Größter Krypto-Diebstahl aller Zeiten: So verschwanden 6,3 Milliarden Dollar bei Binance

Für den bislang größten Kryptodiebstahl brauchten die Angreifer nur wenige Dutzend Minuten. Am 29. Oktober verschwanden rund 6,3 Milliarden Dollar aus Wallets von Binance, der größten Kryptobörse der Welt. Nach Angaben des Blockchain-Analyseunternehmens TRM Labs wurde der Großteil der Beute innerhalb von etwa zwanzig Minuten abgezogen.

Dem rasanten Angriff ging jedoch eine lange Vorbereitung voraus. Die Hacker nahmen Mitarbeiter und interne Systeme ins Visier und verschafften sich schließlich Zugang zu einer Infrastruktur, über die sich enorme Summen transferieren ließen.

Monatelange Vorbereitung für einen Angriff von zwanzig Minuten

Die Angreifer mussten weder Bitcoin noch Ethereum selbst knacken. Nach internen Untersuchungen teilte Binance mit, dass ein Mitarbeiter Wochen vor dem Hack Opfer eines ausgeklügelten Social-Engineering-Angriffs geworden war. Dabei kam unter anderem ein fingiertes Bewerbungsverfahren zum Einsatz. Später stellte das Unternehmen fest, dass die Angreifer mehrere Zugangswege genutzt hatten und die Operation komplexer war als zunächst angenommen.

Ein Softwareentwickler wurde im September über eine seriöse Stellenplattform kontaktiert. Eine Person gab sich als Projektleiter aus. Anschließend folgte ein Videogespräch mit einem vermeintlichen Personalmitarbeiter. Selbst Social-Media-Profile mit persönlichen Fotos kamen zum Einsatz, um die Täuschung glaubwürdig erscheinen zu lassen.

Bei einem weiteren Bewerbungsgespräch erhielt der Mitarbeiter eine Programmieraufgabe. Die dafür benötigte Software enthielt Schadcode, der nach Angaben von Binance die bestehenden Sicherheitsvorkehrungen umgehen konnte.

Am 20. Oktober gelangten die Hacker über den zuvor infizierten Rechner zu zwei weiteren Mitarbeitern, die mit Wallets arbeiteten. Damit näherten sie sich den Systemen, mit denen Binance Transaktionen freigeben konnte.

Der Diebstahl

Am 29. Oktober folgte der eigentliche Diebstahl. Mit gestohlenen Zugangsdaten drangen die Angreifer in einen Teil der internen Infrastruktur ein und führten Schadsoftware aus. Gegen 20.05 Uhr UTC flossen die ersten enormen Beträge aus den Wallets von Binance ab.

Innerhalb von etwa zwanzig Minuten wurden Milliarden Dollar über verschiedene Blockchains abgezogen. Allein auf Ethereum waren es laut TRM Labs rund 3,79 Milliarden Dollar, darunter 200.630 ETH und große Mengen an USDT, USDC und RLUSD.

Auch 18.270 Bitcoin (BTC) im damaligen Wert von rund 1,47 Milliarden Dollar wurden gestohlen. Zudem verschwanden über Tron, XRP Ledger und Solana weitere Vermögenswerte im Wert von Hunderten Millionen Dollar.

Auf Ethereum nutzten die Hacker eine technische Funktion, mit der sich vorab genehmigen lässt, dass bestimmte Software im Namen einer Wallet ausgeführt wird. So manipulierten sie eine Binance-Wallet derart, dass ihr eigener Code Transaktionen ausführen konnte.

Als Binance den Angriff bemerkte, setzte die Börse Auszahlungen aus. Mitarbeiter begannen, Zugriffsrechte zu entziehen. Bis der Angriff gegen Mitternacht vollständig unter Kontrolle war, war der Großteil der Beute jedoch bereits abgeflossen.

Binance beziffert den Gesamtschaden auf rund 6,3 Milliarden Dollar. TRM Labs kommt auf etwa 6,36 Milliarden Dollar, Elliptic auf rund 6,43 Milliarden Dollar.

Unabhängig von der Berechnung handelt es sich um einen Rekord. Als bislang größter Kryptohack galt der Angriff auf Bybit im Februar 2025, bei dem rund 1,46 Milliarden Dollar gestohlen wurden. Die Beute beim Binance-Hack war damit mehr als viermal so groß.

Elliptic geht noch weiter und bezeichnet den Angriff als den wahrscheinlich größten bekannten Diebstahl überhaupt.

Milliardenbeträge unmittelbar eingefroren

Nach dem Angriff versuchten die Beteiligten, möglichst viele der gestohlenen Kryptowerte zu sperren, bevor sie weitertransferiert werden konnten. Das gelang vor allem bei Stablecoins, da Emittenten wie Tether und Circle Guthaben auf bestimmten Adressen einfrieren können.

Laut Elliptic wurden inzwischen rund 2,85 Milliarden Dollar der Beute eingefroren oder sichergestellt. Das entspricht etwa 44 Prozent des gestohlenen Betrags. Dabei handelt es sich fast ausschließlich um Stablecoins wie USDT und USDC.

Bei den übrigen Kryptowerten lassen sich Transfers schwerer unterbinden. Die Angreifer tauschten deshalb verschiedene gestohlene Token in Ethereum (ETH) und verteilten das Geld über mehrere Blockchains und DeFi-Protokolle weiter. Einige Tage später beobachtete TRM Labs zudem neue Methoden, bei denen unter anderem Bridges und selbst erstellte Token zum Einsatz kamen, um die Nachverfolgung der Transaktionsströme zu erschweren.

Das FBI teilte am 31. Oktober mit, dass es Nordkorea für den Angriff verantwortlich macht. Die US-Ermittlungsbehörde ordnet den Hack TraderTraitor zu. Diese Bezeichnung verwendet sie für nordkoreanische Cyberoperationen, die gezielt Kryptounternehmen angreifen. Nordkorea selbst weist die Vorwürfe zurück.

Binance ersetzt nahezu alle gestohlenen Kryptowerte

Binance sicherte seinen Kunden umgehend zu, dass sie nicht für den Schaden aufkommen müssten. Die Börse stellte dafür mehr als 6,34 Milliarden Dollar aus eigenen Mitteln bereit. Unter anderem griff sie auf den SAFU-Notfallfonds und weitere Unternehmensreserven zurück.

Am 4. November meldete Binance, dass rund 98 Prozent der betroffenen Vermögenswerte bereits ersetzt worden seien. Bei den verbleibenden zwei Prozent handelt es sich vor allem um weniger liquide Token, die sich schwerer in großen Mengen zurückkaufen lassen.

Zudem wurde ein neuer Reservenachweis, ein sogenannter Proof of Reserves, erstellt. Während die vorherige Prüfung zehn Token umfasste, wurden diesmal 44 verschiedene Kryptowährungen berücksichtigt. Damit will Binance belegen, dass die Kundenguthaben mindestens im Verhältnis eins zu eins gedeckt sind.

Der Hack führte dennoch zu erheblichen Mittelabflüssen. Laut Reuters zogen Kunden netto rund 4,72 Milliarden Dollar von Binance ab. Das entsprach etwa drei Prozent aller Vermögenswerte auf der Plattform. Binance-Chef Richard Teng erklärte wenige Tage später, die Zu- und Abflüsse hätten sich bereits weitgehend normalisiert.

Unterdessen stellt Binance den Betrieb schrittweise wieder her und gibt Auszahlungen für die einzelnen Netzwerke nach und nach frei. Zugleich arbeitet die Börse an zusätzlichen Sicherheitsmaßnahmen und untersucht eingehender, welche Schwachstellen die Angreifer ausgenutzt haben.

Die entscheidenden Schwachstellen lagen bei diesem Angriff nicht in der Blockchain selbst. Weder Bitcoin noch Ethereum mussten geknackt werden. Über Mitarbeiter und die Infrastruktur rund um die Wallets konnten die Hacker innerhalb von etwa zwanzig Minuten mehr als sechs Milliarden Dollar transferieren.

Monatelange Vorbereitungen ermöglichten so einen der schnellsten und größten Finanzdiebstähle, die je dokumentiert wurden.