Zwischen 20:05 und 23:56 UTC am 29. Oktober 2026 haben Angreifer rund 6,34 Milliarden US-Dollar in Krypto aus Binance-Hot-Wallets abgezogen. Binance hat am 3. November 2026 einen ersten technischen Bericht veröffentlicht, der den Ablauf minutiös nachzeichnet – und zeigt, dass nicht die Blockchain versagte, sondern die Rechteverwaltung dahinter.
Das Wichtigste in Kürze
- Binance beziffert den Schaden auf rund 6,34 Milliarden US-Dollar, 2,85 Milliarden davon sind eingefroren.
- Der Angreifer nutzte eine interne Wallet-Signatur-Service-Lücke und Ethereum EIP-7702.
- Größtes Risiko: Die Kompromittierung begann Monate vorher über einen gefälschten Bewerbungsprozess.
Der Angriff dauerte knapp vier Stunden und traf fünf Hot Wallets
Binance datiert den Vorfall auf den 29. Oktober 2026. Zwischen 20:05 und 20:09 UTC schickten fünf Hot Wallets der Börse 233,46 Millionen XRP an eine Adresse der Angreifer. Kurz darauf folgten rund 970.500 SOL und 44,2 Millionen OP von Hot Wallets auf Solana und Optimism.
Binance erhielt nach eigenen Angaben einen internen Alarm über die großen Transfers und startete sofort eine Untersuchung. Noch während dieser Phase gingen 18.270 BTC an eine Adresse der Angreifer.
Die letzte unautorisierte Transaktion über 2.961,9 ETH wurde laut Bericht um 23:56 UTC on-chain finalisiert. Danach wurden keine weiteren unautorisierten Transfers beobachtet.
EIP-7702 gab dem Angreifer Teilrechte an einer Hot Wallet
Der entscheidende Hebel war laut Binance der interne Wallet-Signatur-Service. Über unautorisierten Zugriff darauf löste der Angreifer Transaktionen außerhalb des normalen Auszahlungsprozesses aus.
Anschließend nutzte er Ethereums EIP-7702. Diese Mechanik erlaubt es einem Konto, bestimmte Ausführungsrechte an einen Smart Contract zu delegieren, ohne den Private Key offenzulegen. Im konkreten Fall erhielt ein vom Angreifer kontrollierter Smart Contract Teilrechte an einer Binance-Hot-Wallet.
Der Angreifer übermittelte 50 Signatur-Transaktionen, um den Account-Nonce zu manipulieren und die bösartigen Delegationen zu etablieren. Diese Autorisierungen existierten danach on-chain und liefen unabhängig von Binances normaler Auszahlungsinfrastruktur weiter.
Warum das Einfrieren nicht sofort wirkte
Binance stoppte Auszahlungen, koordinierte mit Partnern das Einfrieren betroffener Token und leitete Schritte zum Widerruf der unautorisierten Berechtigungen ein. Insgesamt seien so 2,85 Milliarden US-Dollar eingefroren worden.
Doch das Stoppen der Auszahlungen allein konnte nicht alle Bewegungen unterbinden. Die EIP-7702-Autorisierungen lagen on-chain und waren vom Binance-System unabhängig. Zusätzlich erschwerte die Multi-Party-Computation (MPC) der Hot Wallet den Widerruf: Es gab keinen einzelnen Private Key, mit dem sich die bösartigen Autorisierungen sofort hätten zurücknehmen lassen.
Binance entwickelte deshalb ein spezielles Verfahren zum Widerruf, das zusätzliche Zeit kostete. Erst um 00:10 UTC am 30. Oktober 2026 setzte die Börse eine neue Autorisierung von der Hot Wallet Binance14 an die Zero-Adresse um und löschte damit den EIP-7702-Delegationscode.
Die Vorbereitung begann im Juni 2026 mit einem manipulierten Homebrew-Paket
Binance beschreibt eine mehrstufige Kampagne, keinen einzelnen Vorfall. Im Juni 2026 lud ein Wallet-DevOps-Ingenieur („Engineer A“) eine manipulierte Homebrew-Installation herunter, um ein populäres KI-Coding-Tool zu installieren, das er über eine Suchmaschine gefunden hatte. Das Sicherheitsteam entdeckte die Anomalie, tauschte das Gerät aus und rotierte alle zugehörigen Zugangsdaten.
Allerdings war die Rolle des Ingenieurs und seiner Kollegen im Wallet-Infrastruktur-Team dadurch bereits für die Angreifer sichtbar. Binance gibt an, im Laufe des Jahres 2026 insgesamt 57 mutmaßlich nordkoreastämmige Cyberangriffe erkannt und abgewehrt zu haben.
Im September 2026 folgte ein aufwendiger Social-Engineering-Angriff. Ein Software-Ingenieur („Engineer B“) wurde über eine legitime Job-Plattform von einer angeblichen Projektleiterin kontaktiert. Es folgten zwei Interviewrunden, zunächst per Video mit einer angeblichen HR-Vertreterin, dann in einer Chat-App mit einem angeblichen CEO eines fiktiven Unternehmens. Gegen Ende sollte Engineer B eine „Aufgabe“ mit einem bösartigen Code-Repository auf seinem Arbeitsrechner herunterladen.
Ein 0-day im Entwicklerwerkzeug blieb unentdeckt
Das Repository enthielt Schadcode, der sich beim Setup entfaltete. Die Malware nutzte laut Binance aufwendige Verschleierungs- und Umgehungstechniken. Sie ersetzte eine legitime Komponente des Entwicklerwerkzeugs pyenv durch eine manipulierte Version und baute eine Verbindung zu einem vom Angreifer kontrollierten Server auf.
Der Schadcode war zum Zeitpunkt des Angriffs für die Endpoint-Security-Werkzeuge nicht erkennbar – also ein 0-day. Der Angreifer entfernte zudem Spuren, was die spätere Untersuchung erschwerte.
Am 20. Oktober 2026 nutzte der Angreifer den kompromittierten Rechner von Engineer B als Sprungbrett und drang über ein internes KI-Tool auf die Rechner von Engineer A und eines weiteren Wallet-Software-Ingenieurs („Engineer C“) vor. Dabei entdeckte er auf Engineer As Rechner einen Container-Deployment-Token.
Am 29. Oktober um 17:15 Uhr begann der eigentliche Zugriff
Zwischen 17:15 und 19:56 UTC am 29. Oktober 2026 loggte sich der Angreifer auf dem Rechner von Engineer C ein, nutzte die bei Engineer A gestohlenen Zugangsdaten, deployte einen Container und startete ein bösartiges Skript. Das löste die Angriffskette aus, die um 20:05 UTC in den ersten Abflüssen mündete.
Binance betont, es habe sich nicht um einen einzelnen Sicherheitsverstoß oder einen einfachen Phishing-Vorfall gehandelt. Kombiniert wurden Social Engineering über gefälschte Bewerbungsgespräche, Schadsoftware-Downloads, kompromittierte interne KI-Werkzeuge, Endpoint-Befall und eine fortgeschrittene Transaktionsautorisierungsmethode.
Binance hat 98 Prozent der betroffenen Token ersetzt
Binance zufolge hat das Unternehmen mehr als 100 Prozent der zur Deckung des Verlusts nötigen Mittel zurückgelegt. Bis zum 31. Oktober 2026 seien 98 Prozent der betroffenen Token-Assets wieder aufgefüllt und über die Proof-of-Reserves-Seite überprüfbar gewesen. Die verbleibenden, weniger liquiden Assets würden derzeit nachgekauft.
Als Sofortmaßnahmen nennt Binance den Wiederaufbau des betroffenen Wallet-Systems in einer neuen Umgebung, den Wiederaufbau des internen KI-Tools und der Zugriffskontrollen, den Austausch betroffener Geräte, die Stilllegung der Zugangsdaten und Token der betroffenen Ingenieure sowie vollständige Sicherheitsscans aller Mitarbeitergeräte.
Zusätzlich will Binance die KI-basierte Erkennung von Verhaltensauffälligkeiten ausweiten, die Risikokontrollen im Wallet-Service verschärfen und einen Sicherheitsforschungsfonds aufbauen. Eine unabhängige Prüfung durch externe Cybersicherheitsfirmen ist laut Bericht beauftragt.
Das FBI macht Nordkorea verantwortlich
Laut Binance geht aus den jüngsten Informationen des FBI hervor, dass die Demokratische Volksrepublik Korea für den Vorfall verantwortlich ist. CoinDesk hatte am 2. November 2026 berichtet, das FBI bestätige die Zuschreibung an die Gruppe TraderTraitor und fordere Kryptodienstleister auf, Transaktionen mit den betroffenen Wallets zu blockieren.
CoinDesk berichtete zugleich, es gebe keinen Beleg für einen KI-Einsatz bei der Verschiebung der gestohlenen Gelder durch tausende Wallets. Das ist relevant, weil solche Angriffe schnell als KI-gesteuert dargestellt werden – belegt ist das bislang nicht.
Für dich als Anleger heißt das: Die Täterzuordnung ist eine Behauptung von Ermittlungsbehörden, keine technisch bewiesene Kette. Sie ist plausibel, erklärt aber noch nicht jede technische Frage.
Die Debatte um den Doppelstandard ist berechtigt
Ein wiederkehrender Vorwurf in den Berichten: Wenn große Krypto-Emittenten eigene oder verbundene Gelder einfrieren können, warum funktioniert das bei kleineren Opfern oder anderen Hacks nicht ebenso konsequent? CoinDesk greift diese Doppelstandard-Diskussion auf.
Die Frage ist berechtigt. Sie zeigt, dass die Fähigkeit zum Einfrieren nicht nur eine Schutzmaßnahme ist, sondern auch eine Machtfrage. Wer entscheidet, wessen Gelder blockiert werden?
CoinDesk ordnete am 2. November 2026 außerdem ein, dass Krypto-Börsen oft über Betriebs- und Berechtigungsmodelle verwundbar seien, nicht über die Blockchain selbst. Das deckt sich mit Binances eigener Darstellung – und ist der eigentliche Kern des Falls.
Was Binance noch nicht erklärt hat
Binance bezeichnet den Bericht ausdrücklich als ersten Zwischenstand. Die Untersuchung laufe weiter, die Ergebnisse würden einer unabhängigen Prüfung unterzogen. Einige technische Details bleiben bewusst vertraulich, um Nachahmer zu erschweren.
Unklar bleibt, wie genau der Angreifer vom kompromittierten Rechner in den Signatur-Service gelangte und welche zusätzlichen Einfallstore neben dem Laptop beteiligt waren. Auch die Aufteilung der 6,34 Milliarden US-Dollar auf einzelne Assets und die genaue Höhe der Rückführungen sind nicht öffentlich nachvollziehbar.
Ein vollständig verifizierter Abschlussbericht liegt bislang nicht vor. Ein Artikel, der den Fall abschließend erklärt, wäre deshalb unseriös.
Unsere Einschätzung
Was dafür spricht
- Binance hat den Vorfall innerhalb eines Tages öffentlich gemacht und am 3. November 2026 einen detaillierten technischen Zwischenstand geliefert.
- 2,85 Milliarden US-Dollar konnten on-chain eingefroren oder abgefangen werden.
- 98 Prozent der betroffenen Token-Assets waren laut Binance bis zum 31. Oktober 2026 wieder aufgefüllt und über Proof of Reserves prüfbar.
- Eine unabhängige Prüfung durch externe Cybersicherheitsfirmen ist beauftragt.
Was dagegen spricht
- Die Darstellung stammt vom betroffenen Unternehmen selbst und ist nicht unabhängig bestätigt.
- Die Kompromittierung begann bereits im Juni 2026 – der Angriff lief monatelang unbemerkt vor.
- Eingefrorene Gelder sind nicht dasselbe wie zurückgeholte Gelder – die Rückführung bleibt offen.
- Die Doppelstandard-Debatte zeigt: Einfrieren ist auch eine Machtfrage, nicht nur Schutz.
Worauf du achten solltest
- Den angekündigten vollständigen Post-mortem-Bericht und die Ergebnisse der unabhängigen Prüfung abwarten.
- Prüfen, ob Binance die verbleibenden 2 Prozent der betroffenen, illiquiden Assets tatsächlich nachkauft und die Proof-of-Reserves-Seite das bestätigt.
- Die FBI-Auforderung vom 2. November 2026 im Blick behalten: Dienstleister sollen Transaktionen mit den betroffenen Wallets blockieren.
Fazit
Binances Bericht verschiebt das Bild: kein Blockchain-Bruch, sondern ein monatelang vorbereiteter Angriff auf Betriebsrechte, der im Juni 2026 mit einem manipulierten Entwicklerwerkzeug begann. Die schnelle Eindämmung und das Einfrieren von 2,85 Milliarden US-Dollar sind beachtlich, doch die entscheidenden Fragen – vollständige Kompromittierungskette, Aufteilung der 6,34 Milliarden US-Dollar, tatsächliche Rückführung – bleiben offen. Bis zum Abschlussbericht und zur unabhängigen Prüfung solltest du Binances Zusagen als Unternehmensangaben lesen, nicht als bestätigte Fakten. Wer zentral verwahrte Coins hält, trägt dieses Betriebsrisiko mit – unabhängig davon, wie sicher die Blockchain selbst ist.
Hinterlasse jetzt einen Kommentar