Nordkorea steckt laut Chainalysis und Elliptic wohl hinter Rekord-Hack bei Binance

Angreifer haben Kryptowerte im Wert von rund 6,3 Milliarden Dollar von der weltgrößten Kryptobörse Binance abgezogen. Das teilte das Unternehmen in einer Mitteilung vom Freitag um 3.23 Uhr MEZ mit, die es um 12.36 Uhr MEZ ergänzte. Nach ersten Erkenntnissen von Binance verschaffte sich der Angreifer womöglich über den kompromittierten Laptop eines DevOps-Ingenieurs Zugang zu einem Service-Container und gab von dort nicht autorisierte Abhebungen in Auftrag; Hinweise auf ein Leck privater Wallet-Schlüssel fand das Unternehmen nach eigener Darstellung nicht. Rund 3 Milliarden Dollar sind demnach auf der Blockchain eingefroren. Einen Urheber nennt Binance nicht. Die Blockchain-Analysefirma Chainalysis schreibt die Tat der nordkoreanischen Hackergruppe TraderTraitor zu; die Analysefirma Elliptic hält mit Nordkorea verbundene Akteure für wahrscheinliche Urheber, die Zuordnung sei aber noch nicht gesichert.

Binance will sämtliche Verluste aus seinem Notfallfonds SAFU und aus Firmenmitteln ersetzen; die Kundengelder seien sicher. Abhebungen hat die Börse vorübergehend ausgesetzt, Einzahlungen laufen nach der ergänzten Mitteilung normal weiter. Das Unternehmen hat nach eigenen Angaben Strafverfolgungsbehörden und Analysepartner eingeschaltet, um die Gelder zu verfolgen und zurückzuholen. Um 9.47 Uhr MEZ erklärte Binance auf X, weitere Untersuchungen hätten zusätzliche Einfallstore offengelegt, es handle sich um einen komplexen Angriff. Um 11.55 Uhr MEZ meldete die Börse auf X, sie habe begonnen, betroffene Werte für die Nutzer zurückzuholen.

Chainalysis sieht Verbindung zum Bitget-Hack

Chainalysis beziffert die nicht autorisierten Abflüsse auf rund 6,4 Milliarden Dollar und spricht vom größten Diebstahl in der Geschichte der Kryptowährungen. Die Gelder begannen nach Angaben des Unternehmens am 29. Oktober gegen 21.20 Uhr MEZ, Binance-Hot-Wallets auf mehreren Blockchains zu verlassen. Als stärksten Beleg für die Urheberschaft von TraderTraitor nennt Chainalysis, dass sich gestohlene Binance-Gelder auf der Blockchain mit Beute aus dem Hack der Börse Bitget im September vermischt hätten, den Nordkorea zugerechnet wird. Die Zuordnung hatte Chainalysis am 30. Oktober um 5.30 Uhr MEZ öffentlich gemacht.

Um Sperrungen durch die Emittenten zuvorzukommen, tauschte der Angreifer laut Chainalysis binnen knapp 20 Minuten Stablecoins im Wert von 325 Millionen Dollar in Ether im Wert von 285 Millionen Dollar. Rund 2,8 Milliarden Dollar sind nach Angaben der Firma inzwischen eingefroren. Die Geldwäsche zeige Spuren von Automatisierung: Tausende Transaktionen in kurzer Zeit, viele Adressen erhielten zunächst genau einen Tron-Token.

Elliptic hält Nordkorea für wahrscheinlich

Elliptic kommt nach eigener Analyse, Stand 30. Oktober 14.10 Uhr MEZ, auf einen Schaden von 6,43 Milliarden Dollar, mehr als das Vierfache der 1,46 Milliarden Dollar, die 2025 bei der Börse Bybit erbeutet wurden. Der Angreifer leerte demnach am 29. Oktober ab etwa 21.05 Uhr MEZ binnen weniger Stunden Hot Wallets auf elf Blockchains. Die größten Verluste entfielen auf Ethereum mit 3,80 Milliarden Dollar, hinzu kamen 18.270 Bitcoin im Wert von 1,48 Milliarden Dollar. Eingefroren sind nach Zählung von Elliptic 2,84 Milliarden Dollar oder 44 Prozent der Beute, fast ausschließlich Stablecoins. Rund 3,28 Milliarden Dollar kontrolliert der Angreifer weiterhin in Werten, die kein Emittent sperren kann.

Elliptic hält es für wahrscheinlich, dass mit Nordkorea verbundene Akteure hinter dem Diebstahl stehen; in diesem Fall würde sich die Summe der vom Regime gestohlenen Kryptowerte mit einem Schlag fast verdoppeln. Auch Elliptic verweist auf eine Adresse, die sowohl Binance-Gelder als auch Erlöse aus dem Bitget-Hack erhalten hat, sowie auf Parallelen zum Bybit-Fall. Zugleich nennt die Firma Vorbehalte: Bislang habe nur ein kleiner Teil der Binance-Gelder die gemeinsame Adresse erreicht, und Geldwäschenetze könnten mehrere Auftraggeber bedienen. Der Angreifer habe die Stablecoins ungewöhnlich langsam umgetauscht und damit das Einfrieren von mehr als 2,6 Milliarden Dollar ermöglicht; nordkoreanische Gruppen gingen üblicherweise schneller und effizienter vor. Den Bybit-Hack habe das FBI binnen fünf Tagen Nordkorea zugeordnet, eine vergleichbare Erklärung gebe es bislang nicht. Elliptic zufolge hat keine Regierung und keine Strafverfolgungsbehörde die Zuordnung bestätigt.

FBI eingeschaltet

Binance arbeitet nach einem Bericht der Nachrichtenagentur Reuters vom Freitagnachmittag mit Strafverfolgern weltweit zusammen, darunter das FBI und der US Secret Service; Reuters beruft sich dabei auf eine mit der Lage vertraute Person. Das FBI erklärte demnach, es habe Kenntnis von dem Vorfall und stehe mit öffentlichen und privaten Partnern in Kontakt, um das Ausmaß zu verstehen, mögliche Folgen abzuschätzen und Ermittlungsschritte abzustimmen.