Milliarden-Hack bei Binance: Kryptobörse verspricht Verlustausgleich, Konkurrenten verstärken Schutzmaßnahmen

Binance nach Milliarden-Hack: Kryptobörse sagt vollständigen Verlustausgleich zu

Bei einem Angriff auf Binance sind nach Unternehmensangaben Kryptowerte im Umfang von rund 6,3 Milliarden Dollar gestohlen worden. Die Handelsplattform will den Schaden vollständig übernehmen. Für Kunden bleibt entscheidend, wann sie wieder über ihre Guthaben verfügen können. Blockchain-Ermittler sehen Hinweise auf nordkoreanische Angreifer.

Stand: 31. Oktober 2026

Nach dem bislang größten bekannten Kryptodiebstahl stehen bei Binance die Wiederherstellung der Auszahlungssysteme und die Beschaffung von Ersatzbeständen im Mittelpunkt. Nach Einschätzung des Analysedienstes TRM Labs wurden am 29. Oktober rund 6,36 Milliarden Dollar aus Wallets der Plattform abgezogen. Der Großteil der Abflüsse erfolgte demnach innerhalb von etwa 20 Minuten.

Binance hatte Auszahlungen im Zuge des Vorfalls gestoppt. In seiner Mitteilung vom 30. Oktober kündigte das Unternehmen eine schrittweise Wiederaufnahme nach Abschluss der Sicherheitsprüfungen an. Einzahlungen und andere nicht betroffene Dienste seien in Betrieb. Die Zusage, Verluste auszugleichen, bedeutet für Kunden damit zunächst noch keine uneingeschränkte Verfügbarkeit ihrer Guthaben.

Binance muss die gestohlenen Kryptowährungen ersetzen

Für den Verlustausgleich hat Binance nach eigenen Angaben mehr als 6,34 Milliarden Dollar Unternehmensmittel zurückgelegt. Davon lägen fünf Milliarden Dollar bereits in den betroffenen Kryptowährungen vor. Die übrigen Bestände würden über den Markt und außerbörsliche Geschäfte beschafft. Zur Deckung des Schadens sollen Unternehmensmittel und der Schutzfonds SAFU eingesetzt werden.

Dabei kommt es auf die Zusammensetzung der Ersatzbestände an. Schuldet die Plattform einem Kunden eine bestimmte Menge Bitcoin, muss sie diese bereitstellen können. Ein entsprechender Dollarbetrag allein erfüllt diesen Anspruch noch nicht. Die von Binance genannten rund 80 Prozent beziehen sich auf die bereits vorhandenen passenden Kryptowährungen.

Ermittlungen richten sich auf die Freigabe von Transaktionen

Betroffen waren sogenannte Hot Wallets: digitale Geldbörsen, die für den laufenden Betrieb mit dem Internet verbunden sind. Binance nannte zunächst einen kompromittierten Mitarbeiter-Laptop als möglichen Ausgangspunkt, berichtete später jedoch von weiteren Einbruchspunkten. Hinweise auf offengelegte private Wallet-Schlüssel habe man bislang nicht gefunden.

Die Analyse von TRM Labs deutet auf einen Angriff auf die Infrastruktur hin, mit der Binance Übertragungen digital signiert. Auf Ethereum nutzten die Täter demnach die Protokollfunktion EIP-7702. Sie ermöglicht es einem Konto, per signierter Autorisierung Programmcode mit der Ausführung von Funktionen zu betrauen. Im untersuchten Fall wurde darüber schädlicher Code eingebunden, der Vermögen aus einer Binance-Wallet abführte.

Der entscheidende Unterschied: Angreifer müssen einen privaten Schlüssel nicht zwingend stehlen, wenn sie ein berechtigtes System dazu bringen können, ihre Übertragungen freizugeben. Elliptic sieht im Transaktionsverlauf Hinweise auf einen solchen Missbrauch der Signierungsinfrastruktur. Welche internen Kontrollen versagten, ist damit noch nicht abschließend geklärt.

Blockchain-Analysten sehen eine Verbindung nach Nordkorea

TRM Labs schreibt den Angriff mit hoher Sicherheit der nordkoreanischen Hackergruppe TraderTraitor zu. Die Einschätzung beruhe auf Informationen innerhalb und außerhalb der Blockchain. Der ermittelte Schaden übersteigt den Diebstahl bei Bybit vom Februar 2025, bei dem rund 1,5 Milliarden Dollar entwendet wurden, um mehr als das Vierfache.

Auch Elliptic hält eine Verantwortung von TraderTraitor für wahrscheinlich. Das Unternehmen verweist unter anderem darauf, dass ein Teil der Binance-Beute gemeinsam mit Geldern aus einem früheren Angriff auf Bitget weiterbewegt worden sei. Eine behördliche Bestätigung der Täterschaft lag nach dem Elliptic-Bericht vom 31. Oktober noch nicht vor.

Milliarden gesichert – aber noch nicht zurückgeführt

Elliptic bezifferte die auf der Blockchain nachweisbar eingefrorenen oder sichergestellten Vermögenswerte am frühen 31. Oktober auf rund 2,85 Milliarden Dollar. Dabei handelt es sich überwiegend um die Stablecoins USDT und USDC. Deren Herausgeber können betroffene Bestände unter bestimmten Voraussetzungen sperren. Bitcoin und Ether besitzen dagegen keinen zentralen Emittenten mit einer vergleichbaren Sperrfunktion.

Eine Sperre verhindert zunächst, dass Angreifer die betroffenen Bestände weiterbewegen. Sie ist noch keine Rückzahlung an Binance. Wie groß der endgültige wirtschaftliche Schaden ausfällt, hängt deshalb auch davon ab, welche Vermögenswerte tatsächlich zurückgeführt werden können.

Coinbase reagiert mit vorsorglichen Anpassungen

Der Vorfall beschäftigt auch andere Handelsplattformen. Nach einem Reuters-Bericht nahm Coinbase vorsorglich Anpassungen an Systemen vor, die Kryptoschlüssel offline verwahren. Kraken erklärte, Sicherheitsvorfälle in der Branche auf Erkenntnisse für die eigene Absicherung zu untersuchen.

Die Offline-Verwahrung schützt Schlüssel vor bestimmten direkten Internetangriffen. Die Sicherheit hängt jedoch ebenso davon ab, welche Transaktionen zur Freigabe vorgelegt und wie diese geprüft werden. Der Binance-Fall rückt damit die Abläufe rund um die Verwahrung in den Mittelpunkt.

Reservenachweis soll zusätzliche Transparenz schaffen

Binance will bis zum 2. November einen aktualisierten Reservenachweis vorlegen. Solche „Proof of Reserves“ sollen vorhandene Vermögenswerte nachvollziehbarer machen. Ihre Aussagekraft hängt jedoch davon ab, welche Bestände und Verpflichtungen einbezogen werden.

Die Anlegervertretung der US-Prüfungsaufsicht PCAOB warnt davor, Reservenachweise mit einer vollständigen Abschlussprüfung gleichzusetzen. Sie können unter anderem offenlassen, ob Vermögenswerte geliehen sind, welche weiteren Verpflichtungen bestehen und wie wirksam interne Kontrollen arbeiten. Auch bieten sie keine Gewähr dafür, dass ausgewiesene Bestände später noch verfügbar sind.

Für Kunden werden deshalb neben dem Reservenachweis vor allem die tatsächlich wieder möglichen Auszahlungen und die Ergebnisse der technischen Untersuchung entscheidend sein.

Kryptowerte und Branchenaktien unter Druck

Nach Bekanntwerden des Angriffs gaben auch die Kurse wichtiger Kryptowährungen nach. Reuters berichtete am 30. Oktober, dass Bitcoin zeitweise auf ein Sechswochentief von 76.368 Dollar fiel. Ether erreichte mit 2.178 Dollar den niedrigsten Stand seit zwei Monaten. Im weiteren Verlauf stabilisierten sich die Kurse zunächst. Der eng mit dem Binance-Ökosystem verbundene Token BNB lag zum Berichtszeitpunkt bei rund 696 Dollar – etwa 6,4 Prozent unter seinem Stand 24 Stunden zuvor. Die Angaben beschreiben Zwischenstände und keine Tagesschlusskurse.

Auch Aktien von Unternehmen mit Kryptobezug gerieten unter Druck. Reuters berichtete von Verlusten bei Coinbase, Robinhood und Strategy. Die Unternehmen sind auf unterschiedliche Weise mit dem Markt verbunden: Coinbase betreibt einen Kryptohandelsplatz, Robinhood bietet unter anderem Kryptohandel an, Strategy hält umfangreiche Bitcoin-Bestände. Die Kursbewegungen betreffen damit sowohl Handelsanbieter als auch ein Unternehmen, dessen Vermögenswerte stark vom Bitcoin-Preis abhängen.

Welcher Anteil der Verluste unmittelbar auf den Binance-Angriff zurückging, lässt sich daraus nicht bestimmen. Bei Coinbase kamen zeitgleich veröffentlichte Quartalszahlen mit deutlich gesunkenen Transaktionserlösen hinzu. Zudem traf der Vorfall auf einen bereits schwächeren Kryptomarkt. Aus den kurzfristigen Kursbewegungen lässt sich deshalb auch nicht ableiten, ob konkurrierende Handelsplätze längerfristig Kunden oder Marktanteile gewinnen.

Hintergrundinformationen:

Binance: Seit 2017 zu einem der wichtigsten Kryptohandelsplätze gewachsen

Binance startete im Juli 2017. Zu den Gründern gehören Changpeng Zhao, bekannt als CZ, und Yi He. Die Plattform entwickelte sich zu einem zentralen Handelsplatz für Kryptowährungen. Für viele Kunden übernimmt sie neben dem Handel auch die Verwahrung ihrer Bestände.

Bereits im Mai 2019 wurde Binance Opfer eines größeren Hackerangriffs. Damals entwendeten Täter 7.000 Bitcoin aus einer Hot Wallet. Das Unternehmen kündigte an, den Schaden vollständig über seinen Schutzfonds SAFU zu decken, und setzte Ein- und Auszahlungen während der Sicherheitsprüfung aus.

Zur Unternehmensgeschichte gehören auch erhebliche Verstöße gegen US-Finanzvorschriften. Im November 2023 bekannte sich Binance unter anderem wegen Verstößen gegen Geldwäsche- und Sanktionsvorschriften schuldig und vereinbarte Zahlungen von rund 4,3 Milliarden Dollar. Zhao räumte ein, kein wirksames Programm zur Geldwäschebekämpfung sichergestellt zu haben, und trat als Unternehmenschef zurück. Die Vereinbarung verpflichtete Binance zu verbesserten Kontrollverfahren und einer unabhängigen Überwachung.

Nordkoreanische Hacker stehen seit Jahren hinter Kryptodiebstählen

Die Hinweise auf Nordkorea treffen auf eine Reihe früherer Fälle. Das FBI machte nordkoreanische Akteure bereits für Angriffe auf die Kryptodienstleister Atomic Wallet, Alphapo und CoinsPaid im Jahr 2023 verantwortlich. Im Februar 2025 schrieb die Behörde Nordkorea auch den Diebstahl von rund 1,5 Milliarden Dollar bei Bybit zu. Die betreffende Cyberaktivität bezeichnet das FBI als TraderTraitor.

Nach Einschätzung der USA, Südkoreas und Japans dienen solche Diebstähle dazu, Einnahmen für Nordkoreas Atomwaffen- und Raketenprogramme zu beschaffen. In einer gemeinsamen Erklärung vom Januar 2025 bezeichneten die drei Regierungen nordkoreanische Cyberoperationen als erhebliche Gefahr für das internationale Finanzsystem. Sie forderten eine engere Zusammenarbeit zwischen Behörden und Kryptounternehmen, um Angriffe zu verhindern und gestohlene Gelder zurückzugewinnen.

Diese Vorgeschichte erklärt, weshalb Ermittler beim Binance-Angriff nach Verbindungen zu bekannten nordkoreanischen Operationen suchen. Sie beweist jedoch nicht deren Verantwortung im aktuellen Fall. Die bisherige Zuschreibung beruht auf den Untersuchungen von Blockchain-Analysefirmen; laut Elliptic lag am frühen 31. Oktober noch keine behördliche Bestätigung vor.