Hacker erbeuten bei Binance 2,5 Milliarden Dollar mit nur einer Transaktion – für 15 Dollar Gebühren

Die Hacker, die vergangene Woche Kryptowährungen im Wert von 6,3 Milliarden Dollar bei Binance erbeuteten, nutzten einen überraschend einfachen Weg, um einen großen Teil der Beute abzuziehen. Für nur 15 Dollar an Transaktionsgebühren verschoben sie auf einen Schlag 2,5 Milliarden Dollar. Dafür missbrauchten sie eine Funktion von Ethereum (ETH), die Kryptotransaktionen eigentlich erleichtern soll.

Wie Hacker für 15 Dollar Milliarden erbeuteten

Der Angriff ereignete sich am 29. Oktober und betraf unter anderem Binance 14. Diese Wallet nutzt die Kryptobörse, um Auszahlungen an Kunden abzuwickeln. Darin lagerten große Bestände an Ether, Stablecoins und anderen Kryptowährungen.

Normalerweise sind mehrere Transaktionen nötig, um unterschiedliche Kryptowährungen zu verschieben. Das kostet Zeit und bietet Sicherheitssystemen mehr Möglichkeiten, verdächtige Aktivitäten zu erkennen.

Die Hacker fanden jedoch einen schnelleren Weg. Sie nutzten EIP-7702, eine im Mai 2025 eingeführte Ethereum-Funktion. Damit lässt sich Software über eine Wallet dazu berechtigen, im Namen des Eigentümers Transaktionen auszuführen.

Die Funktion soll den Umgang mit Kryptowährungen erleichtern, etwa indem sie mehrere Vorgänge bündelt.

Über die kompromittierten Systeme von Binance gelang es den Angreifern, eine solche Berechtigung zu erlangen. Für rund 15 Dollar an Netzwerkgebühren autorisierten sie anschließend ihre eigene Software, Kryptowährungen aus der Wallet zu transferieren.

Bei diesem ersten Schritt flossen noch keine Gelder ab. Doch rund dreieinhalb Minuten später nutzten die Hacker die Berechtigung, um mit einer einzigen Transaktion etwa 2,5 Milliarden Dollar abzuziehen.

Laut dem Sicherheitsunternehmen Blockaid handelte es sich um 167.464 ETH und mehr als 60 weitere Kryptowährungen. Den größten Teil der Beute machte USDT im Wert von 1,6 Milliarden Dollar aus, der Stablecoin von Tether.

Binance konnte den Diebstahl nicht sofort stoppen

Besonders bemerkenswert ist, dass die Hacker auch nach der Entdeckung des Angriffs weiterhin Gelder transferieren konnten. Binance hatte Auszahlungen inzwischen ausgesetzt und bestimmte Systeme abgeschaltet. Doch das reichte nicht aus.

Die von den Hackern erlangte Berechtigung war direkt auf der Ethereum-Blockchain hinterlegt. Ihre Software blieb deshalb befugt, Transaktionen auszuführen – unabhängig von den regulären Auszahlungssystemen von Binance.

Unterdessen gingen auf der betroffenen Wallet weiterhin neue Einzahlungen ein.

Nach Angaben des Analyseunternehmens Elliptic erbeuteten die Angreifer auf diese Weise über mehrere Transaktionen hinweg insgesamt rund 3,6 Milliarden Dollar.

Binance hat die unbefugte Berechtigung inzwischen widerrufen und die betroffene Wallet-Infrastruktur neu aufgebaut. Zudem wurden die Kontrollen für Transaktionen und Zugriffsrechte verschärft.

Die Kryptobörse will den finanziellen Schaden nach eigenen Angaben selbst tragen, sodass Kunden nicht für die Verluste aufkommen müssen.

FBI macht Nordkorea für den Angriff verantwortlich

Den ersten Zugang zu den Systemen von Binance verschafften sich die Hacker durch eine umfangreiche Täuschungskampagne.

Nach Angaben der Kryptobörse nutzten die Angreifer unter anderem gefälschte Stellenanzeigen und Bewerbungsgespräche, um einen Mitarbeiter zum Herunterladen von Schadsoftware zu verleiten. Dabei kam auch künstliche Intelligenz zum Einsatz.

Über die kompromittierten Systeme konnten sie sich anschließend die nötige Berechtigung verschaffen, um die Kryptowährungen zu transferieren.

Die US-Bundespolizei FBI hat den Angriff Nordkorea zugeschrieben. Das Land bestreitet eine Beteiligung. Mit einer Gesamtbeute von rund 6,3 Milliarden Dollar handelt es sich um den größten bislang bekannten Kryptodiebstahl.

Binance teilte am 3. November mit, dass inzwischen gestohlene Vermögenswerte im Wert von rund 2,85 Milliarden Dollar eingefroren oder sichergestellt worden seien. Zu diesem Zeitpunkt hatte die Börse zudem bereits 98 Prozent der entwendeten Kryptobestände ersetzt.

Der Angriff verdeutlicht, dass Funktionen zur Vereinfachung von Kryptotransaktionen auch neue Risiken bergen, sobald Hacker Zugang zu den Systemen eines Kryptounternehmens erlangen.