Stablecoins unter VerschlussBinance-Hack stellt Finanzkraft der Kryptobörse auf die Probe

Ein Cyberangriff auf die Kryptobörse Binance hat digitale Vermögenswerte im Umfang von rund 6,3 Mrd. USD erfasst. Nach eigenen Angaben konnte die Börse mithilfe anderer Kryptofirmen rund drei Milliarden USD einfrieren. Sämtliche Verluste will sie aus eigenen Mitteln und einem Sicherheitsfonds ersetzen. Ko-Chef Richard Teng versicherte den Kunden zudem, ihr Geld sei sicher.

Wie hoch die tatsächliche finanzielle Belastung ausfällt, ist allerdings noch offen. Eine Sperre allein verschafft den Eigentümern noch keinen Zugriff auf ihr Geld. Zugleich muss Binance nachweisen, dass die verbleibenden Reserven ausreichen und Kunden ihre Guthaben wieder regulär abziehen können.

Milliardenverluste und die Grenzen des Notfallfonds

Von den betroffenen Vermögenswerten sind etwa 3,3 Mrd. USD bislang nicht eingefroren. Gelingt die vollständige Rückführung der blockierten Gelder, könnte dieser Betrag ungefähr dem verbleibenden Schaden entsprechen. Für jeden Betrag, der sich nicht zurückholen lässt, erhöht sich die mögliche Belastung.

Sean Farrell, Leiter der Strategie für digitale Vermögenswerte beim US-Analysehaus Fundstrat Global Advisors, hält ein unmittelbares Insolvenzrisiko derzeit für unwahrscheinlich. Den Secure Asset Fund for Users (SAFU), den Notfallfonds von Binance, schätzt er auf etwa 1,2 Mrd. USD. Der Fonds besteht aus Bitcoin. Sein Wert in US-Dollar schwankt deshalb mit dem Bitcoin-Kurs und entspricht keiner festen Geldreserve. Unter Farrells Annahmen könnte SAFU ungefähr ein Drittel der bislang nicht gesicherten Summe abdecken. Die übrigen Mittel müsste Binance gegebenenfalls selbst aufbringen. Nach Angaben der Financial Times hält Binance digitale Vermögenswerte im Umfang von rund 140 Mrd. USD. Daraus lässt sich allerdings nicht ableiten, wie viel eigenes Unternehmenskapital tatsächlich frei verfügbar ist.

Einen weiteren Anhaltspunkt für die möglichen Verpflichtungen liefern die zuletzt veröffentlichten Vermögensreserven. Nach einer Auswertung des Fachmediums CoinDesk gehörten die angegriffenen Wallets zu den Beständen, mit denen Binance Kundenguthaben absichert. Die Reserveübersicht vom 1. Oktober wies für Ether eine Deckungsquote von nahezu 100 Prozent aus, für USDC lag sie bei 108,26 %. Ohne Ersatzmittel könnte der Ether-Verlust die rechnerische Deckung auf Grundlage dieses Stichtags auf etwa 94 % reduzieren. Die aktuelle Deckungsquote lässt sich daraus jedoch nicht bestimmen. Kundenbestände und Reserven können sich seit Anfang Oktober verändert haben.

Binance hat eine aktualisierte Reserveübersicht angekündigt. Sie soll erkennen lassen, in welchem Umfang die entwendeten Vermögenswerte inzwischen ersetzt wurden. Farrell verweist zudem auf das Kundenverhalten nach Wiederaufnahme der Auszahlungen. Ziehen viele Nutzer gleichzeitig Gelder ab, könnte Binance zusätzliche liquide Mittel benötigen. Umfangreiche Verkäufe eigener Kryptowährungen könnten dann auch die Marktpreise unter Druck setzen.

Stablecoin-Sperren setzen den Tätern enge Grenzen

Bei der Sicherung der betroffenen Gelder spielten die Herausgeber sogenannter Stablecoins eine zentrale Rolle. Diese an den US-Dollar gebundenen Token verfügen teilweise über technische Funktionen, mit denen ihre Emittenten einzelne Blockchain-Adressen sperren können. So lassen sich weitere Transfers der betroffenen Bestände verhindern.

Der US-amerikanische Stablecoin-Anbieter Circle ISIN US1725731079 WKN A417ZL blockierte mehr als 800 Mio. USD seines USDC-Tokens. Tether, der Herausgeber des Stablecoins USDT, meldete zunächst Sperren von mehr als 1,5 Mrd. USD. Die Blockchainanalysten von TRM Labs bezifferten die später nachvollziehbaren USDT-Sperren auf rund 1,77 Mrd. USD.

Auch das US-Kryptounternehmen Ripple beteiligte sich an den Sicherungsmaßnahmen. Nach Angaben von Binance-Mitgründerin Yi He verhinderte das Unternehmen die weitere Bewegung von rund 200 Mio. USD. TRM Labs konnte davon etwa 40,5 Mio. USD in gesperrten RLUSD-Token unmittelbar auf der Blockchain bestätigen.

Die Zahlen bezeichnen unterschiedliche Zwischenstände der laufenden Sicherung. Während Binance insgesamt rund drei Milliarden USD nennt, hatte TRM Labs bei einer eigenen Bestandsaufnahme zunächst etwa 2,7 Mrd. USD erfasst. Diese Auswertung bezog sich auf den 30. Oktober um 1.30 Uhr mitteleuropäischer Zeit (MEZ).

Für die Stablecoin-Anbieter war schnelles Handeln erforderlich. Nach der Transaktionsanalyse von TRM tauschte der Angreifer rund 325 Mio. USDT gegen Ether und nahm dafür einen wirtschaftlichen Abschlag von mehr als zehn Prozent in Kauf. Der kostspielige Tausch hatte allerdings einen erkennbaren Vorteil: Tether konnte die erhaltenen Ether anschließend nicht mehr sperren.

Zum Stand der TRM-Auswertung vom 30. Oktober kontrollierte der Täter nach Angaben der Analysten mehr als 420.000 ETH und 18.270 Bitcoin. Zusammen entsprachen sie ungefähr 2,4 Mrd. USD. Diese Vermögenswerte entziehen sich den unmittelbaren Sperrmöglichkeiten zentraler Token-Herausgeber.

Bei Bitcoin und Ether sind andere Verfahren nötig

Im Fall von Bitcoin und Ether können Ermittler verdächtige Transfers anhand öffentlicher Blockchain-Daten verfolgen. Für eine Sicherstellung müssen jedoch unter Umständen Handelsplattformen mitwirken oder zusätzliche technische Maßnahmen erfolgen. Auf dem Ethereum-Erweiterungsnetzwerk Arbitrum konnte dessen Sicherheitsgremium betroffene Ether und ARB-Token im Wert von rund 30 Mio. USD auf gesicherte Adressen übertragen. Auf der Bitcoin-Hauptblockchain besteht keine vergleichbare zentrale Eingriffsmöglichkeit.

Auch bei technisch gesperrten Vermögenswerten sind für die rechtliche Rückgabe weitere Schritte erforderlich. Ari Redbord, Leiter des Bereichs Regulierung beim Blockchainanalyseunternehmen TRM Labs, verweist auf mögliche Gerichtsverfahren und behördliche Abstimmungen. Nach Einschätzung von Eric Jardine, Forschungsleiter beim Analyseunternehmen Chainalysis, können solche Rückführungen Monate oder Jahre dauern.

Verdacht auf Missbrauch interner Auszahlungsrechte

Die Vorbereitung des Angriffs deutet auf erheblichen organisatorischen Aufwand hin. Nach Erkenntnissen von TRM begannen entsprechende Aktivitäten mindestens 36 Stunden vor dem eigentlichen Zugriff. Dabei nutzten die mutmaßlichen Täter unter anderem Tornado Cash, einen Dienst zur Verschleierung der Herkunft von Kryptowährungen.

Nach bisherigen Erkenntnissen könnten die Angreifer wichtige interne Sicherheitskontrollen umgangen haben. Binance hält es für möglich, dass der Laptop eines Mitarbeiters für Entwicklung und IT-Betrieb kompromittiert wurde. Über diesen Zugang soll der Angreifer möglicherweise in eine interne Programmumgebung gelangt sein. Von dort konnten offenbar nicht autorisierte Auszahlungen ausgelöst werden. Hinweise auf einen Diebstahl privater Wallet-Schlüssel hat Binance bislang nicht gefunden.

Signierte Freigaben ermöglichen den Abfluss

Bei der Untersuchung der technischen Aufzeichnungen identifizierte TRM Labs bei einer Ethereum-Wallet 50 vorab signierte Freigaben nach dem Standard EIP-7702. Dieser erlaubt es, die Steuerung einer Wallet an Programmcode zu übertragen. Eine der vorbereiteten Freigaben war gültig und ermöglichte dem Angreifer, eine Binance-Wallet mithilfe eigener Software zu kontrollieren. Bei einer anschließenden Übertragung flossen nach TRM-Angaben 167.464 ETH sowie zahlreiche weitere Token auf eine fremde Adresse. Die Berechtigung blieb zunächst aktiv, sodass der Angreifer auch später eingehende Vermögenswerte weiterleiten konnte.

Der Vorfall beschränkte sich allerdings nicht auf Ethereum. Nach den Untersuchungen von TRM wurden etwa 6,36 Mrd. USD über zehn Blockchains bewegt. Der überwiegende Teil dieser Transfers erfolgte innerhalb von ungefähr 20 Minuten. Auf mehreren anderen Netzwerken beobachteten die Analysten regulär signierte Überweisungen. TRM vermutet deshalb eine Kompromittierung der internen Infrastruktur zur Freigabe von Wallet-Transaktionen. Inwieweit diese Erklärung sämtliche Teilvorgänge abdeckt, ist noch nicht abschließend geklärt.

Binance widerrief unmittelbar eine betroffene Adressautorisierung und verstärkte die Kontrollen seines Auszahlungsdienstes. Ein vollständiger technischer Untersuchungsbericht soll folgen.

Am Freitagmorgen teilte Binance laut Financial Times mit, bei weiteren Untersuchungen zusätzliche Einbruchspunkte entdeckt zu haben. Welche Systeme betroffen sind und wie diese Erkenntnisse mit dem zunächst vermuteten Laptop-Zugang zusammenhängen, ist bislang ungeklärt.

Hinweise aus früheren Kryptodiebstählen

TRM Labs hält es für sehr wahrscheinlich, dass die nordkoreanische Hackergruppe TraderTraitor hinter dem Angriff steckt. Chainalysis sieht ebenfalls deutliche Übereinstimmungen mit früheren nordkoreanischen Operationen. Dazu gehört der Angriff auf die Kryptobörse Bybit im Februar 2025, bei dem ungefähr 1,5 Mrd. USD entwendet wurden. Das US-Bundeskriminalamt FBI hatte diesen früheren Diebstahl nordkoreanischen Akteuren zugeschrieben. Der Umfang des aktuellen Binance-Vorfalls übersteigt jenen Angriff um mehr als das Vierfache.

Nach Daten von Chainalysis, auf die sich die Financial Times beruft, erbeuteten nordkoreanische Hacker im gesamten Jahr 2025 Kryptowährungen im Wert von rund zwei Milliarden USD. Gegenüber dem Vorjahr entsprach das einem Anstieg um 50 %. Für die mutmaßliche Täterschaft beim Binance-Angriff liegt bislang keine abschließende behördliche Bestätigung vor.

Auszahlungsbetrieb wird zum nächsten Belastungstest

Während die technischen Untersuchungen weiterlaufen, muss Binance den regulären Betrieb wiederherstellen. Nach dem Sicherheitsvorfall hatte das Unternehmen zunächst eine vorübergehende Aussetzung von Ein- und Auszahlungen mitgeteilt. Die Financial Times berichtete am Freitagmorgen, dass sämtliche Auszahlungen ausgesetzt waren.

Binance-Mitgründerin Yi He erklärte später, Einzahlungen seien nicht beeinträchtigt und liefen normal. Für die schrittweise Wiederaufnahme der Auszahlungen stellte sie einen Zeitraum von 48 Stunden in Aussicht. Wann der vollständige reguläre Betrieb wiederhergestellt sein wird, blieb zunächst offen.

Für Kunden macht es einen erheblichen Unterschied, ob Auszahlungen schrittweise freigegeben werden oder bereits wieder uneingeschränkt möglich sind. Selbst eine Börse mit ausreichenden Vermögenswerten kann kurzfristig Schwierigkeiten bekommen, wenn viele Nutzer gleichzeitig Gelder abziehen wollen. Das Risiko solcher Engpässe hängt auch davon ab, wie schnell Reserven verfügbar sind und wie sich die Kunden verhalten.

Der Angriff fällt zudem in eine bereits angespannte Marktphase. Nach Darstellung der Financial Times befindet sich der Kryptomarkt seit einem heftigen Ausverkauf Ende 2025 in einem längeren Abschwung. Damals verloren rund 18.000 digitale Token zusammen mehr als eine Billion USD an Marktkapitalisierung.

Nach Bekanntwerden des Sicherheitsvorfalls gerieten die Kurse erneut unter Druck. Bitcoin war zunächst unter 78.000 USD gefallen. Im weiteren asiatischen Handel erreichte die Kryptowährung laut Reuters zeitweise 76.368 USD und damit den tiefsten Stand seit sechs Wochen.

Nach einem anfänglichen Minus von etwa vier Prozent erholte sich Bitcoin laut einer eigenen Marktaufnahme der Financial Times wieder auf mehr als 78.000 USD. Ether sank zeitweise auf rund 2.178 USD, den niedrigsten Kurs seit zwei Monaten. Der BNB-Token verlor auf 24-Stunden-Sicht etwa fünf Prozent und notierte bei rund 709,70 USD.

Allerdings gerieten nicht sämtliche Kryptowährungen gleichermaßen unter Druck. In einer separaten Marktaufnahme verzeichnete der HYPE-Token der Handelsplattform Hyperliquid einen Anstieg von rund 17 %.

Über die unmittelbaren Kursbewegungen hinaus besteht ein weiteres Risiko für den Markt. Sollte Binance gezwungen sein, größere eigene Bestände zu verkaufen, könnte dadurch zusätzlicher Verkaufsdruck entstehen.

Höhere Sicherheitsstandards für Kryptodienstleister

Ein möglicher Zugriff auf interne Signatur- und Auszahlungsprozesse kann erhebliche Vermögenswerte gefährden. Dafür muss ein Diebstahl privater Wallet-Schlüssel nicht nachgewiesen sein.

Anders als traditionelle Börsen verwahren viele Kryptohandelsplattformen selbst umfangreiche Kundenvermögen. Einige institutionelle Anleger nutzen deshalb externe Verwahrer, um ihre Bestände außerhalb der Handelsplattform zu halten und das unmittelbare Diebstahlrisiko zu verringern. Nach früheren Recherchen der Financial Times arbeitete Binance bei solchen Verwahrlösungen mit den Schweizer Banken Sygnum und FlowBank zusammen. Solche Verwahrmodelle können die Abhängigkeit von der Sicherheitsinfrastruktur einer einzelnen Handelsplattform reduzieren.

Chris Perkins, Leiter von Franklin Crypto bei der US-Vermögensverwaltung Franklin Templeton, fordert strengere technische Sicherheitsstandards und eine intensivere internationale Zusammenarbeit. Künstliche Intelligenz könnte dabei helfen, verdächtige Aktivitäten schneller zu erkennen. Gleichzeitig eröffnet sie Angreifern zusätzliche Möglichkeiten, Schwachstellen aufzuspüren und ihre Methoden zu verbessern.

Die Analysen von TRM legen insbesondere eine stärkere Trennung interner Signaturberechtigungen nahe. Auch ungewöhnliche Serien digitaler Freigaben sollten nach Ansicht der Analysten unmittelbar Sicherheitsprüfungen auslösen. Für Binance haben zunächst die Rückführung der blockierten Vermögenswerte, der sichere Neustart der Auszahlungen und die Erfüllung der Entschädigungszusage Vorrang.

Die bisher gesperrten Milliarden können den Schaden erheblich begrenzen. Wie viel Geld davon tatsächlich zurückfließt, ist allerdings noch ungewiss. Weitere Untersuchungen und aktualisierte Reservenzahlen sollen Aufschluss darüber geben, welche finanzielle Last Binance dauerhaft tragen muss.