So lief der Rekorddiebstahl bei Binance ab

Kurz nach dem bislang größten Krypto-Diebstahl der Geschichte liegt nun der erste offizielle Vorfallsbericht vor – und der zeigt: Die Attacke auf die weltgrößte Kryptobörse Binance war kein Zufallstreffer, sondern das Ergebnis einer monatelang vorbereiteten, mehrstufigen Kampagne mit gefälschten Bewerbungsgesprächen, manipulierten KI-Tools und vor allem Social Engineering. Am 29. Oktober 2026 zogen Angreifer digitalen Vermögenswerte im Wert von rund 6,34 Milliarden US-Dollar aus den Hot Wallets des Unternehmens ab – innerhalb von nur wenigen Stunden.

Chronologie eines Milliardendiebstahls

Juni 2026: Das manipulierte KI-Tool

Die Vorbereitungen begannen bereits im Sommer. Ein Ingenieur aus dem Wallet-Infrastruktur-Team von Binance stieß bei einer Internetsuche auf ein angebliches KI-Codierungswerkzeug und lud dieses herunter – tatsächlich handelte es sich um eine manipulierte Version, die von den Angreifern eigens platziert worden war. Binance entdeckte die Anomalie zwar, tauschte das Gerät aus und änderte die Zugangsdaten des Mitarbeiters. Doch der Schaden war bereits geschehen: Die Hacker hatten in Erfahrung gebracht, welche Mitarbeiter im Unternehmen für die digitale Geldbörse verantwortlich sind.

September 2026: Das fingierte Bewerbungsgespräch

Mit diesem Wissen ging es in die zweite Runde. Ein weiterer Softwareentwickler wurde über eine seriöse Job-Plattform (laut Berichten handelte es sich um LinkedIn) von einer Person kontaktiert, die sich als Projektleiter eines fiktiven Unternehmens ausgab. Es folgte eine erste Gesprächsrunde als Videoanruf mit einer angeblichen Personalverantwortlichen – die zur Vertrauensbildung sogar ein Social-Media-Profil mit privaten Fotos und Videos teilte. In der zweiten Runde, geführt über eine verbreitete Chat-App, trat schließlich der vermeintliche CEO auf.

Im Verlauf dieses Gesprächs sollte der Entwickler eine Programmieraufgabe aus einem Online-Repository herunterladen und auf seinem Arbeitslaptop installieren. Das Repository enthielt jedoch versteckten Schadcode, der über Obfuskationstechniken die Sicherheitsscans umging. Die Malware ersetzte einen legitimen Bestandteil eines Entwicklerwerkzeugs und ermöglichte den Angreifern so, Befehle auszuführen und mit einem externen Server zu kommunizieren.

20. Oktober 2026: Der Sprung ins Wallet-Team

Über den kompromittierten Rechner und ein internes KI-Werkzeug von Binance gelang es den Hackern, die Kontrolle über die Computer von zwei weiteren Ingenieuren zu übernehmen, die für die Wallet-Infrastruktur zuständig waren. Dabei stießen sie auf Zugangsdaten, mit denen sich Software in dieser Infrastruktur bereitstellen ließ. Wie genau das interne KI-Werkzeug dabei missbraucht wurde, haben die bisherigen Berichte nicht im Detail offengelegt.

29. Oktober 2026: Der finale Schlag

Neun Tage später schlugen die Angreifer zu. Gegen 20:05 Uhr UTC begannen Hot Wallets auf dem XRP Ledger, Werte an eine einzelne, neu erstellte Angreiferadresse zu senden. In den folgenden 30 Minuten wurden Wallets auf Solana, NEAR, Base, Optimism, Bitcoin, Tron, Ethereum, Arbitrum und Avalanche geleert. Den größten Verlust verzeichnete Ethereum: rund 3,8 Milliarden US-Dollar in 186 verschiedenen Token, darunter 1,9 Milliarden USDT und 823 Millionen USDC. Zusätzlich erbeuteten die Angreifer 18.270 BTC im Wert von rund 1,48 Milliarden US-Dollar sowie 612,7 Millionen USDT auf Tron.

Bemerkenswert: Laut Analysen der Sicherheitsfirma Blockaid probten die Täter den gesamten Ablauf vorab dreimal mit eigenen Test-Wallets durch, bei denen jeweils nur wenige Dollar bewegt wurden. Für den eigentlichen Angriff setzten sie einen Smart Contract ein, der sämtliche Token und Ether aus den betroffenen Wallets "per Klick" abzog. Die Hauptphase des Diebstahls dauerte Berichten zufolge nur etwa 20 Minuten – insgesamt erstreckte sich die Aktion über mehrere Stunden.

Dass Gelder selbst nach der Aussetzung der Auszahlungen weiter abflossen, liegt an einer Besonderheit: Die Angreifer nutzten EIP-7702, eine Erweiterung aus dem Ethereum-Pectra-Upgrade, mit der ein normales Konto vorübergehend die Logik eines Smart Contracts übernehmen kann – so verschafften sie sich Ausführungsrechte über eine Hot Wallet.

Wer steckt dahinter?

Das FBI macht die staatlich unterstützte nordkoreanische Hackergruppe TraderTraitor für den Angriff verantwortlich. Auch die Analysefirmen TRM Labs und Elliptic waren bereits vor der offiziellen Attribution von dieser Zuordnung ausgegangen. Nordkorea selbst bestreitet die Vorwürfe. Binance gab zudem an, im Jahr 2026 bereits 57 mutmaßlich nordkoreanische Angriffsversuche erkannt und abgewehrt zu haben – viele davon mit ähnlichen Methoden wie gefälschten Bewerbungsgesprächen und manipulierten Entwicklerwerkzeugen.

Was passiert mit dem Geld?

Etwa die Hälfte der gestohlenen Werte bestand aus Stablecoins, die von den Emittenten eingefroren werden konnten. Tether, Circle, Ripple und World Liberty Financial fraren bis zum 3. November rund 2,85 Milliarden US-Dollar ein – rund 44 Prozent der Beute. Der Rest wird von den Angreifern unter Einsatz automatisierter Skripte, die rund um die Uhr laufen, in Ether und nicht einfrierbare Assets umgewandelt und zwischen Blockchains verschoben. Nach Schätzungen von Elliptic sind etwa 2,4 Milliarden US-Dollar in Bitcoin und Ether für die Ermittler außer Reichweite.

Binance kündigte an, sämtliche Verluste aus dem Secure Asset Fund for Users (SAFU) und eigenen Unternehmensmitteln auszugleichen. Co-CEO Richard Teng erklärte, inzwischen seien 98 Prozent der betroffenen Vermögenswerte ersetzt – die verbleibenden, illiquideren Assets würden noch beschafft. Zudem wurden die betroffenen Systeme neu aufgebaut, kompromittierte Geräte ersetzt und zugehörige Zugangsdaten und Token außer Kraft gesetzt. Ein unabhängiger Experte soll die getroffenen Maßnahmen überprüfen.

Was der Fall für die Branche bedeutet

Der Vorfall korrigiert auch die ursprüngliche Erzählung: Zunächst war ein kompromittierter Laptop eines einzelnen DevOps-Ingenieurs als Einfallstor genannt worden. Teng wies diese Darstellung nun ausdrücklich zurück, die Attacke habe mehrere Einfallstore umfasst und sei von den Tätern über Monate systematisch aufgebaut worden. Er sprach von einem der raffiniertesten Angriffe, die die Branche je erlebt hat.

Für Anleger bleibt eine gemischte Bilanz: Binance sichert zu, dass Kundengelder sicher sind und alle Verluste ersetzt werden. Doch das Vertrauen hat gelitten – am 1. November 2026 zogen Kunden Netto rund 3,6 Milliarden US-Dollar von der Plattform ab, rund 2,1 Prozent der verwalteten Vermögenswerte. Inzwischen sei etwa eine Milliarde US-Dollar wieder zurückgeflossen.

Die eigentliche Lektion des Falls betrifft aber weniger die Blockchain selbst als die menschliche Schwachstelle: Kein privater Schlüssel wurde gestohlen – die Angreifer kamen über Social Engineering, gefälschte Bewerbungsprozesse und kompromittierte KI-Werkzeuge bis in die Signierumgebung der Wallets. Genau dort, zwischen Entwicklerrechner und Transaktionsfreigabe, werden Börsen künftig deutlich härter aufrüsten müssen.