Das FBI hat den Diebstahl von Krypto-Vermögen im Wert von 6,43 Milliarden US-Dollar bei Binance der nordkoreanischen Gruppe TraderTraitor zugeschrieben. Der Vorfall vom 29. Oktober 2026 ist nach den vorliegenden Angaben der größte bekannte Kryptowährungsdiebstahl. An der Untersuchung sind neben dem FBI auch der US Secret Service und die Steuerfahndung IRS Criminal Investigation beteiligt.
Die Dimension ist außergewöhnlich, doch für die operative Bewertung sind zwei andere Zahlen ebenso wichtig: Die Vermögenswerte wurden über elf Blockchains entwendet, 82 Prozent davon entfielen auf Ethereum und Bitcoin. Zugleich konnten Tether, Circle, Ripple, Arbitrum und Optimism nach Angaben der Ermittler bereits Vermögenswerte im Umfang von 2,85 Milliarden Dollar on-chain einfrieren. Das entspricht rund 44 Prozent der genannten Gesamtsumme.
Binance nahm am 1. November zwischen 6 und 9 Uhr UTC die erste Phase der zuvor ausgesetzten Auszahlungen wieder auf. Die Freigabe erfolgt schrittweise nach Sicherheits- und Bereitschaftsprüfungen. Einzahlungen blieben nach Angaben der Börse geöffnet und waren von der Unterbrechung nicht betroffen.
Die Geldwäsche hat bereits begonnen
FBI, Secret Service und IRS-CI beobachteten, dass TraderTraitor gestohlene Vermögenswerte vor allem in Ether umwandelte. Die Behörden rechnen damit, dass anschließend DeFi-Protokolle und Instant-Swap-Dienste für weitere Waschschritte eingesetzt werden. Das FBI veröffentlichte dazu Wallet-Adressen, die dem Akteur zugerechnet werden.
Vom Diebstahl zur versuchten Geldwäsche
Die Grafik zeigt die gemeldete Bewegung der gestohlenen Vermögenswerte über mehrere Blockchains, die Umwandlung in Ether, erwartete weitere Waschschritte und den bereits eingefrorenen Anteil.
Der Wechsel zwischen Token und Netzwerken dient nicht nur dem Tausch eines Vermögenswerts. Er erhöht die Zahl der beteiligten Protokolle, Brücken, Liquiditätspools und Dienstleister. Damit wird die Spur komplexer. Gleichzeitig entstehen aber neue Kontrollpunkte: Emittenten können bestimmte Token sperren, Netzwerke oder Dienste können Adressen blockieren, und Analyseunternehmen können Bewegungen über öffentliche Blockchains verfolgen.
Die eingefrorenen 2,85 Milliarden Dollar zeigen deshalb einen entscheidenden Widerspruch des Vorfalls. Kryptowährungen lassen sich schnell und über Grenzen hinweg bewegen, aber nicht jedes Asset ist gleichermaßen außerhalb institutioneller Kontrolle. Ob ein gestohlener Betrag tatsächlich verfügbar bleibt, hängt von der jeweiligen Blockchain, dem Token, den beteiligten Emittenten und den anschließenden Tauschwegen ab. Eingefroren bedeutet allerdings noch nicht automatisch zurückgeführt: Eigentumszuordnung, technische Kontrolle und spätere Erstattung sind getrennte Schritte.
Der konkrete Einstieg bei Binance bleibt offen
TraderTraitor wird auch als Jade Sleet, Pressure Chollima, PUKCHONG, Slow Pisces und UNC4899 geführt und ist mindestens seit 2020 aktiv. Der Gruppe werden Angriffe auf Unternehmen und Projekte wie DMM Bitcoin, Bybit, KelpDAO und Bitget zugeschrieben. Elliptic zufolge hatten nordkoreanische Akteure in den vergangenen Jahren bereits Krypto-Vermögen im Wert von mehr als 6,5 Milliarden Dollar gestohlen. Der neue Vorfall würde diese bekannte Gesamtsumme nahezu verdoppeln.
Aus den bislang veröffentlichten Angaben geht jedoch nicht hervor, über welchen konkreten technischen Weg TraderTraitor Binance kompromittiert hat. Es wurde weder eine CVE genannt noch eine betroffene Softwareversion oder ein einzelner verwundbarer Dienst. Auch die bekannten Werkzeuge und Kampagnen der Gruppe sind nicht automatisch als bestätigter Angriffsweg dieses Diebstahls zu verstehen.
Diese Einschränkung ist für die Security-Einordnung wesentlich. Die FBI-Zuschreibung benennt den mutmaßlichen Akteur und die beobachteten Geldbewegungen. Sie liefert noch keine vollständige Ursachenanalyse des Binance-Vorfalls. Damit gibt es auch keinen einzelnen Patch, mit dem andere Börsen oder Web3-Unternehmen dieses spezifische Risiko beseitigen könnten.
TraderTraitor greift Vertrauen in Entwicklerprozesse an
Unabhängig vom noch ungeklärten Binance-Einstieg ist die bekannte Vorgehensweise der Gruppe für Betreiber relevant. Berichte von Microsoft, SentinelOne und Zscaler beschreiben rekrutierungsbezogene Köder, gefälschte Unternehmen und manipulierte Entwicklerwerkzeuge. Zielpersonen werden mit vermeintlichen Stellenangeboten oder Interviews angesprochen und dazu gebracht, Anwendungen oder Code auszuführen.
Zu den dokumentierten Verbreitungswegen gehören trojanisierte Terraform-Provider. Ein manipulierter Provider kann einen Bash-Loader ausführen, der auf das Betriebssystem zugeschnittene Schadsoftware nachlädt. Genannt werden der plattformübergreifende Informationsstehler FLATROOF und die Backdoor ROOFDECK, die eine weitergehende Fernsteuerung ermöglicht. Die Kampagnen richten sich gegen macOS, Linux und Windows.
KI unterstützt dabei nach den vorliegenden Berichten die Erstellung glaubwürdiger Anschreiben, falscher Profile und konsistenter Unternehmenslegenden. Das ist keine eigenständige technische Schwachstelle. Der Hebel liegt in einem vertrauten Arbeitsablauf: Entwickler prüfen ein Projekt, installieren eine Abhängigkeit oder führen im Rahmen eines vermeintlichen Bewerbungsgesprächs Code aus. Damit verlagert sich die Abwehr von der Suche nach einer einzelnen Sicherheitslücke auf Identitätsprüfung, Abhängigkeitskontrolle und begrenzte Ausführungsrechte.
Was Betreiber jetzt prüfen sollten
Kryptobörsen und Web3-Unternehmen sollten die vom FBI veröffentlichten Wallet-Adressen in ihre Transaktionsüberwachung übernehmen und Berührungspunkte mit den markierten Vermögenswerten untersuchen. Für Entwicklungsumgebungen sind freigegebene Paketquellen, festgeschriebene Versionen und Prüfsummen wichtiger als das bloße Vertrauen in einen bekannten Werkzeugnamen. Unbekannte Terraform-Provider oder Bewerbungsprojekte sollten nicht auf produktionsnahen Arbeitsplätzen ausgeführt werden.
Verdächtige Ausführungen erfordern mehr als das Löschen eines heruntergeladenen Projekts. Betroffene Organisationen müssen mögliche Zugänge, Cloud-Anmeldedaten, Wallet-Schlüssel und CI/CD-Geheimnisse prüfen, Sitzungen widerrufen und relevante Protokolle sichern. Weil die bekannten Implantate mehrere Betriebssysteme unterstützen, darf sich die Untersuchung nicht auf Windows-Rechner beschränken.
Für Binance-Kunden ist derzeit vor allem der offizielle Status der Auszahlungsdienste relevant. Die schrittweise Wiederaufnahme kann zugleich als Köder für Phishing dienen; Statusmeldungen und Anweisungen sollten deshalb ausschließlich über verifizierte Binance-Kanäle geprüft werden.
Der Rekordbetrag macht den Vorfall sichtbar. Die operative Lehre liegt aber in zwei weniger spektakulären Mechanismen: vor dem Diebstahl im Vertrauen auf Entwicklerwerkzeuge und digitale Identitäten, danach in der Fähigkeit von Emittenten, Netzwerken und Ermittlern, Geldflüsse zu verfolgen oder zu stoppen. Sicherheit entscheidet hier nicht an einem einzigen Schutzwall, sondern an mehreren Kontrollpunkten vor und nach der Transaktion.
Jens analysiert seit Jahren digitale Märkte, Preisbewegungen und Plattform-Strategien. Als Betreiber mehrerer datengetriebener Systeme wertet er täglich große Mengen an Produkt- und Trenddaten aus. Sein Fokus liegt auf Einordnung statt Hype: Was bedeutet eine Entwicklung wirklich für Nutzer, Preise und Märkte?
