Binance: Diebstahl von 6,3 Milliarden Dollar, Analysten sehen Nordkorea als Täter

Binance beziffert Abfluss auf 6,3 Milliarden Dollar, Analysten nennen Nordkorea

Die Kryptobörse Binance beziffert den Schaden eines Angriffs auf rund 6,3 Milliarden US-Dollar. TRM Labs kommt auf 6,36 Milliarden Dollar. Die Summe floss am 29. Oktober aus Binance-Wallets auf zehn Blockchains ab. Der Großteil verschwand demnach binnen etwa 20 Minuten. Damit übertrifft der Fall den Bybit-Diebstahl vom Februar 2025 mit 1,5 Milliarden Dollar und wird zum bislang größten Krypto-Diebstahl.

TRM Labs und Chainalysis halten eine Zuordnung zur nordkoreanischen Einheit TraderTraitor für sehr wahrscheinlich, die auch als Lazarus bekannt ist. Binance hat nach bisherigem Stand weder eine Person noch eine Gruppe für die Tat benannt.

Drittzählungen weichen ab. Mashable nennt 6,2 Milliarden, der On-Chain-Beobachter Wazz 6,17 Milliarden, CNN etwa 6 Milliarden. Die Unterschiede gehen auf Methodik, Zeitpunkt der Zählung und Rundung zurück. Die New York Post schreibt, das FBI habe die Urheberschaft von TraderTraitor bestätigt. Die BBC meldet dagegen lediglich, das FBI sei über den Vorfall informiert. Eine Primärquelle des FBI liegt nicht vor. Die Bestätigung bleibt unbelegt.

Kompromittierter Entwickler-Laptop und EIP-7702: Der bekannte Angriffsweg

Als erste Erkenntnis nannte Binance den kompromittierten Laptop eines DevOps-Ingenieurs. Über diesen Zugang habe ein Angreifer einen Servicecontainer erreicht und nicht autorisierte Abhebungen ausgelöst. Auf ein Leck privater Wallet-Schlüssel gebe es keine Hinweise. Später räumte das Unternehmen weitere Einbruchspunkte ein.

Co-CEO Richard Teng erklärte, der Angriff habe die Hot Wallet getroffen und den Mechanismus EIP-7702 missbraucht. Es habe sich nicht um einen „One-Click“-Vorgang gehandelt, mehrere Beteiligte seien eingebunden gewesen. Ein „Self-Destruct“-Mechanismus habe Werkzeuge und Spuren beseitigt.

TRM Labs beschreibt eine Vorbereitung von mindestens anderthalb Tagen. Das Betriebs-Wallet sei mit kleinen Abhebungen aus Tornado Cash finanziert worden. Der Schadcode sei vorab auf anderen Wallets getestet worden. Auf Ethereum sei EIP-7702 genutzt worden. Mehrere Elemente erinnerten TRM an frühere nordkoreanische Vorfälle, etwa den Bybit-Diebstahl.

Offen bleibt, wie der Laptop-Zugriff mit dem Missbrauch von EIP-7702 zusammenhängt. Der Laptop war offenbar nur der Einstieg. Die Untersuchung läuft. Die Angaben stammen bislang überwiegend von Binance selbst und von TRM.

Auszahlungen ausgesetzt, rund 3 Milliarden Dollar eingefroren, Deckung zugesagt

Binance hat Ein- und Auszahlungen ausgesetzt. Nach Unternehmensangaben sind rund 3 Milliarden Dollar on-chain eingefroren. Reuters zufolge sind davon über 2,3 Milliarden durch Tether und Circle gesperrt. Eine frühe Reddit-Angabe von etwa 1,8 Milliarden ist überholt. Der Angreifer hält nach wie vor einen sehr großen Teil der Beute.

Binance will sämtliche Verluste aus Unternehmensmitteln und dem Notfallfonds SAFU decken und versichert, Nutzergelder seien sicher. Das ist eine Herstellerangabe. Prüfbar wird sie am Proof-of-Reserves-Bericht, den Binance für Montag angekündigt hat. Dasselbe gilt für die Angabe, 90 Prozent der verlorenen Kundengelder seien bereits gedeckt. Sie stützt sich auf einen Bericht der New York Post.

Binance hatte Auszahlungen bis Sonntagmorgen in Aussicht gestellt. Laut BBC bleiben sie jedoch ausgesetzt, bis sie „rigorose Tests“ bestehen. Der Stand vom 1. November ist aus dem vorliegenden Material nicht ersichtlich.

Der US Secret Service arbeitet nach eigenen Angaben rund um die Uhr an Identifizierung, Einfrieren und Rückholung der Gelder. Ein Nutzerbeitrag auf Reddit warnt außerdem vor Phishing-Versuchen während der Auszahlungspause. Eine belastbare Fachquelle dazu liegt nicht vor.