Chainalysis und TRM Labs bringen Binance-Hack über 6,3 Mrd. USD mit Nordkoreas TraderTraitor in Verbindung
Die Blockchain-Analysefirmen Chainalysis und TRM Labs haben den Binance-Hack über 6,3 Mrd. USD der nordkoreanischen Hackergruppe TraderTraitor zugeschrieben. Binance hat mehr als 6,34 Mrd. USD zurückgestellt, um den Vorfall abzudecken, und Stablecoin-Emittenten haben Milliarden an gestohlenen Geldern eingefroren.
Verfasst von der KI-Redaktion von CoinArticle · auf Basis von 2 angegebenen Quellen. So arbeiten wir
Berichterstattung: Bitcoin Magazine – diese Meldung beruht bisher auf einer einzigen Quelle.
Zuordnung und Ausmaß
Chainalysis und TRM Labs haben den Binance-Hack beide TraderTraitor zugeschrieben, einer nordkoreanischen Hackergruppe. TRM Labs erklärte, die Zuordnung erfolge "mit hoher Zuversicht" auf Grundlage "robuster On- und Off-Chain-Erkenntnisse", und bezifferte den Diebstahl auf etwa 6,36 Mrd. USD. Chainalysis gab die Summe mit etwa 6,4 Mrd. USD an. Beide Firmen bezeichnen es als den größten Krypto-Diebstahl aller Zeiten, rund viermal so hoch wie der Bybit-Hack vom Februar 2025 über 1,5 Mrd. USD, den das FBI derselben Gruppe zugeschrieben hat.
Chainalysis sagte, die stärksten Belege hätten sich ergeben, als Ermittler sahen, dass die von Binance gestohlenen Gelder in Echtzeit mit den Erlösen des Bitget-Exploits des letzten Monats vermischt wurden, der ebenfalls mit nordkoreanischen Akteuren in Verbindung gebracht worden war. Das in Singapur ansässige Unternehmen Pangolin Intelligence erklärte gegenüber CNN, es sei zu einem ähnlichen Schluss gekommen. Nordkorea hat Hackervorwürfe zuvor zurückgewiesen.
Ablauf des Angriffs
Laut TRM Labs verließen die Gelder die Binance-Wallets über 10 Blockchains, die meisten davon innerhalb von etwa 20 Minuten ab 16:05 Uhr Eastern Time am Donnerstag. Chainalysis erklärte, die operative Wallet des Angreifers sei über den Tornado-Cash-Mixer finanziert worden. TRM sagte, diese Funktion sowie die lange vor dem Diebstahl begonnene Vorbereitung entsprächen früheren, Nordkorea zugeschriebenen Angriffen, darunter der Bybit-Hack und der KelpDAO-Exploit im April.
Auf Ethereum nutzte der Angreifer laut TRM eine EIP-7702-Delegation, eine mit dem Pectra-Upgrade eingeführte Funktion, die es einer gewöhnlichen Wallet erlaubt, Smart-Contract-Code auszuführen, um eine Binance-Hot-Wallet in einen von ihm kontrollierten Sweeper zu verwandeln. Er bereitete 50 vorab signierte Autorisierungen vor. Wallets auf den anderen neun Chains übermittelten Gelder über gewöhnliche signierte Transfers. TRM folgerte daraus, dass die Signierinfrastruktur der Binance-Hot-Wallets kompromittiert wurde.
Binance erklärte, die Untersuchung habe mit einem kompromittierten Laptop eines Ingenieurs begonnen, habe inzwischen aber "weitere Einbruchspunkte" aufgedeckt. Frühere Berichte hatten erklärt, die Börse habe keine Hinweise auf einen Abfluss privater Schlüssel gefunden; diese Aussage sollte nun zusammen mit dem neueren Befund gelesen werden.
Geldwäsche und Stablecoin-Sperrungen
Chainalysis sagte, man beobachte "noch nie dagewesene Geldwäschemuster", mit Tausenden Transaktionen in kurzer Zeit, was auf eine Automatisierung hindeute, mit der Gelder zwischen Adressen zirkuliert würden. TRM erklärte, der Angreifer habe USDT an Market Maker verkauft und über das Aave-Lending-Protokoll ETH gegen USDT geliehen, um den Sperrungen durch die Emittenten zuvorzukommen. TRM schätzt, dass der Angreifer inzwischen mehr als 420.000 ETH und 18.270 BTC hält, etwa 2 Mrd. USD.
Stablecoin-Emittenten reagierten, um die Folgen einzudämmen. Tether-CEO Paolo Ardoino sagte, das Unternehmen habe mehr als 1,567 Mrd. USD in USDT eingefroren. Circle-CEO Jeremy Allaire erklärte, Circle habe in Abstimmung mit den Strafverfolgungsbehörden mehr als 800 Mio. USD in USDC eingefroren. First-Digital-CEO Vincent Chok sagte, gestohlene FDUSD seien eingefroren worden. Binance zufolge wurden insgesamt rund 3 Mrd. USD onchain eingefroren.
Binance erklärt, mehr als 6,34 Mrd. USD an Unternehmensmitteln zur Deckung des Vorfalls zurückgestellt zu haben. Etwa 5 Mrd. USD dieser Rücklage liegen in den betroffenen Token-Vermögenswerten, der Rest wird über den Markt und OTC-Kanäle zugekauft. Eingefrorene und geschützte Vermögenswerte unterliegen weiterhin einer Überprüfung, und die Börse plant, einen aktualisierten Proof of Reserves zu veröffentlichen.
Marktreaktion
Bitcoin fiel am Freitagmorgen Richtung 76.000 USD, bevor es nahe 77.400 USD gehandelt wurde. Die Gesamtliquidationen am Markt erreichten 1,5 Mrd. USD, davon entfielen 468 Mio. USD auf Bitcoin und 358 Mio. USD auf Ether. Long-Positionen trugen den größten Teil der Verluste. Der Ausverkauf fiel mit einem separaten Vorfall bei der dezentralen Wettplattform Polymarket zusammen, die den internationalen Handel aussetzte, nachdem Hacker mehr als 2,6 Mio. USD von Nutzerkonten abgezogen hatten.
Geoffrey Kendrick von Standard Chartered sagte CoinDesk, die negative Preisentwicklung könnte noch weiter gehen, und nach der Freigabe der Vermögenswerte und dem Bekanntwerden weiterer Details werde sich eine neue Basis bilden. Er argumentierte, der Vorfall könne eine Verlagerung hin zu dezentralen Börsen beschleunigen.
Strafverfolgung und Warnungen
Reuters berichtete unter Berufung auf eine mit der Sache vertraute Person, Binance arbeite mit dem FBI und dem US Secret Service zusammen. Der frühere CEO Changpeng Zhao, der weiterhin ein wichtiger Anteilseigner ist, schrieb auf X: "Es sieht tatsächlich wie ein Hack aus."
Chainalysis hat davor gewarnt, dass Betrüger sich als das Unternehmen ausgeben, unter anderem mit Angeboten zur Wiederbeschaffung von Geldern und Rekrutierungsdiensten. Geschädigte sollten unaufgeforderte Wiederherstellungsangebote mit Vorsicht behandeln und sich für Updates auf offizielle Kanäle verlassen.
Warum es wichtig ist
Für Trader
Anhaltende Liquidationen und die rund 2 Mrd. USD an nicht gewaschenen Beständen des Angreifers machen die kurzfristige Preisentwicklung fragil, bis Sperrungen und die Überprüfung der Vermögenswerte vorankommen.
Für Investoren
Die Zuordnung zu einer staatlich verbundenen Gruppe und ein Verlust, der rund viermal so hoch ist wie der Bybit-Hack, werfen weiterhin Fragen zur Verwahrung bei Börsen, zu Reserven und zur Sanktionsexposition auf.
Für Entwickler
Der Missbrauch der EIP-7702-Delegation und vorab signierte Autorisierungen zeigen, dass die Signierinfrastruktur von Hot Wallets und Smart-Account-Funktionen einer verschärften Überprüfung der Berechtigungen bedürfen.
Dieser Artikel dient nur zur Information und stellt keine Finanzberatung dar. Vollständigen Haftungsausschluss lesen.
