Binance-Hack: FBI macht Nordkorea verantwortlich

Trump: Die USA prüfen eine Verbindung nach Nordkorea

Trump äußerte sich am 30. Oktober bei einem Treffen im Oval Office mit Stephen Hubbard, einem US-Amerikaner, der kurz zuvor aus russischer Haft freigekommen war. Auf die Frage, ob Nordkorea hinter dem Hack bei Binance stecke, antwortete er, das wisse man nicht. „Wir prüfen das“, sagte Trump im Oval Office.

Nach den Aussichten gefragt, das Geld zurückzubekommen, verwies Trump auf die Zusagen von Binance. Die Börse sage, sie werde das Geld zurückholen, und garantiere es gewissermaßen. Digitale Zahlungen verglich er mit dem altmodischen Unterschreiben eines Schecks, er habe sie immer für etwas gefährlich gehalten. Binance habe die Lage nach eigenen Angaben aber weitgehend im Griff, man werde sehen.

Das FBI schreibt den Angriff Nordkorea zu

Am 31. Oktober machte das FBI Nordkorea für den Diebstahl verantwortlich. Die Demokratische Volksrepublik Korea sei für den Diebstahl virtueller Vermögenswerte im Wert von mehr als 6 Milliarden Dollar (rund 5,4 Milliarden Euro) bei der Kryptobörse Binance am oder um den 29. Oktober 2026 verantwortlich, heißt es in der Warnung. Das FBI ordnet die Aktivität der nordkoreanischen Gruppe Tradertraitor zu.

Gemeinsam mit dem Secret Service und der Ermittlungsabteilung der Steuerbehörde IRS beobachtete das FBI, dass die Angreifer die Beute vor allem in Ether (ETH) umtauschten. Die Behörde erwartet, dass die Werte anschließend über Plattformen des dezentralen Finanzwesens (Defi) und Sofort-Tauschdienste weiter gewaschen werden, die eine Kryptowährung gegen eine andere tauschen.

Das FBI forderte Kryptobörsen, Betreiber von Blockchain-Infrastruktur, Analysefirmen und andere Dienstleister für digitale Vermögenswerte auf, Transaktionen mit Adressen der Angreifer oder mit daraus stammenden Geldern zu blockieren. Die Warnung listet die Adressen auf, über die die Beute gewaschen wird, und bittet die Privatwirtschaft um Hilfe, diese Transfers zu unterbinden.

Zuvor hatten auch Chainalysis und TRM Labs den Angriff Tradertraitor zugeschrieben, einer nordkoreanischen Gruppe, die es auf Kryptoplattformen und Anleger abgesehen hat. Zu den Erkenntnissen von Chainalysis gehörte, dass gestohlene Werte von Binance mit Erlösen aus dem Diebstahl bei Bitget vom September vermischt wurden, der zuvor ebenfalls nordkoreanischen Akteuren zugeschrieben worden war. TRM Labs zeigte sich unter Berufung auf Informationen auf und abseits der Blockchain sehr sicher in seiner Einschätzung.

Die Ermittler verfolgten Tausende Überweisungen anhand öffentlicher Transaktionsdaten der Blockchain zurück, darunter wiederholte Rücküberweisungen an zuvor genutzte Wallets. Das Muster deute auf automatisierte Geldwäsche hin, bei der Software Gelder immer wieder verschiebt, um ihre Herkunft zu verschleiern, erklärte Chainalysis.

Ersatzkäufe verkleinern die Lücke bei Binance

Der Sanierungsplan von Binance sah mehr als 6,34 Milliarden Dollar (rund 5,7 Milliarden Euro) an Firmenmitteln vor, eingefrorene Werte über rund 3 Milliarden Dollar (rund 2,7 Milliarden Euro) nicht eingerechnet. Die vorhandenen Bestände der betroffenen Token deckten zunächst rund 80 Prozent der Verluste.

Am 31. Oktober meldete Binance, die Deckung liege bei 90 Prozent, zehn Kryptowährungen, darunter Bitcoin (BTC), Ether und XRP, seien vollständig gedeckt. Die Mittel stammten aus Firmenmitteln, dem Notfallfonds Safu (Secure Asset Fund for Users) und Rücklagen der Versicherung für Futures. Für die verbleibende Lücke kaufte Binance weniger liquide Token und sagte zu, alle Verluste zu übernehmen. Diese Käufe ersetzen die betroffenen Bestände und haben nichts mit der Rückholung der gestohlenen Gelder zu tun.

Am Samstag gegen 23 Uhr EDT (Sonntag, 4 Uhr MEZ) meldete Binance auf X, bereits 6 Milliarden Dollar (rund 5,4 Milliarden Euro) des Schadens gedeckt zu haben. Die Auszahlungen sollten am Sonntag, dem 1. November, wieder starten. Bereits am 31. Oktober hatte Binance eine Momentaufnahme seiner Reserven von 0 Uhr UTC (1 Uhr MEZ) veröffentlicht. Den vollständigen kryptografischen Nachweis erwartet die Börse bis zum 3. November, dann können Inhaber der zehn Token prüfen, ob ihre Bestände mindestens 1:1 gedeckt sind.