Synthetix hat die SNX zurückgeholt, die beim 6,3-Milliarden-Dollar-Hack auf Binance gestohlen wurden, während der Angreifer versehentlich rund 8 Millionen Newton-Token (NEWT) in einem Contract ohne Möglichkeit der Freigabe strandete. Die beiden Vorgänge sind Teil von mindestens neun getrennten Maßnahmen gegen die Beute aus dem nun größten Exploit in der Geschichte der Kryptowährungen – und zeichnen gemeinsam die Grenzen nach, was On-Chain wiederhergestellt werden kann und was nicht.

Mindestens neun Maßnahmen gegen eine Beute

Binance hat bestätigt, dass bei dem Vorfall rund 6,3 Milliarden US-Dollar gestohlen wurden – ein Betrag, der mehr als viermal so hoch ist wie der Bybit-Hack vom Februar 2025 im Wert von 1,5 Milliarden US-Dollar, der bis dahin der größte war. Mehrere Ermittler haben den Angriff mit North Koreas TraderTraitor-Einheit in Verbindung gebracht, während Binance einen kompromittierten Laptop eines DevOps-Ingenieurs verantwortlich macht.

Bisher wurden knapp 3 Milliarden US-Dollar der gestohlenen Mittel chainübergreifend eingefroren oder gesperrt, wobei die Herausgeber zentralisierter Stablecoins für die größten Beträge verantwortlich sind. Tether sperrte rund 1,77 Milliarden USDT auf die Blacklist, Circle tat dasselbe mit etwa 825 Millionen USDC.

Ripple fror 40,5 Millionen der 88,5 Millionen bewegten RLUSD ein, und World Liberty Financial sperrte 27,8 Millionen USD1. Arbitrums Security Council nutzte Notfallbefugnisse, um 30,5 Millionen US-Dollar in ETH und ARB abzuriegeln, während der DEX-Aggregator 1inch die Exploit-Adressen in seinen Apps, der Wallet und der API blockierte.

Die Liste zeigt, wie sich die Reaktion auf einen modernen Exploit heute auf mehreren Ebenen des Stacks parallel abspielt – Token-Herausgeber auf Contract-Ebene, ein DAO-Sicherheitsrat auf Protokollebene und ein Trading-Frontend auf Anwendungsebene – statt über einen einzigen zentralen Kill-Switch.

Warum ein Admin-Key über alles entscheidet

Herausgeber von Stablecoins – insbesondere die zentralisierten – verfügen über eine Blacklist-Funktion oder einen Admin-Key, eine Fähigkeit, die auch in den Token bestimmter Protokolle wie Arbitrum vorhanden ist. Die Funktion erlaubt es einem Herausgeber oder einer kontrollierenden DAO, eine Überweisung einzufrieren oder rückgängig zu machen, bevor sie ihr Ziel erreicht.

Native Assets wie Ethers Ether (ETH) und Bitcoin (BTC) haben keine Herausgeber und keine Abschaltmechanismen, das heißt, sie bewegen sich in der Regel, ohne dass ein Unternehmen oder eine DAO sie stoppen könnte. Andere Token sind von Konstruktion wegen unveränderlich: Sie können nicht eingefroren werden, können aber dennoch verloren gehen, wenn sie an einem Ort landen, von dem sie sich nie wieder bewegen können. Ob ein Token einen solchen Schalter hatte, war beim Deployment im Code festgelegt – weshalb sich dieser Rettungsversuch so klar entlang dieser Linie gespalten hat.

Reserve ist genau an diese Grenze gestoßen. Nachdem der Angreifer etwa 3,4 Milliarden des RSR-Token aufgesaugt hatte, schrieb das Team auf X, dass niemand – auch das Projekt selbst nicht – die Token einfrieren könne, da RSR keine Admin-Keys besitzt. Freezbare Token werden gestoppt; unveränderliche Token verschwinden nur durch Zufall oder Absicht.

Synthetix' Rückholung und der eigene Fehler des Hackers

Synthetix teilte mit, dass sein protocolDAO die von Binance gestohlenen SNX zurückgeholt und in die Multisignatur-Safe der DAO überführt hat. Der wiederhergestellte Betrag beträgt etwa 8,4 Millionen US-Dollar. Laut der DAO wurde Binance informiert, und die Token werden auf Anfrage zurückgegeben. Die Rückholung lief über die eigene Governance des Protokolls und nicht über eine Issuer-Blacklist und mündete in einem direkten Rückgabekanal mit der Börse.

The SNX stolen from Binance has been recovered by the Synthetix protocolDAO. The tokens are secured in the protocolDAO Safe and will be sent back to Binance on request. We have notified Binance. Fuck Kim Jong Un.

— Synthetix ⚔️ (@synthetix) October 30, 2026

Die Newton-Token überlebten derweil aufgrund eines eigenen Fehlers des Angreifers. Die Newton Foundation teilte auf X mit, dass der Dieb etwa 8 Millionen NEWT direkt an die eigene Contract-Adresse des Token schickte, zusammen mit 17 weiteren Token, darunter ANIME.

NEWT ist ein ERC-20-Token auf Ethereum mit einer festen Gesamtmenge von 1 Milliarde. Da die Token an eine Contract-Adresse ohne Funktion zu ihrer Freigabe geschickt wurden, sind sie faktisch gestrandet – rund 3,5 Millionen US-Dollar in NEWT, die nun außerhalb der Kontrolle des Angreifers liegen. Der Vorgang spiegelt den RSR-Fall von der Gegenseite wider: Dieselbe Unveränderlichkeit, die dort jede Sperrung verhinderte, verhindert hier jede Rettung.

Die 2,86 Milliarden Dollar, die niemand anfassen kann

Der Angreifer wandelt freezbare Assets in Assets um, die nicht gesperrt werden können. Die Täter nahmen etwa 158,25 Millionen US-Dollar durch den Verkauf von Altcoins wie AAVE, LINK und PEPE ein und leiteten die Erlöse dann in ETH.

In einem weiteren berichteten Schritt lieferte der Angreifer 60 Millionen USDT bei Aave und lieh sich dagegen etwa 19.762 ETH – eine Transaktion, die nur 41 Minuten stattfand, bevor Aave den Markt sperrte. Dieses Zeitfenster reichte aus, damit der Angreifer mit ETH entkam, während die freezbaren Stablecoins als Sicherheit zurückblieben.

Laut dem Tracking von Arkham und Lookonchain liegen nun Assets im Wert von 2,86 Milliarden US-Dollar der Beute in Token ohne Freezfunktion: 1,09 Milliarden US-Dollar in ETH, 1,41 Milliarden US-Dollar in BTC und 682,9 Millionen in TRX.

Da so ein großer Teil der Beute nun außerhalb der Reichweite der Herausgeber liegt, verengen sich die verbleibenden Hebel auf das On-Chain-Tracking der Art, wie Arkham und Lookonchain es betreiben, und auf Engstellen, an denen gestohlene Kryptowährungen auf Börsen und andere Off-Ramps treffen.

Binance hat Ein- und Auszahlungen ausgesetzt und erklärt, Nutzer Verluste aus seinem SAFU-Reserve und Unternehmensmitteln zu decken. Co-CEO Richard Teng schrieb auf X: "Your money is safe and we're covering every loss."