nach spiegelt die ungewöhnlich schnelle Reaktion vermutlich Besorgnis in Pyongyang wider, dass die Zuschreibung schärfere Maßnahmen gegen die mutmaßlichen Einnahmequellen des Regimes nach sich ziehen könnte. Vorerst steht damit eine offizielle Zuschreibung gegen eine staatliche Dementi-Erklärung.

Binance sieht Abflüsse nach 24 Stunden normalisiert

Co-CEO Richard Teng kommentierte den Zustand der Börse bei der Hong Kong Fintech Week. Die Auszahlungen seien in den ersten 24 Stunden stark gestiegen, sagte er, danach habe sich die Lage "weitgehend normalisiert". Binance sei in "sehr starker finanzieller Verfassung", fügte Teng hinzu, und habe 95 % der betroffenen Token ersetzt. "Das können wir abdecken. Wir sind dazu in der Lage", sagte der Manager.

Neben den kumulierten Nettoabflüssen von 4,72 Milliarden USD nennt die Börse eine relative Kennzahl: Seit die Auszahlungen wieder laufen, entspricht der Nettoabfluss nur etwa 3 % des Plattformvermögens. Analysten bewerten dies als relativ moderat und als Zeichen, dass das Kundenvertrauen weitgehend gehalten hat. Binance hatte die Auszahlungen mehr als zwei Tage gesperrt und ab dem 1. November schrittweise wieder geöffnet. In einem Beitrag auf X meldete die Börse später, dass die stündlichen Einzahlungen nun die Auszahlungen übersteigen, was sie als Ausdruck verbesserter Nutzeraktivität und stabilisierter Flüsse wertete.

Maksym Repa, Head of DeFi beim Bitcoin-Finanzprotokoll Lombard, sah auch in der begrenzten Kursreaktion ein Zeichen von Reife. Nach seiner Einschätzung unterschieden die Anleger zwischen einem Sicherheitsversagen einer zentralisierten Börse und einem Problem des Bitcoin-Netzwerks.

Bemerkenswert ist, dass Binance bei stabilen Flüssen zugleich finanzielle Anreize bietet. Seit Anfang November bietet eine "Community Appreciation Campaign" Gebührenrabatte und Belohnungen, die sich an Nutzer mit kumuliertem Handelsvolumen von mindestens 10.000 USD richten. Darüber hinaus werfen bestimmte Renditeprodukte bis zu 10 % APR ab. Die Kampagne endet am 21. November 2026.

Die Normalisierung bleibt gleichwohl eine Selbstaussage der Börse. Anfang November hat Binance zwar einen kryptografischen Nachweis der Reservebestände (Proof of Reserves) für zehn Vermögenswerte abgeschlossen, den Kunden selbst überprüfen können. Der Stichtag liegt jedoch auf dem 31. Oktober und erfasst somit die Abflüsse nach der Wiederöffnung der Auszahlungen nicht. Zudem ersetzt er kein externes Audit.

Wie Krypto-Diebstahl Waffenprogramme in Nordkorea finanziert

Analysten sehen Krypto-Diebstahl als eine zentrale Finanzierungsquelle für Nordkoreas Waffenprogramme, und Cybersicherheitsexperten zählen die Hacker des Landes zu den aktivsten Krypto-Dieben der Welt. Ein Teil der Anziehungskraft ist strukturell bedingt: Kryptowährungen können Grenzen überqueren, ohne Banken zu passieren, was sie für konventionelle, bankbasierte Finanzkontrollen schwerer erreichbar macht. Die Analysefirma Elliptic schätzt ihre Beute für 2026 auf 7,6 Milliarden USD, mehr als in jedem früheren Jahr. Die südkoreanische Zentralbank beziffert Nordkoreas Bruttoinlandsprodukt für 2025 auf 47,18 Billionen Won (35,09 Milliarden USD); der Binance-Diebstahl allein entspräche damit rund einem Sechstel der Wirtschaftsleistung des Landes.

Chainalysis verfolgt den Trend über fünf Jahre. Nach Angaben der Firma sind 89 % aller Verluste durch Krypto-Hacks im Jahr 2026 mit Nordkorea verknüpft, gegenüber 15 % im Jahr 2021. Im selben Zeitraum stieg der durchschnittliche gemeldete Verlust pro Hack von 50,65 Millionen USD auf 185,65 Millionen USD, eine Steigerung um mehr als das 3,6-Fache. Alec Zebrick, Senior Manager Asia-Pacific Global Services bei Chainalysis, beschrieb das Muster als Big-Game-Hunting: Die Angreifer zielen auf größere Börsen, deren Kompromittierung mehr Zeit und Komplexität erfordert, dafür kann die Beute relativ groß ausfallen.

Lim Eul-chul, Professor am Institute for Far Eastern Studies der Kyungnam University, ordnete die Zahlen im Kontext der Sanktionen ein. Unter den bestehenden Sanktionen sei Krypto-Diebstahl zu einem der wichtigsten Kanäle für das Überleben des Regimes und die Waffenentwicklung geworden. Zusätzliche US-Maßnahmen gegen Wallets, Geldwäschenetzwerke und Börsen könnten daher eine zentrale Einnahmequelle abschneiden. Neben der Krypto-Beute fließen auch Erlöse aus Aktivitäten, die durch Resolutionen des UN-Sicherheitsrats verboten sind, in Raketen- und Nuklearprogramme. Die Verknüpfung dieser Einnahmequelle mit der schnellen Distanzierung ist eine Interpretation von Analysten in Seoul und bleibt unbewiesen.

Verantwortung und Verbleib der gestohlenen Mittel bleiben offen

Nordkoreas Verantwortung stützt sich auf die FBI-Zuschreibung und die eigenen forensischen Ermittlungen von TRM Labs; Pyongyang hingegen erhebt einen pauschalen Dementi. Unklar bleibt, was hinter der Aussage steckt, Nordkorea habe "Dinge zu überdenken", da Kim Yo Jong die Bemerkung unerläutert ließ.

Teng hat einen Untersuchungsbericht zum Hack angekündigt, doch Binance hat ihn bislang nicht veröffentlicht. Am schwierigsten ist die Rückholung für den Teil der Beute, den kein Emittenten einfrieren kann. Ende Oktober bezifferte TRM diesen Anteil auf rund 2,4 Milliarden USD in Bitcoin und Ether. Die Analysefirma erwartete zudem, dass Cross-Chain-Bridges (Protokolle, die Token zwischen Blockchains transferieren), Swap-Dienste und OTC-Händler (Firmen, die große Volumen außerhalb öffentlicher Orderbücher handeln) als nächste Waschstationen dienen.