Das Wichtigste in Kürze:
- Unbekannte haben am Donnerstagabend Kryptowerte im Wert von rund 6,3 Milliarden US-Dollar aus den Hot Wallets von Binance abgezogen, den Großteil binnen etwa 20 Minuten.
- Rund 3 Milliarden US-Dollar sind inzwischen eingefroren, die Börse will alle Verluste aus eigenen Mitteln ersetzen.
- Analysefirmen sehen hinter dem Binance-Hack die nordkoreanische Hackergruppe TraderTraitor, die der Lazarus Group zugerechnet wird, dem wohl bekanntesten nordkoreanischen Hackerverbund im Kryptosektor.
Die weltgrößte Kryptobörse Binance ist Ziel des bislang größten bekannten Diebstahls in der Geschichte der Kryptowährungen geworden. Am Abend des 29. Oktober 2026 flossen ab 21.05 Uhr MEZ Coins und Token aus Binance-Wallets auf zehn Blockchains an Adressen eines einzelnen Angreifers. Der größte Teil verließ die Börse innerhalb von rund 20 Minuten.
Binance beziffert den Schaden auf rund 6,3 Milliarden US-Dollar, die Analysefirma TRM Labs auf rund 6,36 Milliarden. Das ist etwa das Vierfache des bisherigen Rekords, des Hacks bei der Börse Bybit im Februar 2025 mit 1,5 Milliarden US-Dollar.
Nach ersten Erkenntnissen von Binance begann der Angriff mit dem kompromittierten Laptop eines DevOps-Engineers, inzwischen spricht die Börse von weiteren Einfallstoren. Auszahlungen sind seither ausgesetzt. Mehrere Analysefirmen ordnen den Angriff Nordkorea zu, Binance selbst hat bislang keinen Täter benannt. Alle Angaben entsprechen dem Stand vom Freitagmittag, 30. Oktober.
So lief der Binance-Hack ab
Der Angriff war von langer Hand vorbereitet, wie die Rekonstruktion von TRM Labs zeigt. Ab dem Morgen des 28. Oktober erhielt die Operator-Wallet des Angreifers drei kleine Auszahlungen aus dem Mixing-Dienst Tornado Cash. Am 29. Oktober testete der Angreifer seinen Code an zwei Wallets und probte die endgültige Version an einer dritten.
Vier Stunden nach dieser Generalprobe lief derselbe Code auf einer Hot Wallet von Binance. Den Auftakt des eigentlichen Diebstahls machte der XRP Ledger. Zwischen 21.05 und 21.09 Uhr MEZ schickten fünf Binance-Wallets zusammen 233,46 Millionen XRP an eine einzige Adresse des Angreifers.
Kurz darauf folgten Wallets auf Solana und Optimism. Um 21.20 Uhr verließen 18.270 BTC eine Bitcoin Hot Wallet der Börse. Der Empfänger zerlegte sie noch im selben Block über eine sogenannte Peel Chain in Pakete zu 1.000 und 100 BTC, was die Verfolgung erschwert. Binnen zwei Minuten flossen zudem auf Tron 612,7 Millionen USDT und 46,4 Millionen TRX ab.
Den größten Einzelschlag führte der Angreifer auf Ethereum. Ebenfalls um 21.20 Uhr reichte er eine Transaktion mit 50 vorab signierten Autorisierungen nach dem Standard EIP-7702 ein. Eine davon griff und übertrug die Kontrolle über die Hot Wallet Binance 14 an einen Sweeper Contract, den nur der Angreifer steuern konnte.
Gegen 21.24 Uhr leerte eine einzige Transaktion die Wallet. Sie enthielt 167.464 ETH und 63 weitere Token, darunter 1,615 Milliarden USDT. Weil die Delegation bestehen blieb, leitete der Angreifer auch später eintreffende Mittel ab, letztmals kurz vor 1 Uhr in der Nacht.
Eine zweite Ethereum Hot Wallet überwies rund 28.000 ETH, 55,7 Millionen USDT und 25,9 Millionen RLUSD per gewöhnlicher Signatur, ganz ohne Delegation. Gegen 0.05 Uhr erreichte eine zweite Welle Binance-Wallets auf Avalanche und Polygon.
Öffentlich schlug zuerst der Blockchain-Researcher Spreek auf X Alarm. Binance-Gründer Changpeng Zhao schrieb am Abend, es sehe „tatsächlich nach einem Hack bei Binance aus“. Die Börse selbst teilte um 22.29 Uhr mit, sie prüfe Berichte über ein mögliches Sicherheitsproblem, Kundengelder seien sicher.
Gegen 23.15 Uhr setzte Binance Auszahlungen auf mehreren Netzwerken aus, kurz nach 1 Uhr nachts vorübergehend auch die Einzahlungen.
Ein Laptop als Einfallstor, aber nicht als einziges
Gegen 3.25 Uhr in der Nacht zum Freitag legte Binance eine erste Erklärung vor. Die vorläufige Untersuchung deute auf den kompromittierten Laptop eines DevOps-Engineers. Darüber habe der Angreifer Zugang zu einem Service-Container erhalten und unautorisierte Auszahlungstransaktionen eingereicht.
„Wir haben keine Hinweise auf ein Leck privater Wallet-Schlüssel gefunden“, erklärte die Börse. Sie widerrief die betroffene Adress-Autorisierung und schaltete Strafverfolgungsbehörden sowie Blockchain-Analysten ein.
Am Freitagmorgen relativierte Binance diese Darstellung. Die weitere Untersuchung habe zusätzliche Einfallstore jenseits des Laptops aufgedeckt. Um welche Systeme, Konten oder Dienstleister es sich handelt, ließ die Börse offen.
Co-CEO Richard Teng betonte, der Angreifer habe nicht einfach die Berechtigungen eines einzelnen Ingenieurs genutzt. Es sei „keine einzelne Ein-Klick-Aktion“ gewesen. Die Untersuchung weise keiner Person die Verantwortung zu.
Auch die On-Chain-Daten sprechen für einen tiefer reichenden Einbruch. EIP-7702 kam im Mai 2025 mit dem Pectra-Upgrade auf Ethereum. Der Standard erlaubt einer gewöhnlichen Wallet, ihr Verhalten per signierter Autorisierung an einen Smart Contract abzugeben.
Eine solche Autorisierung gilt allerdings nur für einen bestimmten Stand des Transaktionszählers, der sogenannten Nonce. Weil eine Exchange-Wallet laufend Auszahlungen abwickelt, steigt dieser Zähler ständig. Der Angreifer hatte deshalb 50 Signaturen für aufeinanderfolgende Zählerstände vorbereitet, damit eine davon im entscheidenden Moment passt.
Binance 14 diente zudem als ausführende Instanz eines Binance Smart Accounts. Über diesen Weg zog der Angreifer weitere 823 Millionen USDC ab, die Circle kurz darauf einfror.
Entscheidend ist, was auf den übrigen neun Blockchains geschah. Dort gingen die Mittel per gewöhnlich signierter Überweisung an den Angreifer, obwohl die Wallets unterschiedliche Schlüsseltypen und Signaturverfahren nutzen. TRM Labs hält es deshalb für am wahrscheinlichsten, dass der Angreifer Binances Signier-Infrastruktur für Hot Wallets dazu bringen konnte, Transaktionen seiner Wahl zu signieren.
Der vorab erzeugte Stapel aus 50 Signaturen deutet laut TRM zudem auf einen zeitlich begrenzten Zugang hin oder darauf, dass Signaturen über ein System angefordert werden mussten. Blockaid kommt vorläufig zu einem ähnlichen Ergebnis und spricht von einem Missbrauch der Signierung, ohne dass der eigentliche Schlüssel abgeflossen sei. Eine frühe Phishing-These erklärt nach Einschätzung von TRM nur die Vorgänge auf Ethereum.
Eine abschließende Ursachenanalyse hat Binance noch nicht veröffentlicht. Ein ausführliches technisches Post-Mortem soll folgen, sobald die Ermittlungen abgeschlossen und die Fakten geprüft sind.
Wie hoch der Schaden ist
Die Schadenszahlen weichen je nach Quelle und Methode voneinander ab. Binance nennt eine Gesamtwirkung von rund 6,3 Milliarden US-Dollar und weist darauf hin, dass sich die Werte noch ändern können. TRM Labs bewertet jede einzelne Transaktion zum Kurs im Moment der Entnahme und kommt auf rund 6,36 Milliarden US-Dollar.
Zu den Kursen in der Nacht zum Freitag wären dieselben Assets rund 6,23 Milliarden US-Dollar wert gewesen. Chainalysis schätzte zunächst 5,912 Milliarden US-Dollar, CEO Jonathan Levin nannte später 6,4 Milliarden. Die ersten Schätzungen am Donnerstagabend lagen mit mindestens 2 Milliarden US-Dollar noch weit darunter.
Den größten Anteil trägt Ethereum mit rund 3,79 Milliarden US-Dollar. Dazu gehören 200.630 ETH sowie 1,875 Milliarden USDT, 823 Millionen USDC und 88,5 Millionen RLUSD. Auf Bitcoin entfallen 18.270 BTC im Wert von rund 1,47 Milliarden US-Dollar.
Tron steht für rund 628 Millionen US-Dollar, der XRP Ledger für rund 296 Millionen und Solana für rund 96 Millionen. Arbitrum, Optimism, Base, Avalanche und Polygon kommen zusammen auf knapp 80 Millionen US-Dollar. Unter der Beute finden sich auch kleinere Token wie FUN, PROM, RSR, RED, OGN und GTC.
Gemessen an der Größe der Börse entspricht der Schaden gut 4 Prozent der Assets auf der Plattform. Nach Daten von DefiLlama lagen vor dem Hack rund 144 Milliarden US-Dollar auf Binance. Laut Geschäftsbericht 2025 zählt die Börse 335 Millionen registrierte Nutzer.
Stablecoin-Emittenten frieren rund 3 Milliarden US-Dollar ein
Dass der Angreifer nicht die volle Summe behalten kann, liegt vor allem an den Emittenten der Stablecoins. Sie können Token in ihren Smart Contracts sperren und reagierten schnell. Tether fror die ersten 971,1 Millionen USDT um 22.01 Uhr ein, 37 Minuten nach dem Haupt-Sweep.
Insgesamt hat Tether laut TRM rund 1,77 Milliarden USDT gesperrt. Circle fror rund 825 Millionen USDC in Abstimmung mit Strafverfolgungsbehörden ein. Ripple sperrte 40,5 Millionen RLUSD, nach Angaben von Binance-Mitgründerin Yi He half Ripple, rund 200 Millionen US-Dollar aufzuhalten.
World Liberty Financial fror 27,8 Millionen USD1 ein und sperrte gemeinsam mit BitGo zusätzlich WLFI im Wert von 2 Millionen US-Dollar. First Digital fror FDUSD ein, ohne einen Betrag zu nennen.
Ungewöhnlich ist der Eingriff auf Arbitrum. Der Security Council des Layer-2-Netzwerks nutzte seine Notfallbefugnisse und verschob 8.426 ETH und 74,6 Millionen ARB im Wert von rund 30 Millionen US-Dollar aus der Wallet des Angreifers. Die Mittel liegen nun in einer gesperrten Zwischen-Wallet und lassen sich nur durch den Security Council oder ein Votum der Arbitrum DAO bewegen.
Binance meldete am Freitag insgesamt rund 3 Milliarden US-Dollar als verifiziert eingefroren. TRM hatte bis 1.30 Uhr rund 2,7 Milliarden US-Dollar gezählt.
Der Angreifer versuchte, den Sperren zuvorzukommen, und nahm dafür hohe Verluste in Kauf. Rund 325 Millionen USDT verkaufte er über UniswapX und andere Intent-basierte Kontrakte an professionelle Market Maker. Er erhielt dafür etwa 122.300 ETH, ein Abschlag von mehr als 10 Prozent.
Beim Lending-Protokoll Aave hinterlegte er 60 Millionen USDT und lieh sich zwischen 21.58 und 22.01 Uhr 19.762 Wrapped Ether im Wert von rund 44,6 Millionen US-Dollar. Aave fror daraufhin vorsorglich Märkte auf seinen Versionen V3 und V4 ein. Rückzahlungen, Abhebungen und Liquidationen bleiben dort möglich.
Auf Tron leitete der Angreifer 300 Millionen USDT in Richtung des Lending-Protokolls JustLend. Weitere 200 Millionen USDT tauschte er über eine Kette von Zwischen-Wallets auf Uniswap, davon wurden 30 Millionen eingefroren.
Außerhalb jeder Sperrmöglichkeit kontrolliert der Angreifer nach Daten von TRM mehr als 420.000 ETH und die 18.270 BTC, zusammen rund 2,4 Milliarden US-Dollar. Die Bitcoin liegen in 19 Wallets, 17 davon mit exakt 1.000 BTC, und haben sich seit Donnerstagabend nicht bewegt.
Chainalysis beobachtet Geldwäschemuster, die das Unternehmen in dieser Form noch nicht gesehen hat. Tausende Transaktionen in kurzer Zeit sprechen für automatisierte Skripte. Auffällig sind etwa Adressen, die zunächst exakt 1 TRX erhalten, bevor größere Summen durchlaufen. Aidan Larkin, CEO des Unternehmens Asset Reality, spricht von agentengesteuerter Geldwäsche.
Welche Folgen der Abverkauf für kleinere Token haben kann, zeigt FUN einem Token aus dem ICO-Boom 2017. Der Token brach im Uniswap-Pool, in den der Angreifer verkaufte, um mehr als 90 Prozent ein, weil der Markt für die Verkaufsmenge zu dünn war. Die verkaufende Wallet hält noch 580,8 Millionen FUN, rund 5,4 Prozent des maximalen Angebots. Das Projekt bat zentrale Börsen, Einzahlungen vorsorglich zu sperren.
Die Spur führt nach Nordkorea
Binance hat keinen Täter benannt und arbeitet nach eigenen Angaben mit Strafverfolgungsbehörden an der Identifizierung. Die großen Blockchain-Analysefirmen haben sich dagegen schnell festgelegt. TRM Labs ordnet den Angriff mit aller Wahrscheinlichkeit nach TraderTraitor zu, der wichtigsten Hackereinheit Nordkoreas, und stützt sich dabei auf On-Chain- und Off-Chain-Erkenntnisse.
Das FBI hatte dieselbe Gruppe für den Bybit-Hack im Februar 2025 verantwortlich gemacht. Andere Analysten verorten den Angriff allgemeiner bei der Lazarus Group, dem wohl bekanntesten nordkoreanischen Hackerverbund im Kryptosektor.
Die Parallelen zu früheren Fällen sind deutlich. Wie beim Bybit-Hack und beim KelpDAO-Hack im April 2026 finanzierten kleine Abhebungen aus Tornado Cash die Operator-Wallet. Die Vorbereitung begann lange vor dem eigentlichen Diebstahl, und vorab beschaffte Signaturen wurden in einem einzigen Zug ausgeführt.
Neu ist die Art der Geldwäsche. Nach dem Bybit-Hack liefen die Mittel vor allem über Cross-Chain Bridges, diesmal bislang über Market Maker und Lending-Protokolle.
Chainalysis-CEO Jonathan Levin hält TraderTraitor ebenfalls für den wahrscheinlichen Täter. Seine Firma fand Erlöse aus dem Bitget-Exploit des Vormonats mit Geldern aus dem Binance-Hack vermischt. Der On-Chain-Ermittler ZachXBT berichtet, dass Mittel aus beiden Vorfällen nach dem Weg über THORChain in derselben Adresse landeten, was auf denselben Akteur hindeute.
Auch Elliptic und Blockaid verweisen auf Nordkorea. Eine offizielle Zuordnung durch US-Behörden lag bis Freitagmittag nicht vor. Nach Medienberichten unter Berufung auf eine mit der Sache vertraute Person arbeitet Binance aber mit dem FBI und dem US Secret Service zusammen. Die US-Botschaft in London wollte sich dazu nicht äußern, der Secret Service antwortete zunächst nicht auf Anfragen.
Was der Hack für Binance-Kunden bedeutet
Binance-Kunden können ihre Guthaben derzeit nicht abziehen. Die Börse hat Auszahlungen seit dem späten Donnerstagabend pausiert und überarbeitet ihren Auszahlungsdienst samt der zugehörigen Adressen. Einzahlungen hatte Binance in der Nacht zunächst ebenfalls gestoppt, inzwischen laufen sie nach Angaben der Börse wieder normal.
Am Freitagmorgen stellte Binance eine Wiederaufnahme der Auszahlungen in rund 45 Stunden in Aussicht, also voraussichtlich am frühen Sonntag, 1. November. Ob alle Netzwerke gleichzeitig öffnen, hat die Börse nicht gesagt. Seit der Pause gab es nach ihren Angaben keine weiteren Abflüsse.
Finanziell will Binance die Kunden vollständig schadlos halten. Die Verluste sollen aus dem Notfallfonds SAFU und aus Firmenmitteln gedeckt werden, dafür hat die Börse nach eigenen Angaben mehr als 6,34 Milliarden US-Dollar reserviert. Fünf Milliarden US-Dollar davon hält sie bereits in genau den Token, die gestohlen wurden.
Den Rest kauft Binance über den Markt und im OTC-Handel zu, damit sich Guthaben eins zu eins wiederherstellen lassen. Die eingefrorenen rund 3 Milliarden US-Dollar sind in der reservierten Summe nicht enthalten. Bei Token mit geringer Liquidität kann die Wiederherstellung länger dauern, auch weil OTC-Geschäfte zusätzliche Abwicklungszeit brauchen.
Der SAFU-Fonds hält typischerweise rund 1 Milliarde US-Dollar in Bitcoin. Wie stark er durch den Hack belastet wird, hat Binance nicht beziffert.
Bis die Lücke geschlossen ist, sind manche Bestände rechnerisch nicht voll gedeckt. Die geleerte Wallet Binance 14 ist Teil des Proof of Reserves vom 1. Oktober, mit dem Binance monatlich belegen will, dass Kundenguthaben vollständig hinterlegt sind. Weil die Börse zu diesem Stichtag exakt 100 Prozent der Kunden-ETH hielt, sinkt die Deckung bei Ether bis zum Ersatz rechnerisch auf rund 94 Prozent.
Der nächste Snapshot ist für den 1. November angesetzt. Nach Abschluss der Sanierung will Binance zudem einen aktualisierten Proof of Reserves veröffentlichen.
Binance-Mitgründerin und Co-CEO Yi He gibt sich gelassen. „Der Umsatz unseres Unternehmens in diesem Jahr reicht aus, um die Verluste zu decken“, schrieb sie auf X. Die SpaceX-Anteile der Börse müssten deshalb nicht verkauft werden.
Gründer Changpeng Zhao hatte zuvor auf Spott von Elon Musk reagiert und ihn öffentlich gebeten, damit aufzuhören. Er verwies auf eine SpaceX-Beteiligung der Börse von mehr als 1 Milliarde US-Dollar. Die verbleibende Lücke bezifferte Zhao auf rund 2 Milliarden US-Dollar.
Nicht betroffen sind nach eigenen Angaben die rechtlich eigenständige US-Börse Binance.US sowie Coinbase. Die Zusage von Binance hat Gewicht, weil Guthaben bei Kryptobörsen anders als Bankeinlagen nicht automatisch gegen Verluste versichert sind. Erstattungen liegen im Ermessen der jeweiligen Börse. Binance warnt zudem ausdrücklich vor Betrugsversuchen im Umfeld des Vorfalls.
Bitcoin, BNB und DeFi-Token unter Druck
Am Kryptomarkt löste der Hack einen spürbaren Abverkauf aus. Der Bitcoin-Kurs fiel am Freitag um 4 Prozent auf 77.465 US-Dollar, Ether ebenfalls um 4 Prozent auf 2.239,80 US-Dollar. Der Binance-eigene Token BNB gab um 5 Prozent auf 702,28 US-Dollar nach.
In der Nacht waren die Verluste zeitweise größer. Gegen 2.19 Uhr notierte Bitcoin bei rund 76.937 US-Dollar, der BNB-Kurs lag mit 8 Prozent im Minus bei rund 693 US-Dollar. Die DeFi-Token AAVE und UNI gaben jeweils mehr als 10 Prozent ab.
Der Fear and Greed Index fiel auf 30 Punkte und damit auf den tiefsten Stand seit August. Am Derivatemarkt summierten sich die Liquidationen auf 1,57 Milliarden US-Dollar. Große Bitcoin-Investoren sicherten sich verstärkt gegen weitere Kursverluste ab.
Vergleichsweise stabil hielten sich die Privacy Coins Monero und Zcash sowie HYPE, der Token von Hyperliquid. Die Aktie von Coinbase verlor im nachbörslichen US-Handel 4,8 Prozent, obwohl die Börse nach eigenen Angaben nicht betroffen ist.
Die Folgen reichen über Binance hinaus, weil die Börse für andere Handelsplätze eine wichtige Liquiditätsquelle ist. Indiens größte Kryptobörse CoinDCX schaltete ihren Futures-Markt in den reduce-only Modus. Trader können dort vorerst keine neuen Positionen eröffnen oder bestehende ausbauen.
Die Market Maker Wintermute und GSR legten ihr Exposure gegenüber Binance offen. Es liegt nach Angaben der Firmen bei unter 20 beziehungsweise unter 5 Prozent der Net Equity, größere Störungen erwarten beide nicht.
