Nach dem KryptodiebstahlBinance verzeichnet Milliardenabflüsse nach Hackerangriff

Nach dem Rekorddiebstahl muss die Kryptobörse Binance hohe Geldabflüsse bewältigen. Bei dem Angriff vom vergangenen Donnerstag verschwanden digitale Vermögenswerte im Wert von rund 6,3 Mrd. USD. Nach einer etwa 45-stündigen Unterbrechung der Auszahlungen erfasste die Datenplattform DeFiLlama am Montagmorgen rund 4,9 Mrd. USD an Nettoabflüssen aus Binance zugeordneten Kryptowallets. Wie viel davon tatsächlich an Kunden ausgezahlt wurde, lässt sich anhand der öffentlich sichtbaren Transaktionen jedoch nicht vollständig feststellen.

Knappe Token erschweren den Schadensausgleich

Der Ersatz der gestohlenen Bestände verlangt Binance erhebliche finanzielle Mittel ab. Bereits am Freitag hatte das Unternehmen mehr als 6,34 Mrd. USD dafür bereitgestellt. Inzwischen seien rund 95 % der betroffenen Kryptowährungen wieder hinterlegt. Bei den verbleibenden fünf Prozent handelt es sich vor allem um kleinere Token, von denen größere Mengen am Markt schwer zu beschaffen sind.

Für den Ausgleich nutzt die Börse eigene Mittel, den Sicherheitsfonds SAFU und einen Versicherungsfonds für das Termingeschäft. Aus Letzterem greift Binance nach eigenen Angaben ausschließlich auf Mittel zurück, die über die weiterhin notwendige Absicherung hinausgehen. Den teilweise eingesetzten SAFU-Fonds will die Börse wieder auf etwa eine Milliarde USD auffüllen. Fehlende Kryptowährungen kauft Binance sowohl über reguläre Handelsplätze als auch direkt bei anderen Marktteilnehmern. Damit sollen größere Aufträge die Preise wenig gehandelter Token möglichst wenig beeinflussen.

Parallel wurden nach Unternehmensangaben bereits gestohlene Vermögenswerte im Wert von rund drei Milliarden USD auf der Blockchain eingefroren. Die Sperre verhindert zunächst weitere Transfers, führt die Gelder aber noch nicht an Binance zurück. Zwischen den aus eigenen Mitteln wiederhergestellten Beständen und einer möglichen späteren Rückgewinnung gestohlener Kryptowährungen muss deshalb unterschieden werden.

Eine erste Momentaufnahme der Reservebestände vom vergangenen Samstag hat Binance bereits veröffentlicht. Für zehn wichtige Kryptowährungen, darunter Bitcoin, Ether und große Stablecoins, meldet das Unternehmen eine vollständige Deckung der Kundenguthaben. Der vollständige kryptografische Nachweis soll am 3. November vorliegen. Nutzer dieser Token sollen dann selbst prüfen können, ob ihre Guthaben mindestens im Verhältnis eins zu eins abgesichert sind. Ausstehende Entschädigungen und die laufende Sicherheitsuntersuchung bleiben davon allerdings unberührt.

Was die Milliardenabflüsse tatsächlich aussagen

In den ersten neuneinhalb Stunden nach Wiederaufnahme der Auszahlungen meldete Binance Abhebungen im Wert von 4,65 Mrd. USD. Gleichzeitig gingen Einzahlungen von 1,01 Mrd. USD ein, sodass sich ein rechnerischer Nettoabfluss von 3,64 Mrd. USD ergab. Nach dem anfänglichen Andrang habe sich die Nachfrage wieder abgeschwächt, erklärte die Börse.

DeFiLlama ermittelte zunächst rund 4,9 Mrd. USD an Nettoabflüssen. Eine spätere Auswertung der öffentlich sichtbaren Walletbewegungen kam innerhalb eines Zeitraums von 24 Stunden auf rund 6,1 Mrd. USD. Binance widersprach den höheren Schätzungen mit dem Hinweis, dass darin auch interne Transfers zwischen eigenen Wallets enthalten sein könnten. Die Angaben beziehen sich somit auf unterschiedliche Zeiträume und Erfassungsmethoden. Blockchain-Transaktionen lassen sich dabei nicht durchweg als Auszahlungen an Kunden werten.

Gemessen an den vor dem Angriff von Binance genannten Vermögenswerten von 171 Mrd. USD entsprächen die später erfassten 6,1 Mrd. USD rechnerisch rund 3,6 %. Daraus allein lässt sich allerdings kein dauerhafter Liquiditätsengpass ableiten.

Ab Sonntag ließ Binance Auszahlungen schrittweise wieder zu, zunächst für Bitcoin, Ether und die Stablecoins USDT und USDC sowie über weitere Netzwerke. Bei der Reihenfolge der Freigaben orientierte sich die Börse an der Kundennachfrage der vorangegangenen Woche. Später folgten weitere Kryptowährungen wie Dogecoin und Solana. Am Montag kamen Auszahlungen staatlicher Währungen hinzu, darunter US-Dollar und Dirham. Bei hohem Transaktionsaufkommen warnte Binance weiterhin vor Verzögerungen.

Mitarbeiterrechner als möglicher Zugangspunkt

Wie die Angreifer in die Systeme gelangten, ist bislang nicht abschließend geklärt. Erste Hinweise deuteten auf einen möglicherweise kompromittierten Laptop eines Mitarbeiters aus dem technischen Bereich. Über einen darauf zugänglichen Softwaredienst könnten unberechtigte Auszahlungsaufträge ausgelöst worden sein. Im weiteren Verlauf entdeckte Binance zusätzliche mögliche Einfallstore, die nun untersucht werden.

Nach bisherigen Erkenntnissen gebe es keine Hinweise darauf, dass private Schlüssel für Kryptowallets gestohlen wurden. Binance grenzte betroffene Systeme ein, entzog Zugriffsberechtigungen und führte zusätzliche Sicherheitskontrollen ein. Richard Teng, einer der beiden Chefs der Kryptobörse, kündigte umfassende Überprüfungen und erneute Tests der technischen Infrastruktur an. Nach Abschluss der Arbeiten soll ein ausführlicher Untersuchungsbericht veröffentlicht werden.

Ermittler verfolgen die gestohlenen Kryptowährungen

Das FBI machte am 31. Oktober die Hackergruppe TraderTraitor für den Angriff verantwortlich. Die US-Bundespolizei ordnet die Täter Nordkorea zu und hatte der Gruppe bereits 2025 einen Diebstahl von rund 1,5 Mrd. USD bei der Kryptobörse Bybit zugeschrieben. Eine vollständige öffentliche Darstellung der Beweise für den aktuellen Angriff liegt bislang nicht vor.

Gemeinsam mit der Ermittlungsbehörde US Secret Service und der Steuerfahndung der amerikanischen Finanzverwaltung verfolgt das FBI die Geldbewegungen. Die Täter sollen gestohlene Kryptowährungen überwiegend in Ether umgewandelt haben. Anschließend könnten sie dezentrale Finanzdienste und Plattformen für schnelle Token-Tauschgeschäfte nutzen, um die Herkunft der Gelder zu verschleiern. Die Ermittler veröffentlichten betroffene Walletadressen und forderten Börsen sowie technische Dienstleister auf, damit verbundene Transaktionen zu blockieren.

Chainalysis, ein Unternehmen für Blockchain-Analysen, beobachtete bei Transfers über das Tron-Netzwerk automatisierte Abläufe. Solche Verfahren erlauben zahlreiche Übertragungen in kurzer Folge und erschweren die Nachverfolgung. Um verdächtige Vermögensbewegungen zu erkennen und weitere Transfers zu unterbinden, sind die Ermittler deshalb auf die Zusammenarbeit mit Handelsplattformen und Token-Anbietern angewiesen.

Andere Kryptobörsen gewinnen Zuflüsse und prüfen ihre Sicherheit

Während Binance Auszahlungen wieder zuließ, verzeichnete die internationale Kryptobörse OKX rund 450 Mio. USD an Nettozuflüssen. Bei Bybit waren es etwa 134 Mio. USD. Welcher Anteil dieser Gelder unmittelbar von Binance-Kunden stammt, lässt sich aus den Gesamtzahlen allerdings nicht ableiten.

Die US-Kryptobörse Coinbase ISIN US19260Q1076 WKN A2QP7J passte vorsorglich ihre Systeme zur Offline-Verwahrung digitaler Schlüssel an. Diese sogenannte Cold-Storage-Technik soll verhindern, dass die Schlüssel über unmittelbar erreichbare Onlinesysteme angegriffen werden können. Coinbase arbeitet außerdem an einem besseren Schutz vor telefonbasierten Betrugsversuchen. Kraken, ebenfalls ein US-Handelsplatz für Kryptowährungen, beobachtet die Lage und erklärte, der eigene Betrieb laufe normal. Der Wettbewerber Gemini ISIN US36866J1051 WKN A41FV4 führte zusätzliche Warnmeldungen und Beschränkungen für verdächtige Transfers ein. Hinweise darauf, dass diese Börsen im Zusammenhang mit dem Binance-Vorfall ebenfalls erfolgreich angegriffen wurden, liegen bislang nicht vor.

Auch OKX-Chef Star Xu fordert eine engere Zusammenarbeit bei der Meldung von Sicherheitsvorfällen und der Überwachung auffälliger Transaktionen. Nach seiner Einschätzung müssen bei der Sicherheitsplanung auch neue Bedrohungen durch künstliche Intelligenz berücksichtigt werden.

Für Binance bleibt der Vorfall vor allem eine wirtschaftliche Bewährungsprobe. Während die Sicherheitsprüfung weiterläuft, muss die Börse die fehlenden Token vollständig ersetzen und Auszahlungen zuverlässig abwickeln. Der angekündigte Reservennachweis soll die Deckung wichtiger Guthaben dokumentieren. Für die Kunden bewährt sich diese Zusage allerdings erst, wenn sie ihre Kryptowährungen auch bei hohem Andrang tatsächlich abziehen können.