Binance-Hack über 6,3 Milliarden Dollar: Was bestätigt ist, was nicht und was es für alle bedeutet, die Krypto auf einer Börse halten

Am Abend des Donnerstag, 29. Oktober 2026, bewegte ein Angreifer in etwa zwanzig Minuten rund 6,3 Milliarden Dollar aus Binance-Wallets auf zehn Blockchains. Es ist der größte Krypto-Diebstahl, der je verzeichnet wurde, rund viermal so viel wie die 1,5 Milliarden, die im Februar 2025 bei Bybit gestohlen wurden. Binance sagt, es werde den Verlust selbst tragen und die Gelder der Nutzer seien sicher. Das FBI sagt, Nordkorea stecke dahinter. Zentrale Fragen sind offen, allen voran, wie der Angreifer hineingekommen ist. Dieser Beitrag trennt, was die Primärquellen feststellen, von dem, was noch Behauptung ist, Stand: frühe Stunden des 1. November 2026.

Die Kurzfassung

• Von Binance bestätigt: ein Sicherheitsvorfall mit rund 6,3 Milliarden Dollar an Kundenvermögen. Binance setzte Einzahlungen und Auszahlungen am Donnerstag aus, widerrief die betroffenen Adressfreigaben und sagt, es habe keine Hinweise auf einen Abfluss privater Wallet-Schlüssel gefunden.
• Von On-Chain-Analysten bestätigt: TRM Labs zählt rund 6,36 Milliarden, die aus Binance zugeordneten Wallets auf zehn Blockchains bewegt wurden, größtenteils in etwa 20 Minuten. Chainalysis zählt rund 6,4 Milliarden.
• Vom FBI bestätigt: Am Samstag, 31. Oktober, ordnete das FBI gemeinsam mit dem Secret Service und IRS Criminal Investigation den Angriff TraderTraitor zu, einer staatsnahen nordkoreanischen Gruppe, nach NPRs Wiedergabe der Erklärung. Dieselbe Einheit wurde beim Bybit-Diebstahl benannt.
• Eingefroren: rund 2,7 bis 2,8 Milliarden laut TRM und Chainalysis, überwiegend Stablecoins, die Tether, Circle, Ripple und World Liberty Financial sperrten. Binance nannte etwa 3 Milliarden.
• Unbekannt: die Ursache. Binance nannte zunächst den kompromittierten Laptop eines DevOps-Ingenieurs, sagte dann, die Untersuchung habe weitere Einbruchspunkte gefunden und der Angriff sei komplexer als der Missbrauch der Rechte eines einzelnen Ingenieurs. Eine technische Analyse ist versprochen, nicht veröffentlicht.
• Binances Zusage: Das Unternehmen sagt, es habe rund 90 % der gestohlenen Vermögenswerte aufgefüllt und werde den Rest decken. Die Wiederaufnahme der Auszahlungen war für Sonntag, 1. November, angepeilt.

Chronologie

Mittwoch, 28. Oktober, vormittags. Laut TRM erhält die Betriebs-Wallet des Angreifers drei kleine Abhebungen aus Tornado Cash, das erste Anzeichen der Vorbereitung. TRM sagt, die Vorbereitungen hätten mindestens 36 Stunden vor dem Diebstahl begonnen.

Donnerstag, 29. Oktober, früh. TRM zufolge setzte der Betreiber einen ersten Code ein und testete ihn auf zwei Wallets, probte dann die Endversion auf einer dritten Wallet und leitete die Testgelder an sich zurück. Etwa vier Stunden nach der Probe wurde derselbe Code auf einer Binance-Hot-Wallet installiert.

Donnerstag, 29. Oktober, 20:05 UTC (16:05 New York). Der erste Diebstahl erfolgt laut TRM auf dem XRP Ledger: Zwischen 20:05 und 20:09 UTC senden fünf Binance-Wallets 233,46 Millionen XRP an eine einzelne Adresse des Angreifers. Kurz nach 20:10 folgen Wallets auf Solana und Optimism. Um 20:20 sendet eine Bitcoin-Hot-Wallet von Binance 18.270 BTC an eine Adresse des Angreifers, der sie im selben Block in runde Beträge aufzuteilen beginnt. Binnen zwei Minuten sendet eine Tron-Hot-Wallet 612,7 Millionen USDT und 46,4 Millionen TRX. Chainalysis datiert den Beginn der Abflüsse auf etwa 16:20 Uhr New Yorker Zeit, also 20:20 UTC, im Einklang mit dem unten beschriebenen Ethereum-Abzug.

Donnerstag, 29. Oktober, 21:01 bis 22:26 UTC. Die Sperren beginnen. Laut TRM fror Tether um 21:01 UTC 971,1 Millionen USDT in der wichtigsten Empfangs-Wallet ein, 37 Minuten nach dem Hauptabzug. Circle fror um 21:04 823 Millionen USDC ein. Ripple fror um 22:01 RLUSD ein, und World Liberty Financial um 22:10 USD1. Chainalysis sagt, die Sperren hätten bis 17:14 New Yorker Zeit (21:14 UTC) begonnen.

Donnerstag, 29. Oktober, 23:05 UTC. Eine zweite Welle erreicht laut TRM Binance-Wallets auf Avalanche und Polygon. In derselben Nacht sagt Binance, die verifizierte Gesamtsumme der eingefrorenen Gelder habe 2,54 Milliarden Dollar erreicht.

Freitag, 30. Oktober. Binance erklärt, die Auswirkung betrage rund 6,3 Milliarden bei etwa 3 Milliarden eingefroren, es werde alle Verluste aus dem SAFU-Fonds und Unternehmensmitteln decken, und erste Erkenntnisse deuteten auf den kompromittierten Laptop eines DevOps-Ingenieurs. TRM und Chainalysis veröffentlichen die Zuordnung zu Nordkorea. Bitcoin fällt auf ein Sechs-Wochen-Tief von 76.368 Dollar und Ether auf ein Zwei-Monats-Tief von 2.178, laut Al Jazeera. Im Tagesverlauf sagt Binance, es habe weitere Einbruchspunkte gefunden.

Samstag, 31. Oktober. Das FBI bestätigt die nordkoreanische Verantwortung. Binance meldet, es habe rund 90 % der gestohlenen Vermögenswerte aufgefüllt, nach etwa 80 % im vorherigen Update, und veröffentlicht einen neuen Proof-of-Reserves-Snapshot.

Sonntag, 1. November. Von Binance genanntes Ziel für die Wiederaufnahme der Auszahlungen. Zum Redaktionsschluss konnten wir nicht bestätigen, ob sie erfolgt ist. Ein vollständiger Proof of Reserves wurde bis Dienstag, 3. November, versprochen.

Was gestohlen wurde, Blockchain für Blockchain

TRM verfolgte jede Überweisung von Binance zugeordneten Wallets zu vom Angreifer kontrollierten Adressen und bewertete jede zum Preis des Vermögenswerts im Moment der Entnahme. Seine Zahlen, Stand 30. Oktober 00:30 UTC:

Summe: rund 6,36 Milliarden zum Zeitpunkt des Diebstahls. Zu den Preisen vom 30. Oktober bewertete TRM dieselben Assets mit etwa 6,23 Milliarden. Chainalysis rundet auf 6,4 Milliarden, Binance auf 6,3. Binance warnte zudem, die Zahl könne weiter steigen, während es weitere Vermögenswerte nachverfolgt. Die Unterschiede betreffen Bewertungsstichtag und Methode, keinen Widerspruch darüber, was geschehen ist.

Wie sich der Angreifer bewegte: was die Blockchain zeigt

Die detaillierteste öffentliche technische Darstellung stammt von TRM. Es ist eine Analyse öffentlicher Blockchain-Daten, keine Erklärung von Binance, und so ist sie zu lesen.

Ethereum. Der Angreifer nutzte einen Mechanismus namens EIP-7702, eingeführt mit Ethereums Pectra-Upgrade im Mai 2025, der es einer gewöhnlichen Wallet erlaubt, die Kontrolle über ihr Verhalten per signierter Autorisierung an einen Smart Contract abzugeben. Um 20:20 UTC reichte der Betreiber eine einzige Transaktion mit 50 Autorisierungen ein, jede von der Binance-Hot-Wallet signiert, jede verwies die Wallet auf einen Vertrag, der nur Anweisungen des Angreifers annimmt. Da eine Autorisierung nur bei einem bestimmten Transaktionszähler gültig ist und die Hot-Wallet einen steten Strom von Auszahlungen verarbeitet, garantierte die Vorbereitung von Signaturen für 50 aufeinanderfolgende Zählerstände, dass eine bei der Ausführung noch gültig wäre. Eine passte. Drei Minuten und 24 Sekunden später wies der Betreiber die Wallet an, ihren gesamten Bestand zu senden, womit 167.464 ETH und 63 Token bewegt wurden, darunter 1,615 Milliarden USDT. Die Delegation blieb bestehen, und TRM sagt, der Angreifer habe neue Zugänge um 20:41, 20:59, 21:04, 21:44, 22:39 und 23:56 UTC erneut abgesogen.

Alles andere. Auf den übrigen neun Blockchains und auf einer zweiten Ethereum-Hot-Wallet verließen die Gelder laut TRM über gewöhnliche signierte Überweisungen, ohne Delegation. Diese Wallets nutzen verschiedene Blockchains, Schlüsseltypen und Signaturverfahren, lieferten aber alle innerhalb von etwa einer halben Stunde gültige Signaturen für den Angreifer.

Aus diesem Muster zieht TRM seine zentrale Einschätzung: Die wahrscheinlichste Erklärung sei, dass der Angreifer die Fähigkeit erlangte, das Signiersystem der Binance-Hot-Wallets Transaktionen seiner Wahl über mehrere Blockchains hinweg signieren zu lassen. Der Stapel von 50 vorab signierten Autorisierungen deutet darauf hin, dass der Zugang zeitlich begrenzt war oder dass Signaturen über ein System angefordert werden mussten. TRM fügt nüchtern hinzu: „Binance hat noch keine Ursache veröffentlicht.“

Frühe Kommentare hatten vermutet, die Ethereum-Autorisierungen seien per Phishing erschlichen worden. TRM sagt, diese Erklärung decke Ethereum ab und lasse die anderen Blockchains unerklärt. Wir behandeln „Phishing“ daher für den Vorfall insgesamt als nicht belegt.

Was Binance zur Ursache sagt

Binances Aussagen, der Reihe nach:

1. Freitag, 30. Oktober. „Binances erste Untersuchung legt nahe, dass der Sicherheitsvorfall den kompromittierten Laptop eines DevOps-Ingenieurs betreffen könnte, der einem Angreifer Zugang zu einem Service-Container und das Einreichen nicht autorisierter Auszahlungstransaktionen erlaubte. Wir haben keine Hinweise auf den Abfluss eines privaten Wallet-Schlüssels gefunden. Wir werden eine detaillierte technische Analyse teilen, sobald die Untersuchung abgeschlossen und die Fakten vollständig verifiziert sind.“
2. Später am selben Tag. Co-CEO Richard Teng sagte laut CNBC, der Angriff habe einen komplexeren Ablauf umfasst als den Missbrauch der Rechte eines einzelnen Ingenieurs. Binance sagte dann, weitere Untersuchungen hätten „weitere Einbruchspunkte“ aufgedeckt, ohne sie zu nennen.
3. Freitag, 30. Oktober. Teng schrieb auf X, die Untersuchung habe „die Verantwortung keiner einzelnen Person zugeordnet“, laut Al Jazeera.

Zwei Lesarten sollte man auseinanderhalten. „Keine Hinweise auf einen Schlüsselabfluss“ betrifft, was Binance bisher gefunden hat, und beweist nicht, dass kein Schlüssel offengelegt wurde. In einem von Al Jazeera wiedergegebenen Reuters-Interview sagte der frühere Mt.-Gox-Chef Mark Karpelès, die Angreifer hätten wahrscheinlich Zugang zu den Schlüsseln von mindestens zwei Binance-Wallets gehabt. Das ist die Meinung eines externen Experten, der Binances Systeme nicht gesehen hat, und Binance hat sie nicht bestätigt. Zweitens ist das von TRM beschriebene Signaturmuster mit einer Kompromittierung der Signierinfrastruktur vereinbar und setzt keinen abgeflossenen Schlüssel voraus: Ein Angreifer, der ein legitimes Signiersystem zum Signieren bringt, muss den Schlüssel nie besitzen. Wir vermerken das als analytischen Punkt, nicht als Feststellung über Binance.

Wer es war: drei Ebenen der Zuordnung

Die Zuordnung stützt sich auf drei getrennte Quellen, die nicht gleich stark sind.

1. TRM Labs. TRM ordnet den Angriff mit „hoher Zuversicht“ TraderTraitor zu, der nordkoreanischen Einheit, die das FBI für den Bybit-Diebstahl vom Februar 2025 benannte. Die Gründe sind On-Chain- und Off-Chain-Erkenntnisse, die es nicht vollständig offenlegt, sowie Gemeinsamkeiten mit dem Bybit-Hack und dem KelpDAO-Hack vom April 2026: kleine Tornado-Cash-Abhebungen zur Finanzierung einer Betriebs-Wallet, eine Vorbereitung lange vor dem Diebstahl, vorab erlangte Signaturen, in einem Schub ausgeführt. TRM merkt zudem an, die bisherige Geldwäsche, aufgebaut auf großen Tauschgeschäften über Market Maker und Kreditprotokolle, unterscheide sich vom brückenlastigen Muster nach Bybit.

2. Chainalysis. Chainalysis bewertete TraderTraitor als verantwortlich, gestützt auf On-Chain-Aktivität in den Stunden nach dem Diebstahl, und sagt, den stärksten Beleg habe es gegeben, als es sah, wie sich bei Binance gestohlene Gelder in Echtzeit mit Geldern aus dem Bitget-Diebstahl vom September vermischten, der nordkoreanischen Akteuren zugeschrieben worden war. Es gab die Einschätzung um 00:30 Uhr New Yorker Zeit am 30. Oktober bekannt.

3. Das FBI. Am Samstag bestätigte das FBI gemeinsam mit dem Secret Service und IRS Criminal Investigation die nordkoreanische Verantwortung. NPR zitiert die Erklärung: „Das FBI hat zusammen mit Partnern von USSS und IRS-CI beobachtet, dass TraderTraitor-Akteure gestohlene Vermögenswerte vor allem in Ethereum (ETH) umtauschen. Es wird erwartet, dass diese Vermögenswerte dann über DeFi- und Sofort-Swap-Dienste weiter gewaschen werden, während sie sie auf weitere Geldwäschestufen vorbereiten.“ Laut TokenPost veröffentlichte das FBI außerdem Hunderte zugehöriger Adressen auf Ether, Bitcoin und Solana und forderte THORChain-Node-Betreiber, RPC-Node-Betreiber, Sofort-Tauschplattformen, DeFi-Dienste und Analysefirmen auf, Transaktionen mit ihnen zu blockieren. Die FBI-Seite war für unsere Werkzeuge nicht erreichbar, daher stützen wir uns für den Text auf NPR und TokenPost.

Die FBI-Erklärung ist die stärkste der drei. Sie bleibt dennoch eine Zuordnung einer Regierungsbehörde, und Nordkorea bestreitet routinemäßig eine Beteiligung an Krypto-Diebstählen, wie Al Jazeera festhält. Binance wiederum sagt, es habe selbst keine Verantwortung zugeordnet und arbeite mit Strafverfolgern daran, die Identität der Verantwortlichen zu bestätigen.

Das Wettrennen gegen die Sperren

Die nützlichste Lehre aus den Daten betrifft die Geschwindigkeit. Das haben die Analysten dokumentiert.

Was eingefroren wurde. TRM zählt rund 2,7 Milliarden On-Chain eingefroren, Stand 30. Oktober 00:30 UTC: etwa 1,77 Milliarden USDT von Tether, etwa 825 Millionen USDC von Circle, 40,5 Millionen RLUSD von Ripple, 27,8 Millionen USD1 von World Liberty Financial und rund 30 Millionen Dollar in ETH und ARB, die der Arbitrum Security Council, eine Gruppe mit Notfallbefugnissen auf diesem Netzwerk, aus dem Zugriff des Angreifers nahm. Chainalysis zählt rund 2,8 Milliarden. Binances eigene Zählung in der Nacht lag bei 2,54 Milliarden verifiziert, später „rund 3 Milliarden“. Die Zählungen weichen ab, weil sie zu verschiedenen Zeiten und mit verschiedenem Umfang erfolgten.

Was der Angreifer als Reaktion tat. Beide Firmen beschreiben den Versuch, einfrierbare Stablecoins in Vermögenswerte umzutauschen, die kein Emittent sperren kann, zu einem Preis. TRM sagt, rund 325 Millionen USDT seien über UniswapX und andere intent-basierte Verträge an Market Maker verkauft worden, für etwa 122.300 ETH, ein Preis nahe 2.650 Dollar je ETH, als ETH bei etwa 2.300 bis 2.350 notierte, ein Abschlag von mehr als 10 %. Eine zweite Wallet legte 60 Millionen USDT im Kreditprotokoll Aave an und lieh sich dagegen etwa 19.760 ETH, woraufhin Aave die betroffenen Märkte einfror. Chainalysis beschreibt dieselbe Anstrengung als Tausch von 325 Millionen Stablecoins gegen 285 Millionen in ETH in knapp 20 Minuten. Auf Tron wanderten 300 Millionen USDT in eine Wallet, die begann, sie im Kreditprotokoll JustLend anzulegen.

Was außer Reichweite bleibt. TRM schätzt, dass der Angreifer weiterhin mehr als 420.000 ETH und 18.270 BTC hält, rund 2,4 Milliarden Dollar in Vermögenswerten außerhalb der Reichweite jedes Emittenten, nach seiner Momentaufnahme vom 30. Oktober. Chainalysis beschreibt Geldwäschemuster, die es nach eigenen Angaben so noch nicht gesehen hat: Tausende automatisierter Transaktionen in kurzer Zeit, Gelder, die wiederholt zwischen Adressen kreisen, und viele Adressen, die zuerst genau 1 TRX erhalten. Beide Firmen erwarten, dass die Gelder in den kommenden Tagen weiterwandern, zu Brücken, Tauschdiensten und Over-the-Counter-Vermittlern.

Was „eingefroren“ bedeutet. Ari Redbord von TRM Labs sagte CNBC: „Eine Sperre stoppt das Geld, und die Rückholung folgt über ein Rechtsverfahren“, in der Regel über einen Gerichtsbeschluss oder Beschlagnahmebefehl. Eric Jardine von Chainalysis ergänzte, die Rückgabe eingefrorener Vermögenswerte erfordere Koordination zwischen Strafverfolgung, Börsen und Emittenten, und „es gibt keinen Standardzeitplan für die Rückholung“. Ein eingefrorener Bestand ist kein zurückgegebener Bestand. Stablecoins sind die am besten rückholbare Anlageklasse, weil der Emittent den Token-Vertrag kontrolliert, während die Rückholung von Bitcoin und Ether bedeutet, sie zu einer kooperierenden Börse zurückzuverfolgen.

Binances Reaktion: die Aussagen und wie man sie prüft

Binances drittes Update vom 31. Oktober enthält konkrete Behauptungen. Wir listen sie mit der Prüfmöglichkeit auf.

• „Mehr als 6,34 Milliarden Dollar“ in Unternehmensmitteln zurückgestellt, um den Verlust zu decken. Das ist eine Aussage von Binance über die eigene Bilanz. Eine unabhängige Prüfung haben wir nicht gesehen.
• „Etwa 80 %“, dann „90 %“ der gestohlenen Vermögenswerte aufgefüllt. Binance sagt, die Auffüllung habe einen teilweisen Einsatz seines Secure Asset Fund for Users (SAFU), einen Teil des Futures-Versicherungsfonds und die eigene Unternehmenskasse genutzt, und es kaufe die verbleibenden Assets weiter am Markt und außerbörslich. Die verbleibenden 10 % bestehen aus weniger liquiden Token außerhalb der Top Ten.
• „Alle BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD und ZEC sind zu 100 % gedeckt.“ Das ist die Aussage, die für Kunden am wichtigsten ist, und sie betrifft Binances eigene Reserven. Ein neuer Proof-of-Reserves-Snapshot vom 31. Oktober 00:00 UTC wurde veröffentlicht. Binance sagt, der vollständige Zero-Knowledge-Beweis brauche 40 bis 50 Stunden Rechenzeit und sei bis Dienstag, 3. November, fertig, danach könnten Nutzer prüfen, dass ihre eigenen Bestände mindestens 1:1 gedeckt sind. Bis dahin ist der Snapshot eine Aussage, kein abgeschlossener Beweis. Teng hatte laut TokenPost zuvor Montag, den 2. November, für einen vollständigen Bericht angepeilt; die Schätzung vom 3. November stammt aus Binances drittem Update.
• SAFU. Binance sagt, SAFU werde von Nest Clearing and Custody Limited gehalten und verwaltet, einem anerkannten Clearinghaus unter Aufsicht der Finanzaufsicht des Abu Dhabi Global Market, und es werde SAFU auf rund 1 Milliarde Dollar auffüllen. Al Jazeera beziffert SAFU vor dem Vorfall auf 1 Milliarde, ein von CNBC zitierter Analyst auf etwa 1,2 Milliarden. In jedem Fall ist es ein Bruchteil des Verlusts: Die gestohlene Summe beträgt mehr als das Sechsfache des Fonds, wie Al Jazeera ihn beschreibt.
• Futures-Versicherungsfonds. Binance sagt, es habe nur den Überschuss über dem Niveau freigegeben, das sein Risikorahmen verlangt, und der Rest sei eine regulatorische Vorgabe.

Sean Farrell von Fundstrat Global Advisors sagte CNBC, der Vorfall „scheint derzeit kein nennenswertes Insolvenzrisiko für Binance zu schaffen“, wobei die Schlüsselindikatoren seien, wie schnell die Auszahlungen wieder anlaufen und ob die Abflüsse geordnet bleiben. Das ist die Ansicht eines Analysten Stand 30. Oktober, und ein Neustart ist ein Test, keine Garantie.

Die Marktreaktion

Bitcoin erreichte 76.368 Dollar, ein Sechs-Wochen-Tief, und Ether fiel um mehr als 3 % auf 2.178, ein Zwei-Monats-Tief, laut Al Jazeera, das sich für die Marktreaktion auf Reuters beruft. Coinbase, das nach eigener Aussage nicht betroffen war, verlor etwa 4,8 %. CNBC merkt an, Krypto stehe ohnehin unter Druck durch höhere US-Zinsen und schwächere Nachfrage nach börsengehandelten Fonds. Wir warnen davor, die gesamte Bewegung diesem einen Ereignis zuzuschreiben.

Die Europa-Frage

Die meisten unserer Leser werden dasselbe fragen: Betrifft es mich? Die ehrliche Antwort ist, dass die öffentliche Aktenlage nicht sagt, welche Binance-Einheiten oder Kundengruppen betroffen waren.

• CNBC berichtet, der Vorfall habe Binances Offshore-Plattform getroffen, und seine regulierte US-Börse habe kein ähnliches Problem gehabt.
• Binances eigene Aussagen sprechen von „Kundenvermögen“ und „Nutzergeldern“, ohne Einheiten zu nennen.
• Wie wir in Binance stoppt alle EU-Dienste zum 1. Juli berichteten, setzte Binance Handel, Kredite und Prämien für europäische Nutzer ab 1. Juli 2026 aus, nachdem es keine MiCA-Lizenz erhalten hatte. Wer in der EU noch ein Konto hat, sollte fragen, welche Einheit es hält und zu welchen Bedingungen.

Wir haben keine Binance-Aussage gefunden, die sagt, ob europäische Kunden betroffen waren oder nicht, und wir werden nicht spekulieren. Wenn Sie in irgendeiner Form Gelder bei Binance haben, lesen Sie die offiziellen Mitteilungen und den Support-Kanal, nicht soziale Medien.

Was das über das Börsenrisiko sagt

Dieser Abschnitt ist allgemeine Information, keine Finanzberatung, und wir raten bewusst niemandem, Gelder zu verschieben.

Die Fakten stützen drei Punkte, die unabhängig von Binances endgültiger Abrechnung gelten.

1. Verwahrung bündelt Risiko. Sean Foley von der Macquarie University sagte Al Jazeera, „Vermögen auf einer zentralisierten Börse sind nur so sicher wie die Börse selbst, und je größer die Bestände der Börse, desto größer das Ziel, das sie wird“. Tyler Moore von der University of Tulsa sagte CNBC, es gebe keine eingebauten Schutzmechanismen, wenn solche Hacks geschehen, und verglich die Lage mit der Einlagensicherung für Bankkunden. Andere von CNBC Befragte widersprachen: Ido Ben-Natan von Blockaid argumentierte, da Binance zugesagt habe, alles zu decken, sollten Nutzer kein Geld verlieren, und Börsen könnten ein vernünftiger Ort für Gelder sein. Die Experten sind uneins, und wer sagt, die Antwort sei offensichtlich, verkauft etwas.

2. Der Schutz ist die Bilanz des Betreibers, keine Regel. NPR merkt an, dass Binance nach geltenden Vorschriften nicht zwingend zur Erstattung an Kunden verpflichtet ist, und zitiert Amanda Fischer von Better Markets dazu, wie schwach der Regulierungsrahmen für Krypto im Vergleich zu traditionellen Brokern ist. Dasselbe Muster zeigte sich im dritten Quartal: In unserer Auswertung des Hacken-Berichts zum Q3 deckten Betreiber rund 410 Millionen Dollar für Nutzer aus eigenen Mitteln ab. Das ist ein beobachtetes Ergebnis, keine Garantie, und es hängt davon ab, dass ein Betreiber zahlungsfähig und willens ist.

3. Proof of Reserves beantwortet eine engere Frage, als viele glauben. Ein Proof of Reserves sagt, ob ausgewiesene Reserven ausgewiesene Salden decken. Er sagt wenig darüber, wie gut Signiersysteme und interne Zugänge geschützt sind, und genau dort geschah dieser Vorfall. Die Prüfung lohnt sich dennoch, und wie man einen Proof of Reserves liest, erklärt unser Leitfaden zum Proof of Reserves. Hier ist Binances eigener versprochener Beweis ab dem 3. November das, worauf man schauen sollte.

Praktische Punkte, die sich aus den Fakten ergeben

• Rechnen Sie mit Betrug. Nach großen Vorfällen folgen falsche Rückholangebote und Phishing. Binance bittet Nutzer, sich für Updates nur auf offizielle Kanäle zu verlassen. Kein seriöser Dienst wird Sie nach Seed-Phrase, Passwort oder Verifizierungscode fragen, um den Zugang „wiederherzustellen“.
• Wissen Sie, welche Einheit Ihr Konto hält und welche Behörde sie beaufsichtigt. Das bestimmt, welche Schutzmechanismen, wenn überhaupt, gelten.
• Halten Sie auf einer Börse nur, was Sie brauchen. Wie viel das ist, entscheiden Sie. Unsere Leitfäden zu Multisig-Selbstverwahrung und zur Nachlassplanung behandeln die Alternative und ihre eigenen Risiken, die, wie die Hardware-Wallet-Vorfälle dieses Jahres zeigen, real sind: siehe unsere Rekonstruktion des Falls Ledger.

Einordnung: der Vergleich mit anderen Fällen

Binance ist laut TRM etwa viermal so groß wie Bybit und etwa 16-mal so groß wie Bitget. Chainalysis sagt, Binance-Gelder hätten sich On-Chain mit Bitget-Geldern vermischt, weshalb es die beiden Fälle als verbunden beschreibt. Diese Verbindung ist ein analytischer Befund von Chainalysis, kein gerichtlicher. Zum Fall Bitget selbst und dazu, warum 77 % der Verluste des dritten Quartals an den Sicherheitsprüfungen vorbeiliefen, siehe unsere Analyse des Hacken-Berichts zum Q3.

Al Jazeera ergänzt den geopolitischen Rahmen. Das US-Finanzministerium sanktionierte die Lazarus Group 2019 und sagte, sie werde vom wichtigsten Nachrichtendienst Nordkoreas kontrolliert. TRMs Politikchef Ari Redbord sagt, wenn Nordkorea in dieser Größenordnung stehle, „finanziert das Geld Waffenproliferation und andere destabilisierende Aktivitäten“. Das ist eine Einschätzung von Experten, im Einklang mit dem von Al Jazeera beschriebenen Kontext der UN-Sanktionen, und nichts, was wir unabhängig prüfen können.

Eine weitere Tatsache vom selben Tag, berichtet von CNBC: Der Prognosemarkt Polymarket setzte den Handel an seiner internationalen Börse aus, nachdem ein externer Datenanbieter gehackt worden war, wobei mindestens 2,7 Millionen Dollar aus Nutzer-Wallets abflossen. Es ist ein getrennter Vorfall in viel kleinerem Maßstab, und er verweist auf dasselbe Thema der Komponenten Dritter.

Was wir noch nicht wissen

• Die Ursache. Binances erster Erklärung (der kompromittierte Laptop eines Ingenieurs) folgten „weitere Einbruchspunkte“. Die versprochene technische Analyse ist nicht veröffentlicht.
• Ob ein Signiersystem oder Schlüssel kompromittiert wurden. TRMs Analyse deutet auf die Signierinfrastruktur. Binance sagt, es habe keine Hinweise auf Schlüsselabfluss. Beides kann stimmen, und keines ist von Dritten verifiziert.
• Welche Kunden und Einheiten betroffen waren und ob europäische Konten darunter sind.
• Ob Binances Aussage der 100-%-Deckung hält. Der vollständige Proof of Reserves wird bis 3. November erwartet.
• Der endgültige Verlust und die Rückholung. Die Schätzungen lauten 6,3 bis 6,4 Milliarden gestohlen und 2,7 bis 3 Milliarden eingefroren, aber Einfrieren ist keine Rückholung. Rund 2,4 Milliarden lagen laut TRM am 30. Oktober in Vermögenswerten, die kein Emittent einfrieren kann, und sie bewegen sich weiter.
• Ob die Auszahlungen tatsächlich wieder laufen und in welcher Reihenfolge, zum Zeitpunkt Ihrer Lektüre.
• Festnahmen oder Anklagen. Wir haben keine gefunden, und die Zuordnung zu einem staatlichen Akteur macht ein Verfahren in absehbarer Zeit unwahrscheinlich, auch wenn wir es nicht vorhersagen können.

Unsere Einschätzung

Der dokumentierte Kern ist eng und ernst. Ein einzelner Akteur, den das FBI als staatsnahe nordkoreanische Einheit bewertet, erlangte die Fähigkeit, binnen etwa einer halben Stunde Gelder aus Binance-Wallets auf zehn Blockchains abzuziehen. Was immer die endgültige Ursache ist: Das On-Chain-Muster, bei dem verschiedene Blockchains und Schlüsseltypen im selben kurzen Fenster gültige Signaturen liefern, lässt sich schwer mit einer einzelnen erschlichenen Autorisierung erklären.

Das finanzielle Ergebnis für Kunden ist, wenn Binances Aussagen halten, ein Verlust, den das Unternehmen trägt und nicht die Nutzer. Dieses Ergebnis hängt von Größe und Willen eines Unternehmens ab und ist kein Merkmal des Systems. Eine kleinere Börse, von einem Angriff dieser Art getroffen, hätte keine 6,34 Milliarden zum Zurückstellen gehabt. Das, mehr als die Schlagzeilenzahl, ist der Grund, warum der Vorfall für das Denken über Gegenparteirisiko zählt.

Wir aktualisieren diesen Beitrag, wenn Binance seine technische Analyse und den vollständigen Proof of Reserves veröffentlicht, wenn das FBI oder andere Behörden mehr bekanntgeben oder wenn die Verlustzahlen korrigiert werden.

Häufig gestellte Fragen