Binance hat am Freitag, dem 30. Oktober, mitgeteilt, mehr als 6,34 Mrd. $ eigene Mittel reserviert zu haben, um die Nutzerverluste aus dem Hack vom Donnerstag zu decken. Es ist der größte Diebstahl der Krypto-Geschichte. Bereits eingefrorene Assets sind in dieser Summe nicht enthalten.
Was Binance angekündigt hat
In einem Beitrag auf X schrieb Binance, 5 Mrd. $ davon lägen bereits in der eigenen Verwahrung, und zwar in genau den gestohlenen Tokens. Der Rest wird über Markt- und OTC-Kanäle gekauft. Das "kann länger dauern, weil manche Tokens nur geringe Liquidität haben".
- Die reservierten Mittel schließen die nach dem Angriff eingefrorenen Assets nicht ein
- Laut Binance hat die Rückholung betroffener Assets für Nutzer bereits begonnen
- Die Börse arbeitet mit Strafverfolgern, stablecoin-Emittenten und Blockchain-Analysefirmen zusammen, um weitere Gelder zu verfolgen und einzufrieren
"Wir werden diesen Sturm überstehen", so Binance.
Was gestohlen wurde und auf welchen Chains
Laut TRM Labs zog der Angreifer rund 6,36 Mrd. $ aus Binance-Wallets auf zehn Blockchains ab, das meiste davon in etwa 20 Minuten ab 20:05 UTC am 29. Oktober. Das ist etwa das Vierfache des Bybit-Hacks vom Februar 2025 über 1,5 Mrd. $.
Chain | Gestohlene Assets | Wert |
|---|---|---|
Ethereum | 200.630 ETH + 185 Tokens, darunter 1,875 Mrd. USDT und 823 Mio. USDC | 3,79 Mrd. $ |
Bitcoin | 18.270 BTC | 1,47 Mrd. $ |
Tron | 612,7 Mio. USDT + 46,4 Mio. TRX | 628 Mio. $ |
XRP Ledger | 233,46 Mio. XRP | 296 Mio. $ |
Solana | 970.500 SOL | 96 Mio. $ |
Wie der Angriff ablief
Auf Ethereum nutzte der Angreifer eine EIP-7702-Delegation mit 50 vorab signierten Autorisierungen, um eine Binance-Hot-Wallet in einen Sweeper-Contract zu verwandeln, den nur er aufrufen konnte. Auf den übrigen neun Chains schickten Binance-Wallets die Gelder per gewöhnlicher signierter Transfers. Nach Einschätzung von TRM deutet das auf eine Kompromittierung der Signatur-Infrastruktur der Binance-Hot-Wallets hin.
TRM und Chainalysis schreiben den Angriff der nordkoreanischen Gruppe TraderTraitor zu, die das FBI auch für den Bybit-Hack benannt hatte. Chainalysis zufolge vermischten sich Binance-Gelder in Echtzeit mit Erlösen aus dem Bitget-Exploit des Vormonats, der ebenfalls nordkoreanischen Akteuren zugeschrieben wurde.
Was eingefroren wurde und was der Angreifer noch hält
TRM zählt Stand 30. Oktober, 00:30 UTC, rund 2,7 Mrd. $ als onchain eingefroren:
- Tether: rund 1,77 Mrd. USDT
- Circle: rund 825 Mio. USDC
- Ripple: 40,5 Mio. RLUSD
- World Liberty Financial: 27,8 Mio. USD1
- Arbitrum Security Council: 8.426 ETH und 74,6 Mio. ARB
In den ersten Stunden verkaufte der Angreifer rund 325 Mio. USDT über UniswapX und andere Intent-basierte Contracts an Market Maker, für etwa 122.300 ETH. Das war ein Abschlag von mehr als 10 % auf den Marktpreis. Weitere 60 Mio. USDT wurden bei Aave eingezahlt, um rund 19.760 ETH zu leihen, bevor das Protokoll die betroffenen Märkte einfror.
Der Angreifer hält jetzt mehr als 420.000 ETH und 18.270 BTC, also Assets im Wert von etwa 2,4 Mrd. $, auf die kein Emittent Zugriff hat. Laut Chainalysis deuten Tausende Transaktionen in kurzer Zeit auf automatisierte Geldwäsche hin. Viele Adressen erhielten genau 1 TRX, bevor sie die Gelder weiterleiteten.