Binance verliert 6,3 Milliarden Dollar im größten Krypto-Hack der Geschichte

Trending Topics auf Google als bevorzugte Nachrichtenquelle festlegen.

Ein einziger Laptop, 6,3 Milliarden Dollar weg. Bei der weltgrößten Krypto-Börse Binance haben Angreifer:innen am Donnerstagabend Kryptowährungen im Wert von rund 6,3 Milliarden Dollar (rund 5,7 Milliarden Euro) abgezogen. Es ist der größte Krypto-Diebstahl, der je bekannt wurde, mehr als viermal so viel wie beim bisherigen Rekord-Hack der Börse Bybit im Februar 2025. Binance hat die Auszahlungen gestoppt und verspricht, den gesamten Schaden zu übernehmen.

Was gestohlen wurde

Die Angreifer:innen haben sogenannte Hot Wallets von Binance auf zehn Blockchains gleichzeitig leergeräumt. Das sind die Wallets, die mit dem Internet verbunden sind und über die eine Börse laufend Ein- und Auszahlungen abwickelt. Laut einer Analyse von TRM Labs wurden unter anderem folgende Summen abgezogen:

• Ethereum: rund 3,8 Milliarden Dollar, darunter mehr als 200.000 Ether sowie Stablecoins wie USDT und USDC
• Bitcoin: 18.270 BTC im Wert von rund 1,5 Milliarden Dollar
• Tron: rund 630 Millionen Dollar, vor allem in USDT
• XRP Ledger: rund 300 Millionen Dollar in XRP
• Solana und weitere Blockchains: zusammen mehr als 170 Millionen Dollar

Aufgefallen ist der Angriff zuerst auf der Blockchain. Wie The Block berichtet, entdeckte der Analyst Spreek Überweisungen von rund 3,55 Milliarden Dollar auf eine bis dahin unbekannte Wallet, von der knapp 900 Millionen Dollar gleich weiter verteilt wurden. Conor Grogan, Produktmanager bei der Konkurrenzbörse Coinbase, bezifferte die Abflüsse kurz darauf auf bis zu 5,8 Milliarden Dollar, die Sicherheitsfirma Blockaid untersuchte zunächst verdächtige Abflüsse von rund 3,3 Milliarden Dollar aus Hot Wallets auf Ethereum, Arbitrum und Avalanche.

Die Schätzungen gehen leicht auseinander. Binance selbst beziffert den Schaden mit rund 6,3 Milliarden Dollar, die Blockchain-Analysefirma Chainalysis kommt auf rund 5,9 Milliarden Dollar zum Zeitpunkt des Diebstahls. Laut Arkham Intelligence lagen in den Wallets der Angreifer:innen zeitweise mehr als 5,7 Milliarden Dollar, darunter fast 1,5 Milliarden Dollar in Bitcoin, 900 Millionen Dollar in Ether, rund 1,5 Milliarden Dollar in USDT und mehr als 800 Millionen Dollar in USDC.

Zwischen den ersten und den letzten Abflüssen lagen knapp vier Stunden. Laut TRM wurde der Angriff bereits am Vortag vorbereitet, finanziert über kleine Beträge aus dem Krypto-Mixer Tornado Cash.

Wo das Leck gewesen sein könnte

Eine vollständige Analyse hat Binance noch nicht veröffentlicht, die ersten Erkenntnisse deuten aber auf eine menschliche Schwachstelle. In einer Stellungnahme, die CoinDesk zitiert, schreibt Binance: „Die ersten Ermittlungen von Binance deuten darauf hin, dass der Sicherheitsvorfall mit dem kompromittierten Laptop eines DevOps-Ingenieurs zusammenhängen könnte, über den ein Angreifer Zugriff auf einen Service-Container erhielt und unautorisierte Auszahlungstransaktionen einreichen konnte. Wir haben keine Hinweise auf ein Leck privater Wallet-Schlüssel gefunden.“ DevOps-Teams betreuen die Systeme, über die Software entwickelt und im laufenden Betrieb ausgerollt wird, und haben daher oft weitreichende Zugriffsrechte.

TRM Labs kommt zu einem ähnlichen Schluss: Kompromittiert worden sei die Infrastruktur, mit der Binance Transaktionen seiner Hot Wallets signiert. Nur so lasse sich erklären, warum die Angreifer:innen auf zehn Blockchains gleichzeitig Transaktionen ihrer Wahl freigeben lassen konnten. Auf Ethereum nutzten sie dabei eine neue Funktion namens EIP-7702 und hatten sich vorab 50 Signaturen besorgt, damit garantiert eine davon gültig ist.

Das Muster ist bekannt. Auch beim Bybit-Hack 2025 war der Rechner eines Entwicklers das Einfallstor. TRM ordnet den Angriff mit „hoher Sicherheit“ der nordkoreanischen Hackergruppe TraderTraitor zu, die dem Umfeld der berüchtigten Lazarus-Gruppe zugerechnet wird und laut FBI auch hinter dem Bybit-Diebstahl steckte. Der bekannte Blockchain-Ermittler ZachXBT nennt ebenfalls Lazarus als wahrscheinliche Täterin. Auch Ido Ben-Natan, Mitgründer und CEO der Krypto-Sicherheitsfirma Blockaid, sieht Parallelen: Taktik und Raffinesse entsprächen den Operationen, die man von Nordkorea kenne. Er spricht vom „größten Krypto-Hack der Geschichte“.

Rund drei Milliarden Dollar eingefroren

Ein Teil der Beute ist bereits blockiert. Weil viele der gestohlenen Coins Stablecoins sind, konnten deren Herausgeber eingreifen: Tether-CEO Paolo Ardoino meldete zunächst mehr als 1,57 Milliarden eingefrorene USDT. Der Schutz der Branche und der Partner habe oberste Priorität, so Ardoino. Circle-CEO Jeremy Allaire meldete mehr als 800 Millionen eingefrorene USDC. Selbst Binance-Gründer Changpeng Zhao lobte die beiden Stablecoin-Firmen für ihr schnelles Eingreifen. Laut TRM stieg die Summe bei Tether in der Nacht auf rund 1,8 Milliarden USDT. Dazu kommen kleinere Beträge von Ripple, World Liberty Financial und dem Sicherheitsrat der Blockchain Arbitrum. Binance selbst spricht von rund drei Milliarden Dollar, die eingefroren sind, davon 2,3 Milliarden Dollar in den Stablecoins USDT und USDC. Die Herausgeber blockieren dabei die betroffenen Adressen, sodass die Coins weder bewegt noch zu Geld gemacht werden können.

Rund 2,4 Milliarden Dollar (rund 2,2 Milliarden Euro) liegen laut TRM aber außerhalb der Reichweite der Herausgeber, vor allem in Ether und Bitcoin. Die Angreifer:innen haben bereits begonnen, Teile davon über dezentrale Börsen wie Uniswap zu tauschen, teils mit mehr als zehn Prozent Abschlag, und über Kreditprotokolle weiteres Ether zu leihen. Bei Aave hinterlegten sie gestohlene USDT als Sicherheit und liehen sich mindestens 20.000 Wrapped Ether im Wert von rund 44 Millionen Dollar. Aave fror laut Blockchain-Daten daraufhin seine Kreditmärkte ein, um weitere Ausleihen zu verhindern. Das Ziel solcher Manöver ist es, einfrierbare Stablecoins möglichst schnell in Kryptowährungen ohne zentrale Herausgeber umzutauschen. Die Bitcoin wurden auf zahlreiche Wallets aufgesplittet.

Binance will den Schaden übernehmen

Bestätigt hat Binance den Angriff erst mit Verzögerung. In einer ersten Reaktion schrieb Yi He auf X, man prüfe Berichte über ein mögliches Sicherheitsproblem und werde Updates nur über offizielle Kanäle veröffentlichen. Gleichzeitig warnte sie Nutzer:innen vor Betrugsversuchen, inoffiziellen Links und Anfragen nach Kontodaten, die solche Vorfälle oft begleiten.

Inzwischen beteuert Binance, dass die Kund:innengelder sicher sind. Die Verluste will die Börse aus ihrem Notfallfonds SAFU (Secure Asset Fund for Users) und aus Firmenmitteln decken. Co-CEO Yi He schrieb auf X, Binance werde „alle Verluste“ aus dem Hack übernehmen. Auch Gründer Changpeng Zhao meldete sich zu Wort: „Es sieht tatsächlich nach einem Hack bei Binance aus“, schrieb er. Er leite Binance nicht mehr, erwarte als Anteilseigner aber, dass alle Kund:innengelder vollständig gedeckt werden.

Der SAFU-Fonds allein reicht dafür bei Weitem nicht. Der 2018 gegründete Fonds, der Kund:innen bei Hacks und anderen Notfällen schützen soll, hält laut CoinDesk Bitcoin im Wert von rund einer Milliarde Dollar, ein Sechstel des Schadens. Den Rest muss Binance aus dem eigenen Vermögen stemmen, wobei sich der tatsächliche Verlust durch die eingefrorenen Stablecoins deutlich verringern könnte. Zur Einordnung: Laut DefiLlama verwaltete Binance vor dem Hack rund 144 Milliarden Dollar an Vermögenswerten, der Diebstahl entspricht also etwa vier Prozent davon. Sobald die Sicherheitslücke geschlossen ist, will Binance einen neuen Nachweis seiner Reserven veröffentlichen. Die Auszahlungen sollen laut Yi He innerhalb von 48 Stunden wieder möglich sein.

Binance ist nicht die erste Börse, die in diesem Jahr Opfer eines großen Hacks wurde. Erst im September verlor die Börse Bitget mehr als 350 Millionen Dollar, auch dort versprach CEO Gracy Chen vollen Ersatz für alle Kund:innen. Laut DefiLlama trafen große Angriffe heuer außerdem Liquid Network (rund 320 Millionen Dollar), Drift (295 Millionen Dollar) und Kelp (293 Millionen Dollar). Am selben Tag wie Binance meldete zudem der Prognosemarkt Polymarket, dass einer seiner Dienstleister gehackt wurde, der Schaden lag dort aber unter drei Millionen Dollar.

Was der Hack für zentrale Börsen bedeutet

An den Märkten sorgte der Angriff für Nervosität. Bitcoin fiel um 4,8 Prozent und zeitweise unter 77.000 Dollar, Ether verlor 5,7 Prozent. Noch stärker traf es den Binance-nahen Token BNB mit minus 8 Prozent und den Token des Kreditprotokolls Aave mit minus 11 Prozent. Am Derivatemarkt wurden laut CoinDesk Positionen im Wert von rund 1,5 Milliarden Dollar zwangsweise aufgelöst. Geoffrey Kendrick, Leiter der Krypto-Analyse bei Standard Chartered, rechnet mit weiteren Kursverlusten. Einen neuen Boden werde es erst geben, wenn die eingefrorenen Gelder freigegeben sind und mehr Details zum Hack bekannt werden.

Grundsätzlicher wird Sean Foley, Krypto-Marktexperte an der Macquarie University in Sydney. Der Angriff zeige die Risiken zentraler Börsen, bei denen Nutzer:innen ihre Coins aus der Hand geben, und könnte Trader:innen zu dezentralen Alternativen treiben. Kendrick sieht das ähnlich und empfiehlt, sich mittelfristig wieder mit Uniswap zu beschäftigen. Gleichzeitig zeigt gerade dieser Fall auch die Kehrseite: Ausgerechnet die zentral ausgegebenen Stablecoins von Tether und Circle machten es möglich, fast die Hälfte der Beute einzufrieren.