Lazarus-Gruppe im Verdacht: Diebstahl von 6,3 Milliarden Dollar aus Binance-Hot-Wallet
Blockchain-Ermittler bringen den Diebstahl von rund 6 Milliarden Dollar bei Binance vom 29. Oktober mit der nordkoreanischen Lazarus-Gruppe in Verbindung, wobei die genauen Summen und die Zuordnung umstritten bleiben. Binance hat die Identität des Angreifers nicht bestätigt, und das Ausmaß würde den Vorfall zum größten Krypto-Diebstahl der Geschichte machen.
Verfasst von der KI-Redaktion von CoinArticle · auf Basis von 2 angegebenen Quellen. So arbeiten wir
Das gemeldete Ausmaß des Diebstahls
Blockchain-Ermittler beziffern den Wert des Diebstahls bei Binance vom 29. Oktober auf 6,3 bis 6,36 Milliarden Dollar, je nach Quelle. Crypto.news nannte etwa 6,3 Milliarden Dollar, während TRM Labs rund 6,36 Milliarden Dollar nachverfolgte, die von Binance kontrollierten Wallets über zehn Netzwerke abflossen, darunter Ethereum, Bitcoin, Tron, Solana und der XRP Ledger. CoinDesk sprach von knapp 6 Milliarden Dollar, einer gerundeten Zahl, die innerhalb derselben Spanne liegt.
Die Abweichungen zwischen den Schätzungen spiegeln wider, wie die Mittel gezählt wurden, und nicht einen Streit über das Kerngeschehen. TRM zufolge fanden die meisten Abflüsse innerhalb von rund 20 Minuten ab 20:05 UTC statt, wobei etwa 3,79 Milliarden Dollar auf Ethereum, 1,47 Milliarden Dollar auf Bitcoin und 628 Millionen Dollar auf Tron bewegt wurden. Außerdem identifizierte TRM 233,46 Millionen XRP, im Wert von knapp 296 Millionen Dollar, die vor Beginn der Ethereum-Aktivität aus fünf Binance-Wallets abflossen.
Zuordnung zu Lazarus und TraderTraitor
TRM Labs ordnete den Angriff TraderTraitor zu, einer nordkoreanischen Hacking-Einheit, die sie mit der Lazarus-Gruppe in Verbindung bringt, und erklärte, sie sei zu dieser Schlussfolgerung mit hoher Zuversicht gelangt. TRM hat nicht alle Belege für die Zuordnung öffentlich gemacht. Der Blockchain-Ermittler ZachXBT hat Lazarus separat als wahrscheinlichen Angreifer identifiziert. Auch Sicherheitsforscher, die von CoinDesk zitiert werden, verweisen auf Lazarus, während Binance nicht bestätigt hat, wer den Diebstahl begangen hat.
Das FBI hat TraderTraitor zuvor mit dem Diebstahl bei Bybit im Februar 2025 in Verbindung gebracht, bei dem rund 1,5 Milliarden Dollar von dieser Börse abgezogen wurden. US-Behörden werfen nordkoreanischen Hacking-Operationen vor, Kryptowährungen zu stehlen, um die Waffenprogramme des Landes zu finanzieren. Die Zuordnung beruht zum jetzigen Zeitpunkt auf der Analyse privater Ermittler und nicht auf einem offiziellen Befund einer Regierung.
Wie das Wallet kompromittiert wurde
Die technische Prüfung durch Blockaid identifizierte eine ungewöhnliche Ethereum-Transaktion mit 50 EIP-7702-Autorisierungen, die auf Binance 14 zielte, eine der meistgenutzten Hot-Wallets der Börse. EIP-7702 erlaubt es einem Ethereum-Wallet, Smart-Contract-Code zu autorisieren, in seinem Namen zu handeln. Laut Blockaid-Mitgründer und CEO Ido Ben-Natan bereitete der Angreifer Autorisierungen für 50 aufeinanderfolgende Transaktionszähler vor, sodass eine davon dem aktuellen Zähler des Wallets entsprechen würde. Nur eine war erfolgreich und ermöglichte einem bösartigen Contract, Vermögenswerte aus dem Wallet abzuziehen.
Ben-Natan sagte, der Angreifer habe die Hot-Wallet effektiv so umprogrammiert, dass ein einzelner Operator sie leeren könne, einschließlich aller später eingezahlten Mittel. Blockaid schätzte, dass rund 2,5 Milliarden Dollar von Binance 14 abflossen, darunter 167.464 ETH und mehr als 1,6 Milliarden Dollar in USDT. TRM zufolge begann die Vorbereitung mindestens 36 Stunden vor dem Diebstahl, wobei drei kleine Abhebungen über Tornado Cash genutzt wurden, um ein vom Angreifer kontrolliertes Wallet zu finanzieren, das den bösartigen Code testete.
Verbleibende Mittel und Geldwäscherisiko
Onchain Lens berichtete, dass der Angreifer 17.260 ETH, im Wert von etwa 38,82 Millionen Dollar, in ein neues Wallet verschoben hat, was die Sorge aufkommen lässt, die Mittel könnten über Tornado Cash oder andere Mixer gewaschen werden. Derselbe Tracker erklärte, der Angreifer halte weiterhin rund 480.720 ETH im Wert von knapp 1,08 Milliarden Dollar, die Token-Emittenten nicht einfrieren können. Ben-Natan sagte, das Blockaid-Team verfolge die gestohlenen Vermögenswerte weiter, und Ermittler hätten weitere Transfers mit Bitcoin und Tron identifiziert. Ob die verbleibenden Bestände wiederhergestellt werden können, ist nicht bekannt.
Warum es wichtig ist
Für Trader
Weitere Transfers des Angreifers und eine mögliche Nutzung von Mixern könnten Liquidität und Kursbewegungen bei ETH, USDT und XRP volatil halten, während die On-Chain-Nachverfolgung andauert.
Für Investoren
Ein Diebstahl dieser Größenordnung bei der größten Börse wirft Fragen zu Verwahrungspraktiken und Gegenparteirisiken bei zentralisierten Handelsplätzen auf.
Für Entwickler
Der Exploit mit EIP-7702-Autorisierungen zeigt, dass delegierter Wallet-Code durch Manipulation des Nonce missbraucht werden kann, weshalb Wallet- und Hot-Wallet-Designs überprüft werden sollten.
Dieser Artikel dient nur zur Information und stellt keine Finanzberatung dar. Vollständigen Haftungsausschluss lesen.
