Ermittler haben Milliarden durch Kryptowährungs-Wallets zurückverfolgt, während fast 3 Milliarden US-Dollar eingefroren werden konnten. Doch wo befindet sich das restliche Geld?
Die Untersuchung des 6,34 Milliarden US-Dollar schweren Binance-Hacks vom 29. Oktober 2026 hat eine raffinierte Operation aufgedeckt, die gefälschte Rekrutierungsgespräche, infizierte Entwickler-Tools und kompromittierte interne Systeme umfasste.

Laut dem jüngsten Bericht von Binance, der am 3. November veröffentlicht wurde, begannen die Hacker mindestens vier Monate vor dem Diebstahl der Gelder von der weltweit größten Kryptowährungsbörse mit der Vorbereitung ihres Angriffs.
Das FBI hat die nordkoreanische Hackergruppe TraderTraitor als Verantwortliche identifiziert. Pjöngjang bestreitet die Anschuldigung.

Wie die Hacker bei Binance eindrangen
Der erste Einbruch erfolgte im Juni, als ein Binance-Ingenieur beim Versuch, eine KI-Programmier-Applikation zu installieren, ein modifiziertes Software-Installationstool herunterlud.
Obwohl Binance verdächtige Aktivitäten entdeckte, den Computer austauschte und die Zugangsdaten änderte, hatten die Angreifer bereits wertvolle Informationen über die Wallet-Infrastruktur des Unternehmens erlangt.

Im September wurde ein weiterer Ingenieur über eine legitime Rekrutierungsplattform kontaktiert.
Der vermeintliche Arbeitgeber arrangierte zwei Vorstellungsgespräche, darunter ein Videomeeting mit dem angeblichen CEO eines fiktiven Unternehmens.
Dem Ingenieur wurde anschließend die Anweisung gegeben, eine Programmieraufgabe herunterzuladen, die bösartigen Code enthielt.

Am 20. Oktober nutzten die Angreifer den kompromittierten Computer und ein internes KI-Tool, um auf Systeme weiterer Ingenieure zuzugreifen.
Neun Tage später ermöglichten gestohlene Zugangsdaten das Einschleusen bösartiger Software in die Wallet-Signatur-Infrastruktur von Binance.
Die Hacker mussten die privaten Schlüssel der Wallets nicht stehlen. Sie manipulierten Systeme, die zur Genehmigung von Transaktionen autorisiert waren.

6,3 Milliarden Dollar in wenigen Stunden transferiert
Der Diebstahl begann kurz nach 20:00 Uhr UTC am 29. Oktober.
Innerhalb von vier Minuten transferierten fünf Binance-Wallets 233,46 Millionen XRP an eine von den Angreifern kontrollierte Adresse.

Weitere Überweisungen folgten über Bitcoin, Ethereum, Solana, Tron und zusätzliche Netzwerke.
Der Blockchain-Ermittler TRM Labs schätzt, dass die Hacker etwa 3,79 Milliarden US-Dollar aus Ethereum-Wallets, einschließlich Stablecoins, und 18.270 Bitcoin im Wert von etwa 1,47 Milliarden US-Dollar abgezogen haben.

Weitere 628 Millionen US-Dollar verließen Tron-Wallets, etwa 296 Millionen US-Dollar wurden in XRP und 96 Millionen US-Dollar in Solana-Token gestohlen.
Auf Ethereum nutzten die Angreifer den EIP-7702-Autorisierungsmechanismus und reichten 50 Signierungstransaktionen ein, um bösartige Berechtigungen zu etablieren.
Diese Berechtigungen ermöglichten es, die Überweisungen fortzusetzen, selbst nachdem Binance begonnen hatte, normale Auszahlungen auszusetzen.
Die letzte unbefugte Transaktion, die 2.961,9 ETH umfasste, wurde um 23:56 Uhr UTC bestätigt.

Wo ist das Geld geblieben?
Die Hacker begannen sofort damit, einfrierbare Stablecoins in Kryptowährungen wie Ethereum umzuwandeln.
Chainalysis identifizierte eine Operation, bei der 325 Millionen US-Dollar in Stablecoins in weniger als 20 Minuten gegen etwa 285 Millionen US-Dollar in ETH getauscht wurden.
Die Angreifer opferten effektiv 40 Millionen US-Dollar, um Vermögenswerte aus der direkten Einfriergewalt der Stablecoin-Emittenten zu entziehen.
Ermittler beobachteten zudem Tausende von automatisierten Transaktionen über neu erstellte Adressen.
Elliptic meldete Aktivitäten, die etwa 12.000 Wallets auf 11 Blockchains und rund 40.000 Transaktionen betrafen.

Laut der Analyse von Bitquery vom 3. November kontrollierten die Angreifer immer noch etwa 3 Milliarden US-Dollar, primär in Bitcoin und Ethereum.
Acht große Ethereum-Wallets hielten den Großteil der verfolgten ETH, während 18.270 Bitcoin auf 19 Adressen verteilt blieben.
Einige Gelder wurden über dezentrale Dienste wie THORChain, Relay und SunSwap bewegt.

Bitquery verfolgte 685 Millionen TRX, die auf 220 Adressen verteilt wurden, und identifizierte zusätzliche Transfers über Cross-Chain-Börsendienste.
Ein Großteil der gestohlenen Kryptowährung verblieb jedoch in scheinbar inaktiven Wallets. Die verfolgten Bestände belegen nicht, dass die Gelder Nordkorea erreicht haben oder in konventionelle Währung umgetauscht wurden.

Fast 3 Milliarden Dollar eingefroren
Binance berichtet, dass etwa 2,85 Milliarden US-Dollar eingefroren oder abgefangen wurden, was etwa 45 % der gestohlenen Vermögenswerte entspricht.
Das FBI veröffentlichte 628 Kryptowährungsadressen, die mit dem Diebstahl in Verbindung stehen, und forderte Börsen und Betreiber von dezentralen Finanzdiensten auf, verdächtige Transaktionen zu blockieren.
Der 6,34-Milliarden-Dollar-Angriff ist mehr als viermal so groß wie die rund 1,5 Milliarden US-Dollar, die im Februar 2025 von Bybit gestohlen wurden.
Das Ausmaß ist selbst nach Maßstäben der konventionellen Finanzkriminalität außergewöhnlich.

Was passiert mit den Binance-Kunden?
Binance erklärt, dass es die Verluste durch seinen Secure Asset Fund for Users und Unternehmensreserven decken wird.
Bis zum 31. Oktober meldete die Börse, 98 % der betroffenen Token-Bestände wieder aufgefüllt zu haben, wobei spätere Erklärungen unterschiedliche Maßstäbe für die Wiederherstellung verwendeten.
Laut Reuters verzeichnete Binance bis zum 2. November Netto-Kundenabhebungen in Höhe von 4,72 Milliarden US-Dollar – etwa 3 % der auf der Plattform gehaltenen Vermögenswerte.

Die Auszahlungen haben sich seither weitgehend normalisiert.
Die größten unbeantworteten Fragen betreffen die Sicherheitsmängel, die es Hackern ermöglichten, mehrere Mitarbeiter zu kompromittieren, die Fähigkeit, bösartige Wallet-Berechtigungen schnell zu widerrufen, sowie das endgültige Ziel der gestohlenen Gelder.

Die Untersuchung zeigt eine fundamentale Schwäche im digitalen Finanzwesen: Hochentwickelter kryptografischer Schutz kann kompromittierte Betriebssysteme nicht kompensieren.
Vorerst bleiben Milliarden auf öffentlichen Blockchains sichtbar – doch Sichtbarkeit bedeutet nicht Wiedererlangung.