Der milliardenschwere Hackerangriff auf Binance bekommt eine brisante neue Dimension. Sicherheitsforscher haben erstmals eine konkrete Tätergruppe identifiziert: Hinter dem Diebstahl von Kryptowährungen im Wert von rund 6,3 Milliarden Dollar sollen staatlich unterstützte Hacker aus Nordkorea stecken. Besonders alarmierend sind neue Erkenntnisse zur Vorbereitung des Angriffs. Die Täter könnten bereits lange vor dem eigentlichen Diebstahl Zugriff auf kritische Systeme der weltweit größten Kryptobörse gehabt haben.
Das Wichtigste in Kürze
- Nordkorea unter Verdacht: TRM Labs schreibt den Binance-Hack mit hoher Sicherheit der nordkoreanischen Hackergruppe TraderTraitor zu, einer Einheit aus dem Lazarus-Umfeld.
- Angriff über zehn Blockchains: Die Täter bereiteten ihre Operation mindestens 36 Stunden vor und bewegten Kryptowährungen im Wert von rund 6,36 Milliarden Dollar. Ein Großteil wurde innerhalb von nur 20 Minuten abgezogen.
- Milliarden weiterhin verschwunden: Rund 2,7 Milliarden Dollar wurden laut Blockchain-Analysen eingefroren. Die Angreifer kontrollieren weiterhin erhebliche Bestände an Bitcoin und Ethereum.
Binance-Hack: TRM Labs identifiziert nordkoreanische Hacker
Die Blockchain-Analysefirma TRM Labs hat neue Erkenntnisse zum bislang größten bekannten Kryptowährungsdiebstahl veröffentlicht.
Demnach soll TraderTraitor, eine hoch spezialisierte nordkoreanische Hackergruppe, für den Angriff vom 29. Oktober 2026 verantwortlich sein.
Die Forscher stützen ihre Einschätzung auf Blockchain-Transaktionen, weitere nachrichtendienstliche Erkenntnisse und auffällige Übereinstimmungen mit früheren Cyberangriffen.
Besonders brisant: Dieselbe Gruppierung wurde vom FBI bereits für den Bybit-Hack im Februar 2025 verantwortlich gemacht. Damals verschwanden Kryptowährungen im Wert von etwa 1,5 Milliarden Dollar.
Der aktuelle Binance-Angriff übertrifft diesen Schaden um mehr als das Vierfache.
Eine offizielle abschließende Bestätigung der Täteridentität durch Binance oder Ermittlungsbehörden liegt bislang allerdings nicht vor.
Hacker bereiteten den Milliardenangriff mindestens 36 Stunden vor
Die technischen Erkenntnisse zeigen, wie sorgfältig die Operation vorbereitet wurde.
Bereits am 28. Oktober sollen erste Transaktionen über Tornado Cash stattgefunden haben. Anschließend testeten die Angreifer Schadcode und bereiteten den Zugriff auf die Wallet-Infrastruktur vor.
Auf Ethereum nutzten sie die Funktion EIP-7702, um einer Binance-Hot-Wallet fremde Smart-Contract-Logik zuzuweisen. Dafür lagen nach Angaben von TRM Labs insgesamt 50 zuvor signierte Autorisierungen bereit.
Innerhalb weniger Minuten konnten dadurch große Mengen an Kryptowährungen abfließen. Gleichzeitig wurden Wallets auf weiteren Blockchains geleert, darunter Bitcoin, Tron, Solana und XRP Ledger.
Die Forscher vermuten deshalb, dass die Angreifer Zugriff auf Teile der internen Signatur-Infrastruktur erlangt haben.
Binance hatte zuvor erklärt, dass möglicherweise der kompromittierte Laptop eines DevOps-Ingenieurs den Zugang ermöglichte. Hinweise auf gestohlene private Wallet-Schlüssel wurden bislang nicht gefunden.
Binance war bereits vor dem Angriff im Visier nordkoreanischer Hacker
Besonders auffällig ist der zeitliche Zusammenhang mit früheren Warnungen.
Bereits am 28. Oktober berichtete Bitcoinbasis über mehrere abgewehrte Cyberangriffe nordkoreanischer Hacker auf Binance.
Dabei nutzten die Angreifer unter anderem gefälschte Jobangebote und manipulierte Programmieraufgaben, um Schadsoftware auf Entwicklergeräten einzuschleusen.
Ob diese Angriffe unmittelbar mit dem Milliardenhack zusammenhängen, ist nicht bestätigt. Allerdings verdeutlichen die Parallelen, warum gezielte Angriffe auf Mitarbeiter für Kryptobörsen besonders gefährlich sind.
18.270 Bitcoin gestohlen: Warum Milliarden nicht eingefroren werden können
Nach Berechnungen von TRM Labs erbeuteten die Angreifer unter anderem rund 18.270 BTC sowie große Mengen Ethereum und Stablecoins.
Tether, Circle und weitere Beteiligte konnten Vermögenswerte im Umfang von ungefähr 2,7 Milliarden Dollar einfrieren.
Anders sieht es bei Bitcoin aus. Da Bitcoin keinen zentralen Emittenten besitzt, können gestohlene BTC nicht einfach auf Protokollebene gesperrt werden.
Die Angreifer verteilten die erbeuteten Bitcoin auf zahlreiche Adressen, was die Nachverfolgung und mögliche Rückholung zusätzlich erschwert.
Wie kompliziert die Wiederbeschaffung gestohlener Bitcoin sein kann, zeigte bereits der Liquid-Hack, bei dem Hunderte BTC zunächst unter Kontrolle der Angreifer blieben.
Was der Binance-Hack für Bitcoin-Anleger bedeutet
Binance hat angekündigt, entstandene Verluste mithilfe eigener Unternehmensmittel und des SAFU-Sicherheitsfonds auszugleichen. Dennoch bleibt der Vorfall ein erheblicher Vertrauensverlust für die Kryptobranche.
Die entscheidende Frage ist nun, ob die Ermittler weitere Vermögenswerte sichern und die Verantwortlichen eindeutig identifizieren können.
Der Binance-Hack zeigt vor allem eines: Selbst Milliardeninvestitionen in IT-Sicherheit schützen eine Kryptobörse nicht vollständig, wenn Angreifer interne Berechtigungen und kritische Signaturprozesse kompromittieren können.
Jetzt einsteigen?
Bitcoin kaufen | Bitcoin mit PayPal kaufen | Bitcoin Sparplan einrichten
