Binance-Hack: XRP für 50 Mio. Dollar wandert in Bitcoin

Binance-Hack: Täter tauschen XRP über Thorchain in Bitcoin

In seiner am 6. November aktualisierten Analyse berichtet Elliptic, dass seit dem Nachmittag des 5. November rund 42 Millionen XRP im Wert von 50 Millionen Dollar (rund 45 Millionen Euro) aus Wallets abgeflossen sind, die mit dem Hack vom 29. Oktober in Verbindung stehen. Der Großteil wurde über das kettenübergreifende Tauschprotokoll Thorchain in Bitcoin getauscht. Rund 192 Millionen XRP im Wert von 226 Millionen Dollar (rund 203 Millionen Euro) halten die Täter noch.

Damit stieg die Menge der in Bitcoin getauschten Beute auf rund 1.650 BTC, am Morgen des 6. November 124 Millionen Dollar (rund 111 Millionen Euro) wert. Das ist fast doppelt so viel wie am Vortag, den größten Teil des Anstiegs machte XRP aus.

Die größten Bestände liegen weiter still

Trotz der zunehmenden Aktivität liegen laut Elliptic weiterhin 3,11 Milliarden Dollar (rund 2,79 Milliarden Euro) auf Adressen, die mit dem Diebstahl in Verbindung stehen, vor allem in Bitcoin und Ether. Die bei Binance gestohlenen 18.270 BTC wurden kurz nach dem Angriff auf 19 Adressen verteilt und seither nicht bewegt. Auch die größten Ether-Bestände ruhen. Von den gestohlenen ETH im Wert von rund 1,33 Milliarden Dollar (rund 1,19 Milliarden Euro) sind laut Elliptic erst rund 3 Millionen Dollar (rund 2,7 Millionen Euro) durch Kanäle der Geldwäsche geflossen. Die neun größten ETH-Adressen, auf denen 89 Prozent der Ether der Täter liegen, sind seit dem 30. Oktober inaktiv.

Die Erkenntnisse markieren eine neue Phase im Versuch der Täter, die Herkunft der Beute zu verschleiern. Wie Bitcoin.com News berichtete, verschoben die Angreifer am 2. November alle 233,46 Millionen gestohlenen XRP auf sechs neue Wallets, nachdem die Coins rund 80 Stunden geruht hatten. Zwei dieser Wallets begannen am 5. November, XRP an Dutzende weitere Adressen zu verteilen. Ein Großteil davon wurde anschließend in Bitcoin getauscht.

Auch Solana stand im Fokus der Geldwäsche. Elliptic zufolge wurden im Grunde alle gestohlenen SOL, zu aktuellen Kursen rund 87 Millionen Dollar (rund 78 Millionen Euro) wert, inzwischen getauscht, auf andere Blockchains übertragen oder über Mixer vermischt. Ein Großteil des Werts landete am Ende in Bitcoin-Wallets.

Die Forscher stellten zudem fest, dass seit dem 1. November rund 33 BTC im Wert von etwa 2,5 Millionen Dollar (rund 2,2 Millionen Euro) durch Coinjoins nach dem Vorbild von Wasabi liefen. Dabei werden die Coins vieler Nutzer in einer Transaktion zusammengeführt, was die Rückverfolgung auf der Blockchain erschwert. Weitere 1,1 Millionen Dollar (rund 1 Million Euro) in ETH und SOL flossen seit dem 3. November in den Pool des Dienstes Privacy Cash. Dieser setzte Einzahlungen daraufhin für etwa einen Tag aus und verschärfte seine Prüfung von Wallets.

Das Netzwerk zur Geldwäsche ist seit dem Angriff stark gewachsen. Elliptic zählt inzwischen mehr als 20.000 Wallets auf 16 Blockchains, mindestens 36 beteiligte Dienste und mindestens 65.000 Transaktionen. Bei der Auswertung vom 2. November waren es laut Elliptic noch rund 12.000 Wallets und mehr als 40.000 Transaktionen.

Eine Woche nach dem Binance-Hack

Von den gestohlenen 6,43 Milliarden Dollar (rund 5,77 Milliarden Euro) sind laut Elliptic 2,85 Milliarden Dollar (rund 2,56 Milliarden Euro) eingefroren oder beschlagnahmt, vor allem weil Stablecoin-Emittenten wie Tether und Circle eingriffen. Ein so hoher Anteil von 44 Prozent sei ungewöhnlich, nach dem Hack bei Bybit seien es rund 3 Prozent gewesen. In nutzbares Geld getauscht haben die Täter nach Einschätzung von Elliptic bislang wohl nur einen vernachlässigbaren Betrag. Wer Coins zwischen Wallets verschiebt oder einen Kryptowert gegen einen anderen tauscht, hat die Beute damit noch nicht ausgezahlt. Das FBI hat den Angriff der nordkoreanischen Hackergruppe Tradertraitor zugeschrieben, Pjöngjang bestreitet jede Verantwortung.

Binance hatte in einem Bericht vom 3. November erklärt, der Angriff gehe auf eine monatelange Kampagne zurück, bei der manipulierte Entwicklersoftware, gefälschte Vorstellungsgespräche und kompromittierte interne KI-Werkzeuge eine Rolle gespielt hätten. Am Ende verschafften sich die Angreifer Zugriff auf die Infrastruktur zum Signieren von Wallet-Transaktionen und führten unbefugte Transaktionen auf zahlreichen Blockchains aus.

Vor solchen Tarnmethoden rund um Bewerbungen und Remote-Arbeit hatte Ende Juli auch die Bundesregierung gewarnt. In einem gemeinsamen Warnhinweis mit zehn weiteren Staaten schrieb das Auswärtige Amt, nordkoreanische IT-Fachkräfte gäben sich als Staatsangehörige anderer Länder aus, um über Online-Plattformen an Aufträge zu kommen. Sie seien auch am Diebstahl von Kryptowährungen beteiligt und nutzten zunehmend KI, um ihre Identitäten zu verschleiern.

Elliptic erwartet, dass die Täter die verbleibenden Ether-Bestände nach und nach in Bitcoin tauschen und anschließend versuchen, die Coins über außerbörsliche Händler und Handelsplattformen in herkömmliches Geld umzutauschen.

Zum Vergleich zieht das Unternehmen den Hack bei Bybit vom Februar 2025 heran, den bis dahin größten Krypto-Diebstahl mit einer Beute von rund 1,5 Milliarden Dollar (rund 1,35 Milliarden Euro). Damals tauschten nordkoreanische Angreifer die rund 499.000 gestohlenen ETH binnen zehn Tagen um, die Auszahlung zog sich über Monate hin.

Vorerst lässt sich der Großteil der Binance-Beute noch verfolgen. Börsen und Ermittler haben damit weitere Gelegenheiten, die Gelder zu erkennen und womöglich abzufangen, bevor die Täter sie in nutzbares Geld umtauschen.