FBI macht Nordkorea für Milliarden-Diebstahl bei Binance verantwortlich
FBI macht Nordkorea für Milliarden-Diebstahl bei Binance verantwortlich – Börse nutzt Notfallfonds zur Schadensbegrenzung
Das Wichtigste in Kürze
- Nach einem Hackerangriff Ende Oktober 2026 verzeichnete Binance einen Schaden von 6,3 bis 6,4 Milliarden US-Dollar.
- Angreifer nutzten ein gefälschtes Vorstellungsgespräch zur Installation von Malware bei einem Software-Entwickler der Börse.
- Das FBI benennt die nordkoreanische Gruppe TraderTraitor als Täter, was staatliche Vertreter Nordkoreas zurückweisen.
- Binance entnahm die Hälfte seiner SAFU-Notfall-Bitcoins, um die Verluste der Nutzer auszugleichen.
Hacker nutzten gefälschtes Job-Angebot und Netzwerk-Schwachstellen
Der Angriff auf Binance begann bereits im September 2026 mit einem gefälschten Vorstellungsgespräch. Ein Entwickler der Krypto-Börse installierte in diesem Rahmen unwissentlich manipulierte Software auf seinem Computer. Hacker nutzten diesen kompromittierten Rechner und ein internes KI-Tool am 20. Oktober 2026, um sich Zugriff auf zwei weitere Mitarbeiterrechner zu verschaffen.
Die Ausführung des Diebstahls erfolgte schließlich am 29. Oktober 2026. Angreifer missbrauchten den Ethereum-Mechanismus EIP-7702, um ihre Transaktionen auszuführen. Dieser Fehler ermöglichte es, dass Transfers auch nach der Pausierung der normalen Abhebungen unbemerkt weiterliefen. Binance konnte den fortlaufenden Abfluss erst am 30. Oktober um 00:10 UTC durch den Widerruf der manipulierten Delegation stoppen.
Milliardenabflüsse belasten die Reserven der Krypto-Börse
Der geltende Gesamtschaden des Vorfalls beläuft sich auf 6,3 bis 6,4 Milliarden US-Dollar. Binance reagierte am 30. Oktober 2026 mit der Bereitstellung von 6,34 Milliarden US-Dollar zur Deckung der entstandenen Verluste. Das Unternehmen entnahm aus seinem SAFU-Notfallfonds am 31. Oktober in vier Transaktionen die Hälfte der Bitcoin-Bestände. Mit Stand vom 3. November 2026 verblieben im SAFU-Fonds noch etwa 7.500 BTC, was rund 580 Millionen US-Dollar entspricht. Insgesamt beläuft sich der geltende Anteil der ersetzen Mittel auf 95 Prozent.
Kunden reagierten besorgt auf den Vorfall und zogen massiv Kapital ab. Nach der schrittweisen Wiedereröffnung der Abhebungen am 1. November kam es sofort zu enormen Mittelabflüssen. Die Netto-Kundenabhebungen summierten sich innerhalb von 46 Stunden auf 5,3 Milliarden US-Dollar (Stand: 3. November 2026). Binance öffnete die Auszahlungen für weitere Netzwerke und Assets am 3. November um 04:00 UTC wieder regulär.
Netzwerke greifen ein und frieren Beute ein
Verschiedene Blockchain-Projekte leiteten sofortige Gegenmaßnahmen ein, um den Hackern den Zugriff auf die Beute zu entziehen. Der Security Council des Arbitrum-Netzwerks entzog einer dem Hack zugeordneten Adresse am 30. Oktober 2026 mittels eines Notfall-Upgrades rund 30 Millionen US-Dollar. Die gesperrte Summe bestand aus 8.425 ETH und etwa 74,5 Millionen ARB. Das Gremium fror die Mittel ein, ohne dass der Hacker die Transaktion signieren musste.
Insgesamt gelten 2,85 Milliarden US-Dollar der Beute als eingefroren oder abgefangen (Stand: 3. November 2026). Einige Projekte griffen dabei zu weitreichenden Maßnahmen, so wurden beispielsweise durch Entwickler gestohlene BEAM-Token verbrannt. In den direkt mit den Hackern assoziierten Adressen verblieben am 2. November 2026 um 07:00 UTC noch 3,24 Milliarden US-Dollar.
FBI beschuldigt nordkoreanische Hackergruppe
Das FBI macht die staatlich gelenkte nordkoreanische Hackergruppe TraderTraitor für den Diebstahl verantwortlich. Die Schwester des nordkoreanischen Machthabers, Kim Yo Jong, wies die Beschuldigungen des FBI öffentlich als politische Provokation zurück. Sie erklärte dazu: „The FBI is trying to brand the DPRK as a ‘cyber criminal state’“.
Die Blockchain-Analysefirma Elliptic widersprach diesem Dementi ausdrücklich. Ein Sprecher des Unternehmens bestätigte die Zuordnung der FBI-Erkenntnisse auf Basis von On-Chain-Beweisen. Er betonte: „The on-chain evidence links the $6.4 billion theft from Binance to the DPRK and Elliptic’s analysis supports the FBI’s attribution specifically to the North Korean state-linked group TraderTraitor“.
Branchenexperten mahnen bei der forensischen Bewertung zur Vorsicht. Vasily Vidmanov, COO von AMLBot, ordnete die Möglichkeiten der Blockchain-Analyse wie folgt ein: „Onchain analysis can link wallets to one actor. It can’t prove nationality or state sponsorship“.
Widersprüche bei den Geldwäsche-Routen über TRON
Die Angreifer begannen rasch damit, die Herkunft der gestohlenen Bitcoins über das Privacy-Tool CoinJoin zu verschleiern. Wie berichtet wird, wurde ein erheblicher Teil der Gelder zunächst über das TRON-Netzwerk gewaschen und auf Tausende Wallets verteilt. Das FBI forderte private Knotenpunkt-Betreiber von Netzwerken wie THORChain auf, Transaktionen von TraderTraitor-Adressen umgehend zu blockieren. Um diese Hürden zu umgehen, nutzen die Angreifer verschiedene Taktiken, wie etwa DeFi-Protokolle zur Umgehung von Stablecoin-Sperren.
Hinsichtlich der gewaschenen Summen auf dem TRON-Netzwerk gibt es echte Widersprüche unter den forensischen Auswertungen. Elliptic berichtet, dass 147 Millionen US-Dollar das TRON-Netzwerk verließen. Analyst SomaXBT berechnet hingegen, dass etwa 242 Millionen US-Dollar über TRON-Routen gewaschen wurden. Bislang bleibt offen, welche der beiden Analysen die realen Transaktionsströme präziser erfasst hat.
Offene Fragen zur Erstattung und Forensik
Trotz der veröffentlichten Ermittlungsberichte bleiben zentrale Fragen zu dem Vorfall unbeantwortet. Es ist unklar, wann und wie genau Binance plant, den SAFU-Sicherheitsfonds wieder auf das Mindestmaß von 1 Milliarde US-Dollar aufzufüllen. Ebenso fehlt die Information, welcher Anteil aus dem Futures Insurance Fund neben dem SAFU-Fonds zur Deckung der Schäden herangezogen wurde. Offen bleibt auch, welche fingierte Unternehmensidentität die Angreifer im September für das Vorstellungsgespräch nutzten und welche unabhängigen forensischen Beweise über On-Chain-Spuren hinaus existieren, die eine staatliche Lenkung der Gruppe durch Nordkorea zweifelsfrei belegen.
Unsere Einschätzung
Der Diebstahl von bis zu 6,4 Milliarden US-Dollar bei Binance zeigt massive Sicherheitslücken durch gezielte Personalrekrutierung und manipulierte Smart-Contract-Delegationen auf. Die Börse konnte durch den Einsatz ihrer Reserven 95 Prozent der Mittel ersetzen, verlor jedoch die Hälfte ihrer SAFU-Bitcoin-Bestände und sah sich mit kurzfristigen Kundenabflüssen von 5,3 Milliarden US-Dollar konfrontiert. Das Eingreifen von Netzwerken wie Arbitrum unterstreicht die technische Handlungsfähigkeit dezentraler Sicherheitsgremien bei der Sperrung kompromittierter Gelder. Die öffentliche Zuweisung der Täterschaft an Nordkorea durch das FBI stützt sich auf On-Chain-Daten, stößt jedoch auf technische Grenzen beim endgültigen Nachweis staatlicher Steuerung.
Wir haben uns strikte redaktionelle Richtlinien auferlegt und erklären unsere Testmethoden offen und verständlich. Außerdem kommunizieren wir transparent, wie unsere Arbeit finanziert wird. Diese Seite kann Tracking-Links enthalten, was unsere objektive Sichtweise aber in keiner Weise beeinflusst.
