Binance führt den Diebstahl von Kryptowerten im Umfang von rund 6,3 Milliarden US-Dollar auf den kompromittierten Laptop eines DevOps-Ingenieurs zurück. Nach Angaben der Kryptobörse gelangten die Angreifer darüber in einen Dienstcontainer und konnten unautorisierte Abhebungstransaktionen einreichen. Hinweise darauf, dass private Schlüssel der betroffenen Wallets offengelegt wurden, hat Binance bislang nicht gefunden.
Der Vorfall ereignete sich am 29. Oktober 2026. Nach Berechnungen des Blockchain-Analyseunternehmens TRM Labs wurden ab 20:05 Uhr UTC innerhalb von rund 20 Minuten etwa 6,36 Milliarden Dollar über zehn Blockchains bewegt. Damit wäre der Angriff der größte bislang dokumentierte Kryptodiebstahl – ungefähr viermal so groß wie der Bybit-Hack vom Februar 2025.
Die Konzentration auf einen einzelnen Laptop greift allerdings zu kurz. Binance-Co-CEO Richard Teng erklärte, der Angriff habe nicht lediglich die Berechtigungen eines Mitarbeiters genutzt und sei keine einzelne „Ein-Klick“-Aktion gewesen. Das Unternehmen habe weitere Einbruchspunkte entdeckt, untersuche den Ablauf aber noch. Eine persönliche Verantwortung des betroffenen Ingenieurs hat Binance ausdrücklich nicht festgestellt.
Ein- und Auszahlungen bleiben vorerst ausgesetzt
Binance hat nach dem Angriff Ein- und Auszahlungen vorübergehend gestoppt, um die eigenen Systeme zu prüfen. Berechtigungen für die betroffene Adresse seien entzogen worden. Außerdem arbeitet die Börse mit Blockchain-Analysefirmen und Strafverfolgungsbehörden zusammen, um die gestohlenen Vermögenswerte zu verfolgen und nach Möglichkeit zurückzuholen.
Für Kunden ist vor allem die Deckungszusage relevant: Binance will sämtliche Verluste aus dem Secure Asset Fund for Users, kurz SAFU, und aus Unternehmensmitteln übernehmen. Die Börse erklärt deshalb, dass Kundengelder sicher seien. Nach Abschluss der technischen Bereinigung soll zudem ein aktualisierter Proof of Reserves veröffentlicht werden.
Wie lange die Unterbrechung von Ein- und Auszahlungen dauert und welche zusätzlichen Systeme kompromittiert wurden, war zunächst nicht bekannt. Binance hat bislang auch keine konkrete Softwarelücke, CVE, betroffene Produktversion oder gepatchte Version genannt. Es handelt sich damit nicht um eine klassische Schwachstellenmeldung, die Betreiber durch ein einzelnes Update erledigen könnten, sondern um einen bestätigten Sicherheitsvorfall mit noch laufender Ursachenanalyse.
Die Zuschreibung stammt nicht von Binance
Binance selbst hat den Angriff bislang keiner Gruppe zugeschrieben. TRM Labs und Chainalysis kommen dagegen unabhängig voneinander zu dem Ergebnis, dass TraderTraitor verantwortlich sei. Chainalysis spricht dabei von einem hohen Grad an Sicherheit. Die nordkoreanische, staatlich unterstützte Gruppe wird auch mit Lazarus Group und APT38 in Verbindung gebracht und war bereits dem Diebstahl von rund 1,5 Milliarden Dollar bei Bybit zugerechnet worden.
Bekannter Angriffs- und Geldfluss beim Binance-Vorfall
Die Grafik zeigt den bestätigten Weg vom kompromittierten DevOps-Laptop über einen Dienstcontainer zu unautorisierten Abhebungen sowie die anschließende Aufteilung in eingefrorene und nicht zentral sperrbare Vermögenswerte.
Diese Unterscheidung ist wichtig: Der Einbruch und die unautorisierten Transaktionen sind bestätigt. Die Zuordnung zu TraderTraitor beruht dagegen auf der Analyse der Blockchain-Dienstleister und ist keine öffentliche Feststellung von Binance oder einer Strafverfolgungsbehörde.
Beim Einfrieren der Gelder zählt jede Minute
Stablecoin-Emittenten und Netzwerkverantwortliche konnten einen erheblichen Teil der Beute blockieren. Tether, Circle, Ripple und World Liberty Financial froren nach Angaben von TRM Labs Stablecoins im Wert von etwa 2,67 Milliarden Dollar ein. Der Security Council von Arbitrum blockierte zusätzlich 8.426 ETH und 74,6 Millionen ARB. Insgesamt beziffert TRM den eingefrorenen Betrag auf rund 2,7 Milliarden Dollar.
Die Angreifer reagierten jedoch schnell. Sie verkauften USDT an Market Maker und hinterlegten USDT bei Aave, um ETH zu leihen. Dadurch wandelten sie einen Teil der Beute in Vermögenswerte um, die ein zentraler Emittent nicht einfach sperren kann. Nach der TRM-Analyse kontrollierten sie anschließend mehr als 420.000 ETH und 18.270 Bitcoin mit einem damaligen Gesamtwert von etwa 2,4 Milliarden Dollar außerhalb der unmittelbaren Reichweite der Emittenten.
Der Vorfall macht damit einen praktischen Unterschied innerhalb des Kryptomarkts sichtbar: Stablecoins können bei ausreichender Kooperation des Herausgebers eingefroren werden. Bei nativen Vermögenswerten wie Bitcoin oder Ether existiert kein vergleichbarer zentraler Schalter. Für die Angreifer bestand deshalb ein Wettlauf zwischen den ersten Sperren und der Umwandlung in schwerer blockierbare Werte.
Der kritische Kontrollpunkt lag vor der Wallet
Operativ liegt die wichtigste Erkenntnis nicht allein in der Schadenssumme. Nach dem bisher bekannten Stand mussten die Angreifer keinen privaten Wallet-Schlüssel entwenden. Entscheidend war vielmehr, dass der Zugriff über ein Entwicklergerät bis zu einem Dienstcontainer und von dort zu einem Prozess reichte, der Abhebungen veranlassen konnte.
Für Börsen und andere Verwahrer reicht es daher nicht, nur Wallet-Schlüssel und Smart Contracts abzusichern. Entwickler-Endgeräte, aktive Sitzungen, Zugriffstoken, Container-Berechtigungen und die Freigabe von Abhebungen müssen als zusammenhängende Kontrollkette behandelt werden. Nach einer erkannten Kompromittierung gehören dazu das Isolieren des Endgeräts, das Widerrufen von Sitzungen und Berechtigungen, die Prüfung von Container- und Transaktionsprotokollen sowie unabhängige Freigabestufen für ungewöhnlich große oder kettenübergreifende Transfers.
Binance hat noch nicht offengelegt, welche dieser Kontrollen versagt haben oder umgangen wurden. Genau deshalb wäre es verfrüht, den Rekorddiebstahl auf „einen unsicheren Laptop“ zu reduzieren. Der Laptop war nach bisheriger Darstellung der Einstieg. Der Milliardenverlust wurde erst möglich, weil der Angriff diesen Einstieg mit weiteren Zugriffswegen und einem abhebungsfähigen Dienst verbinden konnte.
Jens analysiert seit Jahren digitale Märkte, Preisbewegungen und Plattform-Strategien. Als Betreiber mehrerer datengetriebener Systeme wertet er täglich große Mengen an Produkt- und Trenddaten aus. Sein Fokus liegt auf Einordnung statt Hype: Was bedeutet eine Entwicklung wirklich für Nutzer, Preise und Märkte?
