Nordkorea hinter dem Binance Hack? Was über den 6,3-Milliarden-Raub bekannt ist

Update 3. November, 2:03 Uhr: Der Reservenachweis von Binance ist jetzt selbst prüfbar. In der Mitteilung „Recovery Update #5“ vom 2. November (13:45 Uhr deutscher Zeit) meldet Binance, dass der Zero-Knowledge-Nachweis zur Momentaufnahme vom 31. Oktober fertig ist. Wer BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD oder ZEC auf Binance hält, kann mit dem Prüfwerkzeug der Proof-of-Reserves-Seite selbst nachsehen, ob sein Guthaben mindestens 1:1 gedeckt ist. Ersetzt sind nach Angaben der Börse rund 95 Prozent des gestohlenen Betrags, die restlichen 5 Prozent sind weniger liquide Token außerhalb dieser zehn. Am 4. November folgt eine neue Momentaufnahme mit mehr Token, ihr Nachweis soll 40 bis 50 Stunden dauern. Die nächste Stufe der Auszahlungen für weitere Netzwerke ist für den 3. November angekündigt. Mehr dazu: So prüfst du den Reservenachweis von Binance.

Update 1. November, 8:48 Uhr: Binance hat die ersten Auszahlungen wieder geöffnet. Bitcoin-Auszahlungen über das Bitcoin-Netz sind laut Binances Netzwerkstatus spätestens seit 8 Uhr deutscher Zeit wieder möglich, Ether über das Ethereum-Netz, USDT und USDC über Ethereum und die BNB Smart Chain sowie BNB folgten gegen 8:48 Uhr (7:48 Uhr UTC). Weitere Netzwerke der ersten Phase folgen schrittweise. Welche 15 Netzwerke zuerst öffnen und was Kunden jetzt beachten sollten, steht in Binance öffnet die Auszahlungen wieder.

Hinter dem Binance Hack vom 29. Oktober 2026 steckt nach Einschätzung zweier führender Blockchain-Ermittler Nordkorea. TRM Labs ordnet den Angriff mit hoher Sicherheit der nordkoreanischen Staatshacker-Gruppe TraderTraitor zu, Chainalysis hält dieselbe Gruppe für den wahrscheinlichen Täter. Binance selbst nennt keinen Angreifer, beziffert den Schaden auf rund 6,3 Milliarden Dollar und will die Auszahlungen nach eigener Ankündigung auf X binnen 48 Stunden wieder öffnen, also spätestens am Sonntagmorgen. Hier steht gebündelt, was über den größten Krypto-Raub der Geschichte bekannt ist.

Das Wichtigste zum Binance Hack in Kürze

• Täter: TRM Labs nennt TraderTraitor aus Nordkorea, Chainalysis sieht dieselbe Gruppe; Binance und Behörden haben sich nicht festgelegt.
• Schaden: rund 6,3 Milliarden Dollar laut Binance, 6,36 Milliarden laut TRM Labs, verteilt auf zehn Blockchains.
• Beginn: 29. Oktober, 21:05 Uhr, der Großteil floss binnen rund 20 Minuten ab, eine zweite Welle folgte gegen 0:05 Uhr.
• Eingefroren: rund 2,7 Milliarden Dollar laut TRM Labs, rund 3 Milliarden laut Binance, vor allem Tether und Circle.
• Beim Angreifer: mehr als 420.000 ETH und 18.270 BTC, zusammen rund 2,4 Milliarden Dollar.
• Kunden: Binance ersetzt alle Verluste; Einzahlungen laufen, Auszahlungen sollen bis Sonntag, 1. November, gegen 5:36 Uhr wieder gehen.

Wie der Abend im Markt ablief, steht in unserer Zeitleiste mit Live-Ticker, die erste Meldung im Bericht zum Binance Hack.

Wer steckt hinter dem Binance Hack? Die Spur nach Nordkorea

TRM Labs stützt die Zuordnung auf eigene Daten von der Blockchain und Erkenntnisse außerhalb davon. Das Muster gleicht zwei früheren Angriffen: dem Hack der Börse Bybit im Februar 2025 mit 1,5 Milliarden Dollar Schaden, den das FBI der Gruppe TraderTraitor zugeschrieben hat, und dem Angriff auf KelpDAO im April 2026. In allen drei Fällen bekam die Wallet des Angreifers ihr Startgeld vorab aus dem Mixer Tornado Cash, und die nötigen Signaturen lagen schon gesammelt bereit, bevor das Geld floss.

Chainalysis-Chef Jonathan Levin hält TraderTraitor ebenfalls für den wahrscheinlichen Täter. Seine Ermittler fanden laut SecurityWeek Erlöse aus dem Angriff auf Bitget aus dem Vormonat, die mit der Beute aus dem Binance Hack vermischt wurden. Binance arbeitet nach eigenen Angaben mit Strafverfolgern zusammen, hat aber keinen Angreifer benannt. Eine offizielle Zuordnung durch eine Behörde gibt es noch nicht.

TraderTraitor ist eine Untergruppe des nordkoreanischen Hacker-Verbunds, der im Westen meist als Lazarus bekannt ist. Die Gruppe greift gezielt Mitarbeiter von Krypto-Firmen an, oft über präparierte Bewerbungs- oder Handelsprogramme, und verschafft sich so Zugang zu internen Systemen. Das passt zu dem, was Binance über den Einstieg sagt.

Wie lief der Binance Hack ab?

Laut der offiziellen Mitteilung von Binance war der Laptop eines DevOps-Ingenieurs kompromittiert. Darüber gelangte der Angreifer in einen Service-Container und reichte nicht autorisierte Auszahlungen ein. Einen abgeflossenen privaten Schlüssel hat Binance nicht gefunden. TRM Labs geht weiter: Weil Wallets auf zehn Blockchains im selben Zeitfenster mit gewöhnlichen, gültig signierten Überweisungen geleert wurden, konnte der Angreifer offenbar das Signiersystem der Hot Wallets selbst für sich arbeiten lassen. Ein einzelner gestohlener Schlüssel oder eine Phishing-Seite erklärt das nicht.

Auf Ethereum nutzte er dafür die Funktion EIP-7702. In unserer eigenen On-Chain-Analyse haben wir die entscheidende Transaktion nachgeprüft: 50 vorab signierte Freigaben für die Hot Wallet „Binance 14“, eine je möglicher Transaktionsnummer, damit eine davon sicher trifft. Diese Vorbereitung deutet darauf hin, dass der Zugang zum Signiersystem zeitlich begrenzt war.

Wo ist das Geld aus dem Binance Hack?

Rund 2,7 Milliarden Dollar sind laut TRM Labs eingefroren, Binance selbst spricht von rund 3 Milliarden. Den größten Teil haben die Herausgeber der Stablecoins gesperrt: Tether rund 1,77 Milliarden USDT, Circle rund 825 Millionen USDC. Wie wir die Sperren selbst nachgezählt haben, steht in unserem Stück USDT eingefroren. Dazu kommen Ripple mit 40,5 Millionen RLUSD, World Liberty Financial mit 27,8 Millionen USD1 und der Sicherheitsrat von Arbitrum, der um 1:08 Uhr rund 30 Millionen Dollar in ETH und ARB aus der Wallet des Angreifers holte.

Außer Reichweite der Herausgeber liegen mehr als 420.000 ETH und 18.270 BTC, zusammen rund 2,4 Milliarden Dollar. Der Angreifer hat die Zeit vor den Sperren genutzt: Rund 325 Millionen USDT tauschte er über UniswapX und ähnliche Dienste mit mehr als 10 Prozent Abschlag in rund 122.300 ETH, 60 Millionen USDT hinterlegte er bei Aave und lieh sich dafür rund 19.760 ETH, auf Tron landeten 300 Millionen USDT beim Kreditprotokoll JustLend. Die Bitcoin teilt er in Stücke von 1.000 und 100 BTC, um die Spur zu verwischen. Anders als bei Bybit setzt die Gruppe diesmal weniger auf Brücken zwischen Blockchains als auf große Tauschgeschäfte und Kreditprotokolle. Auf Tron tauschte der Angreifer laut Elliptic außerdem 234 Millionen USDT in 638 Millionen TRX und trieb den TRX-Kurs damit in zwei Stunden um gut 9 Prozent nach oben; wie das ablief und wie viel TRX noch beim Angreifer liegt, zeigt unsere Analyse zum TRX-Kurs nach dem Binance Hack.

Wann gehen Binance-Auszahlungen wieder?

Einzahlungen laufen nach Angaben von Binance normal. Die Auszahlungen bleiben gesperrt, solange die Börse den Auszahlungsdienst und die zugehörigen Adressen neu absichert. Um 5:36 Uhr kündigte Binance an, sie binnen 48 Stunden wieder zu öffnen. Das wäre spätestens Sonntag, 1. November, gegen 5:36 Uhr. Ob alle Coins zugleich freigegeben werden oder schrittweise, hat Binance offengelassen. Welche Netze schon vor der Komplettsperre pausierten, zeigt unser Stück zu den Binance Auszahlungen, was Kunden bis dahin tun können, steht in Binance beziffert den Hack auf 6,3 Milliarden Dollar.

Service Update. Deposits remain unaffected and continue to operate as normal. Withdrawals remain paused while our team completes a security revamp of the withdrawal service and its related addresses. We expect to resume within 48 hours, and will update with further details.

Binance (@binance) 30. Oktober 2026

Ersetzt Binance die Verluste aus dem Hack?

Ja, nach eigener Zusage. Binance will alle Verluste decken, aus dem Notfallfonds SAFU und aus Firmengeld. Der SAFU-Fonds hält rund 15.000 Bitcoin, Einzelheiten im Stück zur Vollerstattung aus dem SAFU-Fonds. Ob die Börse den Schaden verkraftet, rechnen wir in Wie viel braucht es, um Binance in die Pleite zu treiben? durch. Einen aktualisierten Reservenachweis will Binance veröffentlichen, sobald die Sicherheitsarbeiten abgeschlossen sind.

Wer größere Beträge nicht auf einer Börse liegen lassen will, verwahrt sie selbst, etwa in einer Hardware Wallet, oder verteilt sein Guthaben auf regulierte Kryptobörsen mit MiCA-Lizenz.

Was der Binance Hack für Bitcoin, BNB und den Markt bedeutet

Am Freitagvormittag um 11:30 Uhr kostete Bitcoin laut CoinMarketCap 77.296 Dollar, 3,4 Prozent weniger als vor 24 Stunden. BNB verlor 5,4 Prozent auf 700,66 Dollar, Ether 3,9 Prozent auf 2.226 Dollar, Solana 3,5 Prozent auf 96,51 Dollar. Gemessen an der Größe des Raubs ist das ein verhaltener Rückgang, eingeordnet in Bitcoin Kurs nach Binance-Hack. Die Nordkorea-Spur hat für den Markt eine nüchterne Folge: Staatshacker behalten die Beute nicht, sie tauschen sie über Wochen in Tranchen um. Die mehr als 420.000 ETH beim Angreifer sind deshalb der Posten, den Händler am genauesten beobachten.

Unsere Einschätzung: Für Binance-Kunden ändert die Frage nach dem Täter wenig. Entscheidend sind zwei Termine: ob die Auszahlungen bis Sonntag wirklich laufen und ob der angekündigte Reservenachweis volle Deckung zeigt. Kommt beides, dürfte sich der Druck auf BNB und den Markt legen. Verzögert sich eines davon, wird aus einem Sicherheitsvorfall eine Vertrauensfrage.

Alle Artikel zum Binance Hack im Überblick

• Hergang: Der Binance Hack, On-Chain-Analyse, Zeitleiste des Crashs, USDT eingefroren
• Dein Geld: Binance Auszahlungen, Was du jetzt tun kannst, SAFU-Fonds und Erstattung, Kann Binance pleitegehen?, Binance Erfahrungen
• Markt: Bitcoin Kurs nach dem Hack, Wie tief kann Bitcoin fallen?, BNB Crash, Ethereum Crash, Solana Crash, Krypto shorten
• Hintergrund: Die größten Krypto-Hacks der Geschichte

Schützen: Krypto sicher aufbewahren: So schützt du dich vor Hacks wie bei Binance