Nordkorea bestreitet 6,3-Milliarden-Dollar-Hack von Binance und nennt FBI-Feststellung eine „politische Provokation“
Wichtige Erkenntnisse
- •Das FBI ordnete den Diebstahl von mehr als 6 Milliarden Dollar von Binance TraderTraitor zu, derselben nordkoreanischen Hackergruppe, der der 1,5-Milliarden-Dollar-Hack von Bybit im Februar 2025 angelastet wird.
- •Kim Yo Jong bestritt die Beteiligung Nordkoreas, nannte die Vorwürfe der USA eine schwere politische Provokation und deutete an, dass die endgültigen Empfänger der wiedereingezogenen Funds zeigen könnten, wer hinter dem Vorfall steckt.
- •Rund 2,85 Milliarden Dollar der gestohlenen 6,43 Milliarden Dollar – etwa 44 % – wurden eingefroren oder beschlagnahmt, verglichen mit rund 3 % der Mittel aus dem Bybit-Hack.
- •Chainalysis berichtete, die gestohlenen Assets würden über rund 12.000 Wallets mit einer Geschwindigkeit von etwa einer neuen Wallet alle 25 Sekunden bewegt – ein Muster, das der Phase der unmittelbaren Verschleierung bei Geldwäsche entspricht.
- •Binance hat etwa 95 % der gestohlenen Assets abgedeckt, die Auszahlungen für Dutzende Token auf Ethereum und Solana wieder aufgenommen und eine Zero-Knowledge-Proof-Verifizierung der Reserven für seine zehn größten Token ermöglicht.
Nordkorea hat die Verantwortung für den Hack von Binance bestritten. Kim Yo Jong nannte die Vorwürfe der USA einen „heimtückischen“ Versuch, das internationale Image des Landes zu schädigen.
Das FBI, der US Secret Service und Blockchain-Analyseunternehmen haben den Diebstahl TraderTraitor zugeordnet, einer nordkoreanischen Hackergruppe, die bereits für den Bybit-Hack verantwortlich gemacht wurde. Binance teilte mit, dass sich die Nettobargeldabflüsse seit Sonntag auf 4,72 Milliarden Dollar beliefen, obwohl die stündlichen Einzahlungen am späten Montagabend die Auszahlungen übertrafen.
Nordkorea wies die Feststellungen der USA zurück, es stecke hinter dem Rekordhack von Binance – dem größten Diebstahl, der je von einer Kryptoplattform verzeichnet wurde –, und bezeichnete die Zuordnung des FBI als „schwere politische Provokation“, wie Yonhap am Dienstag berichtete.
„Es ist eine schwere politische Provokation gegen die DVRK, dass die USA die internationale öffentliche Meinung in die Irre führen, als wären alle Cyberverbrechen in verschiedenen Teilen der Welt unsere Taten“, erklärte Kim Yo Jong, die Schwester von Machthaber Kim Jong Un, in einer Erklärung der staatlichen Korean Central News Agency. Sie nannte den Vorwurf einen „heimtückischen“ Versuch, das internationale Ansehen Nordkoreas zu beschädigen.
Kim schob die Schuld auch auf Washington und verwies auf den Plan der Trump-Regierung, beschlagnahmte Kryptowährungen als strategische Reserve zu nutzen. Wer sich anschaue, wer letztendlich „die sogenannte gestohlene Kryptowährung“ nach ihrer Wiedererlangung erhalte, „könne einen Hinweis darauf bekommen, wer hinter dem Hackerangriff steckt“, sagte sie.
Das FBI teilte am Samstag mit, dass nordkoreanische Hacker, die als TraderTraitor bekannt sind, für den Diebstahl von mehr als 6 Milliarden Dollar von Binance verantwortlich seien. Die Erklärung bestätigte eine Zuordnung, die Blockchain-Analyseunternehmen TRM Labs und Chainalysis in der Vorwoche vorgenommen hatten. Das FBI ordnete den 1,5-Milliarden-Dollar-Hack der Kryptobörse Bybit im Februar 2025 derselben Gruppe zu – bis zum Binance-Diebstahl der größte in der Branche dokumentierte Fall. Nordkorea hat frühere Hacking-Vorwürfe bestritten.
Gestohlene Mittel bewegen sich durch Tausende Wallets
Die Hacker bewegen die gestohlenen Assets rasch. Nordkorea wäscht die Mittel mit einer Geschwindigkeit von etwa einer neuen Wallet alle 25 Sekunden, verteilt auf rund 12.000 Wallets, wie Decrypt am Montag berichtete. Etwa 2,85 Milliarden Dollar der gestohlenen 6,43 Milliarden Dollar – rund 44 % der Gesamtsumme – wurden eingefroren oder beschlagnahmt, verglichen mit rund 3 % der beim Bybit-Hack erbeuteten Mittel.
Die gestohlenen Assets bewegen sich nicht alle im gleichen Tempo. Bis Montag hatten mehr als 1 Milliarde Dollar in ETH und rund 1,42 Milliarden Dollar in BTC nur begrenzte weitere Bewegungen verzeichnet, während andere Mittel schnell über verschiedene Chains bewegt wurden, teilte Chainalysis mit.
Die bisherigen Aktivitäten seien weitgehend mit der Phase der „unmittelbaren Verschleierung“ (Immediate Layering) vergleichbar, die nach früheren nordkoreanischen Hacks beobachtet wurde, so das Unternehmen. Layering ist die Phase eines Geldwäschevorgangs, bei der gestohlene Mittel durch wiederholte Transaktionen schnell zwischen Adressen verschoben werden, um ihren Ursprung zu verschleiern. Dass Mittel über Tausende von Transaktionen hinweg wiederholt zu früheren Adressen zurückkehren, deutet auf den Einsatz von Automatisierung hin, so Chainalysis. Es wird erwartet, dass das Ausmaß des Diebstahls die „vertrauenswürdigen Wäschekanäle der Akteure belasten“ und die Mittel in Richtung von Bridges, Instant-Exchanges und Swap-Diensten drängen wird.
Chainalysis veröffentlichte am 2. November folgendes Update auf X:
As of Nov 2, over $1B in ETH and ~$1.42 billion in BTC stolen from Binance have seen limited onward movement since the theft. Other stolen funds are moving rapidly across chains. These funds are not all progressing through the laundering process at the same pace. pic.twitter.com/ZEVCZzCDRM — Chainalysis (@chainalysis) November 2, 2026
Binance arbeitet an der Wiederherstellung des Normalbetriebs
Binance reagierte nicht auf Fragen der BBC zur angeblichen Beteiligung Nordkoreas. Ein Unternehmenssprecher teilte dem Medium mit, dass seit Wiederaufnahme der Auszahlungen am Sonntag netto 4,72 Milliarden Dollar abgeflossen seien – ein „relativ begrenzter Anteil“ der Gesamtassets von Binance, die bei rund 157 Milliarden Dollar liegen.
Bis 22 Uhr UTC-5 am Montag übertrafen die stündlichen Einzahlungen die Auszahlungen, was „eine verbessernde Nutzeraktivität und stabilisierende Kapitalflüsse“ widerspiegele, teilte Binance auf X mit. Die Börse hat seitdem die Auszahlungen für Dutzende weitere Token auf Ethereum und Solana wieder freigegeben.
Binance teilte ferner am Montag mit, dass Nutzer, die die zehn größten Token der Börse halten – darunter BTC, ETH, USDT und USDC –, nun überprüfen können, dass ihre Guthaben vollständig gedeckt sind. Die Verifizierung nutzt einen Zero-Knowledge-Proof – ein kryptografisches Verfahren, mit dem eine Börse ihre Reserven nachweisen kann, ohne einzelne Kontodaten preiszugeben –, basierend auf dem Reserven-Snapshot der Börse vom 31. Oktober.
Das Unternehmen erklärte, es habe rund 95 % der gestohlenen Assets abgedeckt. Die verbleibenden Assets bestünden aus weniger liquiden Token, deren Ankauf länger dauert, so Binance, das einen breiteren Reserven-Snapshot für Mittwoch ankündigte.
Primärquellen: Yonhap, FBI-Zuordnungsbericht, berichtet von Decrypt, Analyse von TRM Labs und Chainalysis, Chainalysis auf X, BBC, Binance auf X.
