Zwanzig Minuten, 6,3 Milliarden Dollar: Was der Binance-Raub allen Krypto-Anlegern lehrt

Die meisten Banküberfälle der Geschichte bestanden aus Stunden der Planung und Minuten der Tat. Der Diebstahl bei Binance am späten Donnerstag, dem 29. Oktober, folgte demselben Rhythmus, nur in einer Größenordnung, die kein Tresor je enthalten hat. Laut dem Blockchain-Analyseunternehmen TRM Labs wurden rund 6,36 Milliarden Dollar über zehn Blockchains aus Binance-Wallets abgezogen, der Großteil davon in etwa zwanzig Minuten ab 20:05 Uhr UTC. Das ist der größte bekannte Krypto-Diebstahl, rund viermal so viel wie die 1,5 Milliarden Dollar, die im Februar 2025 bei Bybit erbeutet wurden.

Am Samstag nannte das FBI den mutmaßlichen Täter: TraderTraitor, eine staatlich gestützte nordkoreanische Einheit, die Forscher auch als Lazarus Group oder APT38 führen. TRM Labs und Chainalysis waren zum selben Schluss gekommen und verwiesen auf Transaktionsmuster, die früheren nordkoreanischen Operationen ähneln. Pjöngjang bestreitet seit Langem, staatliche Hackereinheiten zur Geldbeschaffung einzusetzen.

Kein gestohlener Schlüssel, sondern ein gekaperter Laptop

Das unangenehmste Detail ist der Einstiegsweg. Binance führt den Einbruch auf den kompromittierten Laptop eines DevOps-Ingenieurs zurück. Von dort gelangten die Angreifer in einen Service-Container und konnten Auszahlungen einreichen, die das System als legitim behandelte. Die Börse hat nach eigenen Angaben keine Hinweise darauf gefunden, dass ein privater Wallet-Schlüssel abgeflossen ist. Co-CEO Richard Teng betonte, es habe sich um einen komplexen, mehrstufigen Angriff gehandelt und nicht um einen einzelnen unvorsichtigen Klick; einer bestimmten Person gibt das Unternehmen keine Schuld. Schadsoftware, die ihre eigenen Spuren löschen sollte, erschwerte laut Teng die Ermittlungen, und Binance hat weitere Einbruchsstellen entdeckt, die noch untersucht werden.

Das betrifft weit mehr als ein Unternehmen. Debatten über Krypto-Sicherheit drehen sich oft um Cold Wallets, Seed-Phrasen und Mehrfachsignaturen. Dieser Fall zeigt, dass die Schwachstelle in der ganz normalen Technik eines Tech-Konzerns liegen kann: Laptops, Build-Pipelines und interne Werkzeuge, mit denen Ingenieure täglich arbeiten. Laut TRM Labs begannen die Vorbereitungen mindestens 36 Stunden vor dem Angriff.

Ein Wettlauf gegen das Einfrieren

Sobald das Geld floss, begann ein zweiter Wettlauf. Stablecoin-Emittenten wie Tether, Circle und Ripple sowie World Liberty Financial froren rund 2,67 Milliarden Dollar in Stablecoins ein, und der Security Council von Arbitrum sperrte weitere Token in seinem Netzwerk – nach Angaben von TRM Labs insgesamt etwa 2,7 Milliarden Dollar. Binance zufolge waren bis Freitag rund 3 Milliarden Dollar lokalisiert. Die Angreifer reagierten, indem sie USDT rasch an Market Maker verkauften und dagegen Ether liehen. Sie halten nun mehr als 420.000 ETH und 18.270 BTC im Wert von rund 2,4 Milliarden Dollar, die kein Emittent sperren kann. Das FBI beobachtete, wie die Einheit Vermögenswerte in Ether umtauschte, und rechnet mit weiterer Geldwäsche.

Der Fall offenbart ein stilles Paradox der Kryptowelt: Ausgerechnet die zentralisierten Stablecoin-Firmen, denen Puristen misstrauen, konnten einen Teil des Schadens tatsächlich stoppen.

Wer zahlt?

Binance hat von Anfang an erklärt, dass die Kunden nicht für den Schaden aufkommen müssen. Das Unternehmen hat rund 6,34 Milliarden Dollar eigener Mittel zurückgestellt und nach eigenen Angaben bereits 6 Milliarden Dollar, also 95 Prozent der gestohlenen Token, durch Ersatzkäufe gedeckt – finanziert aus dem etwa 1 Milliarde Dollar schweren Secure Asset Fund for Users (SAFU), Teilen des Futures-Versicherungsfonds und der Unternehmenskasse. Co-CEO Yi He sagte, die Hälfte des SAFU-Fonds werde verwendet, und versprach, ihn wieder auf rund 1 Milliarde Dollar aufzufüllen. Die restlichen 5 Prozent sind weniger liquide Token, deren Beschaffung länger dauert.

Am Sonntag nahm Binance die Bitcoin-Auszahlungen wieder auf; eine erste Phase umfasst 15 Kryptowerte, darunter Bitcoin, Ether, XRP und Dogecoin, weitere sollen folgen. Zudem kündigte die Börse einen aktualisierten Reservennachweis nach Abschluss der Aufräumarbeiten an.

Lehren für normale Nutzer

Für die 335 Millionen registrierten Nutzer der Börse ist die unmittelbare Botschaft beruhigend, die langfristige nicht. Das Versprechen einer Börse, Kunden zu entschädigen, hängt vollständig von ihrer Bilanz ab, und nur wenige Plattformen könnten einen Verlust dieser Größe verkraften. Bestände zu streuen, langfristige Werte wo sinnvoll selbst zu verwahren und auf veröffentlichte Reservennachweise zu achten, ist vernünftig und keine Paranoia.

Für Regierungen in Asien und darüber hinaus verschärft der Fall eine alte Sorge: Wenn ein sanktionierter Staat an einem Abend Milliarden abziehen kann, ist Krypto-Sicherheit kein Nischenthema mehr, sondern eine Frage der nationalen Sicherheit – und der Frage, wie schnell die Branche zusammenarbeitet, wenn die Uhr in Minuten tickt.