Inhalt
Kurz gesagt: Am 29. Oktober 2026 flossen rund 6,3 Milliarden Dollar aus Wallets von Binance ab, das meiste davon in etwa 20 Minuten. Geknackt wurde nichts: Die Blockchain wurde nicht gehackt, und Binance hat keine Hinweise darauf gefunden, dass private Schlüssel geleakt sind. Die ersten Erkenntnisse deuten auf den kompromittierten Laptop eines einzelnen DevOps-Engineers, über den ein Dienst erreicht wurde, dem das Einreichen von Auszahlungen vertraut wird. Die Überweisungen umgingen die normalen Freigaben und liefen über einen legitimen Weg, sodass sie wie Routine aussehen konnten. Zwei Analysefirmen verdächtigen TraderTraitor aus Nordkorea; das ist nicht bestätigt.
Was passiert ist
„The estimated total impact sits at around $6.3B“ (der geschätzte Gesamtschaden liegt bei rund 6,3 Mrd. $), schrieb Binance in seinem Sicherheits-Update vom 30. Oktober. Die BBC nannte es „what is thought to be the largest hack in history - worth up to $6.3bn (£4.7bn)“ (den mutmaßlich größten Hack der Geschichte, im Wert von bis zu 6,3 Mrd. $ (4,7 Mrd. £)).
Zum Vergleich zählte Joe Tidy, Cyber-Korrespondent der BBC, die bisherigen Rekorde auf: „Last year $1.5bn (£1.12bn) was taken from Bybit. Before that it was $600m (£433m) from Poly Network in 2021 and $540m (£412m) from Ronin in 2022.“ (Letztes Jahr wurden 1,5 Mrd. $ (1,12 Mrd. £) bei Bybit erbeutet. Davor waren es 2021 600 Mio. $ (433 Mio. £) bei Poly Network und 2022 540 Mio. $ (412 Mio. £) bei Ronin.)
Es ging schnell. TRM Labs: „On October 29, 2026, an attacker moved approximately USD 6.36 billion out of Binance wallets on ten blockchains, most of it in about 20 minutes starting at 20:05 UTC“ (am 29. Oktober 2026 schaffte ein Angreifer rund 6,36 Milliarden US-Dollar aus Binance-Wallets auf zehn Blockchains, das meiste davon in etwa 20 Minuten ab 20:05 UTC). Wie Ari Redbord von TRM der BBC sagte: „That speed is the product of long preparation.“ (Diese Geschwindigkeit ist das Ergebnis langer Vorbereitung.)
Nicht die Blockchain, nicht die Schlüssel
Die Überraschung ist, was nicht geknackt wurde. Mitchell Labiak von der BBC: „The short version is that the blockchain wasn't hacked. Rather, the exchange on which people trade cryptocurrency was hacked.“ (Kurz gesagt: Nicht die Blockchain wurde gehackt, sondern die Börse, an der Menschen Kryptowährung handeln.)
Und Binance: „We have found no evidence of any wallet private key leak.“ (Wir haben keine Hinweise auf ein Leak privater Wallet-Schlüssel gefunden.)
Vielleicht begann es auf einem Laptop
Die erste Antwort von Binance: „Binance's initial investigation suggests that the security incident may involve a compromised DevOps engineer's laptop, which allowed an attacker to gain access to a service container and submit unauthorized withdrawal transactions.“ (Die erste Untersuchung von Binance deutet darauf hin, dass bei dem Sicherheitsvorfall möglicherweise der kompromittierte Laptop eines DevOps-Engineers eine Rolle spielte, über den ein Angreifer Zugriff auf einen Service-Container erlangte und nicht autorisierte Auszahlungstransaktionen einreichte.)
Es könnte auch mehr als ein Rechner gewesen sein. Richard Teng, Co-CEO von Binance, laut BBC: „This was not carried out by one person. Our initial investigation suggested that the security incident may have involved a compromised laptop, however our subsequent investigation has uncovered additional points of breach.“ (Das wurde nicht von einer einzelnen Person durchgeführt. Unsere erste Untersuchung deutete darauf hin, dass ein kompromittierter Laptop beteiligt gewesen sein könnte, doch unsere weitere Untersuchung hat zusätzliche Einbruchsstellen aufgedeckt.)
Binance hat nicht veröffentlicht, wie der Dienst erreicht wurde, und dieser Beitrag stellt keine Vermutungen an.
Warum es schwer abzuwehren ist
Teng sagte außerdem, die Überweisungen „did not pass through our normal approval controls“ (liefen nicht durch unsere normalen Freigabekontrollen).
Mackenzie Jackson von Aikido beschrieb der BBC das allgemeine Muster: „From one laptop, an attacker can open one internal system, then another, until they reach a service trusted to send out withdrawals. Those withdrawals travel through a legitimate route, so they can look routine.“ (Von einem Laptop aus kann ein Angreifer ein internes System öffnen, dann das nächste, bis er einen Dienst erreicht, dem das Versenden von Auszahlungen vertraut wird. Diese Auszahlungen laufen über einen legitimen Weg, sodass sie wie Routine aussehen können.)
In der Zusammenfassung der BBC zu Jackson: „He says hackers have shifted from going after company infrastructure to going after the machines of the people who run it. Those machines hold the digital keys that unlock a company's systems, so an attacker can act as that engineer.“ (Er sagt, Hacker hätten sich von der Infrastruktur der Unternehmen auf die Rechner der Menschen verlagert, die sie betreiben. Auf diesen Rechnern liegen die digitalen Schlüssel zu den Systemen eines Unternehmens, sodass ein Angreifer als dieser Engineer auftreten kann.)
Wer: verdächtigt, nicht bestätigt
TRM Labs, laut BBC: „Several features of this attack match earlier North Korea-linked heists“ (mehrere Merkmale dieses Angriffs passen zu früheren Raubzügen mit Verbindung zu Nordkorea). Einer davon ist Bybit. Das FBI: „North Korea was responsible for the theft of approximately $1.5 billion USD in virtual assets from cryptocurrency exchange, Bybit, on or about February 21, 2025.“ (Nordkorea war verantwortlich für den Diebstahl von rund 1,5 Milliarden US-Dollar in virtuellen Vermögenswerten bei der Kryptobörse Bybit am oder um den 21. Februar 2025.)
Für Binance nennen zwei Analysefirmen einen Verdächtigen. TRM Labs: „TRM attributes the attack to TraderTraitor, North Korea's elite hacking unit, based on robust on and off-chain intelligence. We make this judgment with high confidence.“ (TRM schreibt den Angriff auf Grundlage belastbarer On- und Off-Chain-Erkenntnisse TraderTraitor zu, der Elite-Hackereinheit Nordkoreas. Wir treffen diese Einschätzung mit hoher Zuversicht.) Chainalysis: „Chainalysis investigators assess the $6.4 billion hack of Binance … to be the work of North Korean cybercrime group TraderTraitor.“ (Die Ermittler von Chainalysis halten den 6,4-Milliarden-Dollar-Hack bei Binance … für das Werk der nordkoreanischen Cybercrime-Gruppe TraderTraitor.)
Elliptic merkt jedoch an: „No government or law enforcement agency has confirmed attribution, and Binance has not commented on who was responsible.“ (Keine Regierung und keine Strafverfolgungsbehörde hat die Zuordnung bestätigt, und Binance hat sich nicht dazu geäußert, wer verantwortlich war.) Und die BBC: „We don't yet know who was behind the attack“ (wir wissen noch nicht, wer hinter dem Angriff steckt). Also: verdächtigt, nicht bestätigt.
Wie es weiterging
Binance „temporarily suspended withdrawals while security checks are completed“ (setzte Auszahlungen vorübergehend aus, bis die Sicherheitsprüfungen abgeschlossen sind) und erklärte: „Binance will cover all losses from the SAFU fund and the company's funds. User funds are safe.“ (Binance wird alle Verluste aus dem SAFU-Fonds und aus Firmenmitteln decken. Die Gelder der Nutzer sind sicher.) Außerdem meldete Binance: „We have worked with blockchain partners to freeze affected assets, with ~$3 billion frozen on-chain so far.“ (Wir haben mit Blockchain-Partnern daran gearbeitet, betroffene Vermögenswerte einzufrieren; bisher sind on-chain ~3 Milliarden $ eingefroren.)
Die Zeit spielt eine Rolle. Der Diebstahl dauerte Minuten; die Geldwäsche dauert Wochen. Chainalysis: „Following major theft events between 2022-2025, stolen funds follow a structured, multi-wave laundering pathway that unfolds over approximately 45 days“ (nach großen Diebstählen zwischen 2022 und 2025 folgten gestohlene Gelder einem strukturierten Geldwäscheweg in mehreren Wellen, der sich über etwa 45 Tage erstreckt). Zur Einordnung: „North Korean hackers stole $2.02 billion in cryptocurrency in 2025, a 51% year-over-year increase“ (nordkoreanische Hacker stahlen 2025 Kryptowährung im Wert von 2,02 Milliarden Dollar, 51 % mehr als im Vorjahr) (Chainalysis).
Und das Geld zurückzuholen geht langsam. Zu Bybit berichtete Decrypt 18 Monate später: „around $48.4 million has been recovered and about $30.5 million frozen across more than 28 exchanges and custodians“ (rund 48,4 Millionen Dollar wurden zurückgeholt und etwa 30,5 Millionen Dollar bei mehr als 28 Börsen und Verwahrern eingefroren). Das sind etwa 3 % von 1,5 Milliarden Dollar, die zurückgeholt wurden (unsere Rechnung: 48,4 Mio. $ ÷ 1,5 Mrd. $).
Was hilft
- Von außerhalb des anfragenden Systems freigeben. Das FBI rät: „Require multiple factors of authentication and approvals from several different unconnected networks“ (mehrere Authentifizierungsfaktoren und Freigaben aus mehreren verschiedenen, nicht miteinander verbundenen Netzwerken verlangen), bevor Finanzmittel eines Unternehmens bewegt werden.
- Trennen, wer was signieren darf. TRM Labs: „Signing infrastructure and approval paths should be separated by chain and wallet tier.“ (Signierinfrastruktur und Freigabewege sollten nach Chain und Wallet-Stufe getrennt sein.)
- Die Rechner nahe am Geld abschotten. „For companies with access to large quantities of cryptocurrency, the FBI recommends blocking devices connected to the company's network“ (Unternehmen mit Zugriff auf große Mengen Kryptowährung empfiehlt das FBI, Geräte im Firmennetzwerk zu sperren), sodass sie nichts außer freigegebenen Programmen herunterladen oder ausführen können.
Die größten Diebstähle knacken nicht die Kryptografie; sie übernehmen den Prozess, dem das Bewegen des Geldes vertraut wird, und dieser Prozess läuft über Menschen und ihre Laptops.
Quellen
- Binance, Security Incident Update, 30. Okt. 2026
- TRM Labs, North Korea steals $6.36 billion from Binance in the largest hack in history, 29. Okt. 2026
- Chainalysis, Binance exploit: latest findings and response, 30. Okt. 2026
- Elliptic, Binance: the largest hack in history, 30. Okt. 2026
- BBC News, North Korea thought to be behind $6.3bn crypto hack, as firm begins recovering some funds (Liveticker), 30. Okt. 2026
- Chainalysis, Crypto hacking and stolen funds 2026, Dez. 2025
- Decrypt, Bybit sues North Korea over $1.5B hack, wins order freezing assets, 10. Aug. 2026
- FBI, PSA 250226 (Bybit), 26. Feb. 2025
- FBI, PSA 240903: North Korea Aggressively Targeting Crypto Industry with Well-Disguised Social Engineering Attacks, 3. Sep. 2024
Das Video ist mit Code animiert, und das Skript entstand mit KI-Unterstützung; jede Zahl oben ist an den Quellen geprüft. Illustrativ sind: die Infektion, die den Laptop-Bildschirm füllt, der Weg von Station zu Station und das Transaktionsprotokoll. Dieser Beitrag erklärt das Risiko und was dagegen hilft, nicht die Schritte eines Angriffs. Das Video ist auf Englisch. Gemacht mit Shotloop, meiner kostenlosen Mac-App für Erklärvideos aus Code, korrigiert Shot für Shot.