Binance verliert rund 6,3 Milliarden Dollar: Angriffskette reichte von Juni bis Oktober

6,3 Milliarden Dollar in etwa 20 Minuten: Binance trifft der bislang größte bekannte Krypto-Diebstahl

Am 29. Oktober 2026 wurden Wallets der Kryptobörse Binance auf mehreren Blockchains leergeräumt. Den größten Teil der Gelder zogen die Täter nach Analyse von TRM Labs innerhalb von rund 20 Minuten ab. Binance gibt den Schaden mit rund 6,3 Milliarden US-Dollar an. Im Bericht vom 3. November nennt das Unternehmen laut Security Affairs etwa 6,34 Milliarden. Die Analysefirma Elliptic kommt auf 6,43 Milliarden Dollar. Es ist der größte bekannte Diebstahl von Kryptowerten.

Die drei großen Angaben liegen dicht beieinander. Niedrigere Zahlen stammen aus Frühmeldungen beziehungsweise Forenbeiträgen und sind nicht belegt: „über 3 Milliarden“ in einem LinkedIn-Zitat, 3,3 Milliarden in einem Reddit-Beitrag. Keine der Quellen legt offen, nach welcher Methode sie rechnet. Die Ursache der Differenz bleibt daher Spekulation.

Binance setzte Ein- und Auszahlungen nach dem Diebstahl aus. Am 1. November begann das Unternehmen, Auszahlungen schrittweise wieder zu öffnen, zunächst im Bitcoin-Netzwerk.

Vom manipulierten Installer zum Signing-System: Die rekonstruierte Angriffskette

Binances erste Erklärung lautete: Ein kompromittierter Laptop eines Engineers habe Zugriff auf einen Service-Container ermöglicht, über den nicht autorisierte Abhebungen eingereicht wurden. Hinweise auf einen Leak privater Schlüssel habe es zu diesem Zeitpunkt nach Binances Angabe nicht gegeben. Später fand das Unternehmen weitere Einbruchspunkte. Der Angriff „was not carried out by one person“.

Den genaueren Ablauf schildern Medien anhand von Binances Update vom 3. November. Der Wortlaut dieses Berichts liegt hier nicht vor. Die folgende Zeitleiste beruht daher ausschließlich auf diesen Wiedergaben.

Im Juni lud ein Wallet-Engineer einen manipulierten Installer herunter. Cryptopolitan zufolge geschah das beim Installieren eines KI-Coding-Tools, TechTarget spricht von einem manipulierten Homebrew-Installer. Binance entdeckte die Schadsoftware, tauschte den Laptop aus und setzte Zugangsdaten zurück. Die Angreifer kannten die Rolle des Engineers jedoch bereits.

Im September nahm ein weiterer Engineer an zwei Interviews einer Scheinfirma teil. Danach lud dieser eine schädliche Coding-Aufgabe herunter. Binance-Verantwortliche nannten laut Fortune LinkedIn als Plattform der Erstansprache. Am 20. Oktober nutzten die Angreifer den Rechner dieses Engineers und ein internes KI-Tool, um zwei Wallet-Entwickler zu erreichen. Am 29. Oktober gelangten gestohlene Zugangsdaten mit Container-Deployment-Rechten sowie ein Schad-Skript in die Wallet-Signing-Operationen.

Die Quellen beschreiben den Ablauf. Eine Schuldzuweisung an Mitarbeitende oder an KI-Werkzeuge geht aus ihnen nicht hervor. Kritik an den Sicherheitsgrenzen um Entwicklerrechner kommt von Dritten: Gina Cardelli, Director of Platform and Threat Intelligence bei Fortra, sagte laut dem Bericht, der sich auf Fortune beruft, die größere Sorge sei, wie die Kompromittierung den Zugriff auf andere Systeme und sensible Finanzinfrastruktur ermöglicht habe.

FBI nennt TraderTraitor, 2,85 Milliarden Dollar sind eingefroren, Binance verspricht Ausgleich

Das FBI hat den Diebstahl am 31. Oktober gemeinsam mit USSS und IRS-CI offiziell Nordkorea zugeschrieben und die Gruppe TraderTraitor genannt. Die Zuschreibung liegt damit vor Binances Bericht vom 3. November. TRM Labs und Chainalysis hatten die Gruppe zuvor innerhalb weniger Stunden als wahrscheinlich bezeichnet, ebenso Elliptic.

Das FBI listet 608 Ethereum-, 19 Bitcoin- und eine Solana-Adresse mit Diebstahlserlösen. THORChain- und RPC-Node-Betreiber, Sofort-Börsen, DeFi-Dienste und Analysefirmen sollen Transaktionen mit diesen Adressen ablehnen. Hintergrund: Die Täter tauschen die Beute vor allem in ETH.

Elliptic hat 2,85 Milliarden Dollar (44 Prozent) als eingefroren oder beschlagnahmt verifiziert, fast ausschließlich USDT und USDC. Der Rest wird von Skripten automatisiert in nicht einfrierbare Assets wie ETH getauscht und zwischen Blockchains verschoben. Der US Secret Service gibt an, „around the clock“ an Identifizierung, Nachverfolgung und Rückholung zu arbeiten.

Binance will Kundenverluste aus dem Notfallfonds und aus Unternehmensreserven decken. Nach Abschluss der Bereinigung soll ein aktualisierter Proof of Reserves folgen. Co-CEO Richard Teng nannte laut BBC einen vollständigen Bericht bis Montag.

Bei zwei Aussagen steht Binances Wort gegen fehlende Belege. „user funds are safe“ kam zunächst ohne Nachweis. Dass die meisten Betroffenen bereits ausgeglichen seien, stammt nur aus der Zusammenfassung von Cryptopolitan. Prüfbar wird beides erst durch den Proof of Reserves und eine unabhängige Prüfung der Bestände. Zu Folgen für Kunden in Deutschland oder der EU enthält das vorliegende Material keine Angaben.