Der größte Krypto-Hack aller Zeiten: Nordkorea erbeutet 6,36 Milliarden Dollar bei Binance

Am Abend des 29. Oktober 2026 flossen ab etwa 20:05 UTC innerhalb von rund 20 Minuten Milliarden-Beträge aus Binance-Wallets über zehn verschiedene Blockchains ab - eine zweite Welle folgte gegen 23:05 UTC. Die Blockchain-Analysefirmen TRM Labs und Chainalysis beziffern den Gesamtschaden auf 6,3 bis 6,4 Milliarden US-Dollar (TRM Labs nennt präzise 6,36 Mrd. $ zum Kurs des Tatzeitpunkts) und ordnen den Angriff der nordkoreanischen Hackergruppe "TraderTraitor" zu. Damit ist dies der mit Abstand größte Krypto-Diebstahl der Geschichte - weit vor dem bisherigen Rekordhalter, dem ebenfalls Nordkorea zugeschriebenen Bybit-Hack vom Februar 2025 (rund 1,5 Mrd. $). Binance-Gründer Changpeng Zhao bestätigte kurz darauf: "Es sieht nach einem Hack bei Binance aus."

Was bisher bekannt ist

Zur technischen Ursache gibt es zwei sich ergänzende, aber nicht ganz deckungsgleiche Lesarten. Nach Binances eigener erster Untersuchung (zitiert von Forbes) begann der Angriff mit dem kompromittierten Laptop eines DevOps-Ingenieurs, über den die Angreifer ein internes Service-System erreichten und nicht autorisierte Auszahlungen auslösten - laut Binance ohne Leck privater Schlüssel. TRM Labs liest die On-Chain-Spuren technischer: Auf Ethereum soll der Angreifer eine EIP-7702-Delegation genutzt haben, um eine Binance-Hot-Wallet in einen "Sweeper"-Smart-Contract zu verwandeln, abgesichert über rund 50 vorab signierte Autorisierungen, von denen eine passte. Auf den neun weiteren betroffenen Chains - darunter Bitcoin, Tron, XRP Ledger, Solana, Arbitrum, Optimism, Base, Avalanche und Polygon - liefen dagegen gewöhnlich signierte Transfers, was TRM als Hinweis auf eine kompromittierte Signier-Infrastruktur wertet. Vorbereitende Testabhebungen über Tornado Cash sollen laut TRM bereits mehr als 36 Stunden vor dem eigentlichen Angriff stattgefunden haben. Chainalysis stützt die Nordkorea-Zuordnung zusätzlich damit, dass ein Teil der erbeuteten Gelder mit Erlösen aus dem Bitget-Hack vom September 2026 vermischt wurde - einem Fall, der ebenfalls bereits Nordkorea zugeschrieben wurde. Das FBI hatte dieselbe Gruppe "TraderTraitor" zuvor schon für den Bybit-Hack 2025 verantwortlich gemacht.

Reaktion: Milliarden eingefroren, Milliarden nicht

Binance setzte Ein- und Auszahlungen vorübergehend vollständig aus und kündigte an, sämtliche Nutzerverluste zu übernehmen; der reguläre Auszahlungsbetrieb sollte binnen 48 Stunden wieder anlaufen. Gemeinsam mit Partnern ließ sich ein erheblicher Teil der Beute einfrieren: Tether-Chef Paolo Ardoino meldete über 1,567 Mrd. $ in eingefrorenem USDT, Circle-Chef Jeremy Allaire über 800 Mio. $ in USDC - in Summe kommen Binance, Tether und Chainalysis auf leicht unterschiedliche, nicht ganz deckungsgleiche Zahlen von rund 2,7 bis 3 Mrd. $ eingefrorenem Volumen. Der Rest - laut TRM rund 2,4 Mrd. $, darunter mehr als 420.000 ETH und rund 18.270 BTC - ließ sich nicht sperren: Die Angreifer tauschten eingefrorene Stablecoins zügig in Ether und Bitcoin, die als dezentrale Assets keine zentrale Einfrier-Funktion besitzen. Binances eigener Nutzerschutzfonds SAFU hält aktuell rund 15.000 BTC (umgerechnet etwa 1,17 Mrd. $) - genug, um nur einen Teil der nicht eingefrorenen Summe zu decken; den Rest will Binance nach eigenen Angaben zusätzlich aus der Unternehmensbilanz tragen. Derselbe Fonds hatte 2019 bereits den deutlich kleineren Hack (rund 7.000 BTC, damals etwa 40 Mio. $) vollständig abgedeckt.

Warum das mehr ist als nur eine weitere Hack-Meldung

Mit 6,3 bis 6,4 Mrd. $ übertrifft dieser Fall nicht nur den bisherigen Rekordhalter Bybit (1,5 Mrd. $, ebenfalls Nordkorea zugeschrieben) um mehr als das Vierfache, sondern auch alle bisherigen Vorfälle bei Binance selbst bei weitem - einschließlich des bis dahin größten Binance-Falls, dem BNB-Chain-Bridge-Exploit vom Oktober 2022 (rund 570 Mio. $). Nordkorea nutzt Krypto-Diebstähle seit Jahren systematisch zur Devisenbeschaffung trotz internationaler Sanktionen; Chainalysis schätzt die Beute nordkoreanischer Gruppen allein im Vorjahr auf rund 2 Mrd. $. Bemerkenswert ist auch der Ausgangspunkt: Nach Binances eigener Darstellung reichte der kompromittierte Laptop eines einzelnen Mitarbeiters, um an interne Auszahlungs-Mechanismen zu gelangen - ein Risiko, das mit der Größe oder dem Sicherheitsbudget einer Börse allein nicht automatisch sinkt.

Was das mit uns zu tun hat

Binance ist bei dontkyc.me nicht gelistet - die Börse verlangt vollständige KYC-Verifizierung und fällt damit aus unserem Raster. Der Fall bestätigt trotzdem schmerzhaft deutlich, warum wir ausschließlich Dienste ohne verpflichtende Identitätsprüfung sammeln: Ein zentralisierter Verwahrer ist immer nur so sicher wie sein schwächstes internes System - und sei es der Laptop eines einzelnen Ingenieurs. Selbst eine Börse mit milliardenschwerem Nutzerschutzfonds und jahrelanger Erfahrung konnte einen Angriff dieser Größenordnung nicht verhindern, sondern nur teilweise eindämmen. Wer Coins nicht aktiv handelt, sollte sie in eine selbstverwahrte, non-custodial Wallet auszahlen - genau die Art von Diensten, die wir im Wallet-Bereich unseres Verzeichnisses sammeln.

Quellen: TRM Labs · Chainalysis · Forbes · NPR · SecurityWeek