Binance-Hack über 6,3 Milliarden Dollar: Was bestätigt ist, was nicht

3,52 Milliarden Dollar in 40 Minuten

Am Donnerstag flossen Kryptowerte in großem Umfang aus Adressen ab, die Binance zugeordnet werden. Eine einzige Ethereum-Transaktion soll rund 167.464 ETH, 1,615 Milliarden USDT und Dutzende weitere Token bewegt haben. Innerhalb von 40 Minuten sammelte eine Empfängeradresse schätzungsweise 3,52 Milliarden Dollar (rund 3,1 Milliarden Euro) ein.

Die ersten großen Überweisungen begannen gegen 16:24 Uhr EDT (21:24 Uhr MEZ). Aus einer Wallet, die unter dem Namen „Binance 14“ bekannt ist, gingen mehr als 60 verschiedene Token an eine neu angelegte Adresse, weitere Transaktionen aus anderen Binance-Wallets folgten. Kurz darauf schlug der Blockchain-Beobachter @spreekaway auf X Alarm: Eine ganze Binance-Wallet sei geleert worden, das Vorhaben sei über den Mixing-Dienst Tornado Cash finanziert worden.

Im Lauf des Abends fanden Analysten auch Abflüsse über Bitcoin, Tron und andere Netzwerke. Stablecoin-Herausgeber begannen, Token zu sperren, und Binance stoppte die Auszahlungen. Es sehe tatsächlich nach einem Hack aus, schrieb Gründer Changpeng Zhao auf X.

Schätzungen gingen weit auseinander

Zunächst kursierten sehr unterschiedliche Zahlen. Manche Auswertungen kamen auf Abflüsse von 5,57 Milliarden Dollar (knapp 5 Milliarden Euro) über Ethereum, Bitcoin und Tron. Das Analysehaus Glassnode schätzte den Schaden auf rund 5,3 Milliarden Dollar (rund 4,7 Milliarden Euro), andere Schätzungen lagen bei fast 5,8 Milliarden Dollar (rund 5,2 Milliarden Euro). Einige Analysten wiesen darauf hin, dass die höheren Werte auch Überweisungen enthalten könnten, die mit dem Angriff nichts zu tun haben.

In der Nacht zum Freitag nannte Binance selbst eine Zahl. Der Schaden liege bei rund 6,3 Milliarden Dollar (rund 5,6 Milliarden Euro), teilte die Börse um 22:23 Uhr EDT (3:23 Uhr MEZ) mit. Das ist mehr, als die Analysten zuvor geschätzt hatten. Zum Vergleich: Beim bislang größten Diebstahl, dem Hack der Börse Bybit im Februar 2025, erbeuteten Angreifer rund 1,5 Milliarden Dollar (rund 1,3 Milliarden Euro).

Eine Signatur als Einfallstor

Als wahrscheinlichste technische Erklärung gilt EIP-7702, wie das Sicherheitsunternehmen Blockaid in einer Analyse schreibt. Die Funktion kam im Mai 2025 mit dem Ethereum-Upgrade Pectra. Mit ihr kann eine gewöhnliche Wallet einen Smart Contract ermächtigen, in ihrem Namen Befehle auszuführen. Das ist praktisch, wird aber gefährlich, wenn die Befugnis in falsche Hände gerät.

Gegen 16:20 Uhr EDT (21:20 Uhr MEZ) ging bei „Binance 14“ eine solche Ermächtigung ein. Weil der Angreifer den aktuellen Transaktionszähler der Wallet, die sogenannte Nonce, offenbar nicht kannte, packte er 50 Ermächtigungen für verschiedene Zählerstände in eine einzige Transaktion, wie Blockaid auf X erläuterte. Eine davon traf.

Etwa drei Minuten später wanderten die Vermögenswerte der Wallet auf eine fremde Adresse. Die Forscher fanden zudem einen Vertrag, der am selben Tag angelegt worden war, und eine Adresse, die über Tornado Cash Guthaben erhalten hatte. Der Dienst verschleiert die Herkunft von Ether.

Eine solche Ermächtigung muss allerdings gültig signiert sein. Offen war zunächst, ob der Angreifer einen privaten Schlüssel erbeutet, einen berechtigten Unterzeichner getäuscht oder einen anderen Teil der Signaturinfrastruktur von Binance übernommen hatte. In ihrer Mitteilung vom Freitagmorgen nennt die Börse eine erste Spur: Der Laptop eines Devops-Ingenieurs sei vermutlich kompromittiert worden. Darüber habe der Angreifer Zugang zu einem internen Dienst erlangt und unerlaubte Auszahlungen ausgelöst. Hinweise auf abgeflossene private Schlüssel gebe es nicht. Die Bewegungen bei Bitcoin und Tron erklärt der Ethereum-Mechanismus ohnehin nicht.

Der Angreifer habe eine große Ethereum-Hot-Wallet von Binance praktisch so umprogrammiert, dass er sie allein leeren konnte, einschließlich neu eingehender Gelder, sagte Blockaid-Chef Ido Ben-Natan gegenüber Bitcoin.com News. Diesen Zugriff habe er mehr als eine Stunde später erneut genutzt. „Der Angriff war lange im Voraus geplant: Der Angreifer finanzierte die Operation über Tornado Cash und probte die gleiche Übernahme bereits Stunden zuvor an Test-Wallets – all das war in der Blockchain sichtbar“, so Ben-Natan. In seinem Halbjahresbericht hatte Blockaid im Juli vor zunehmenden Angriffen über die Wallet-Delegation nach EIP-7702 in der zweiten Jahreshälfte gewarnt.

Stablecoin-Herausgeber sperren Milliarden

Während die Ermittler die Transaktionen auswerteten, sperrten die Stablecoin-Herausgeber verdächtige Token. Tether-Chef Paolo Ardoino meldete am Donnerstagabend, sein Unternehmen habe mehr als 1,567 Milliarden USDT eingefroren. Zentral ausgegebene Stablecoins wie USDT lassen sich an bestimmten Adressen blockieren. Auch Circle habe in Abstimmung mit Ermittlungsbehörden mehr als 800 Millionen USDC eingefroren, bestätigte Circle-Chef Jeremy Allaire. Weitere Herausgeber zogen nach. Binance-Co-Chefin Yi He dankte Ripple dafür, rund 200 Millionen eingefroren zu haben. Um welche Token es sich handelt, nannte sie nicht. World Liberty Financial sperrte nach ihren Angaben 27 Millionen Dollar (rund 24 Millionen Euro) in seinem Stablecoin USD1 und 48 Millionen WLFI-Token im Wert von rund 2 Millionen Dollar (rund 1,8 Millionen Euro). Insgesamt sind laut Binance bislang rund 3 Milliarden Dollar (rund 2,7 Milliarden Euro) auf der Blockchain gesperrt.

Einfrieren heißt allerdings nicht zurückgeben. Für Bitcoin (BTC) und Ether gibt es keinen Herausgeber, der Token sperren könnte. Analysten beobachteten, wie der mutmaßliche Täter Ether zwischen Wallets verschob, Token über dezentrale Börsen tauschte und Kredite gegen Kryptowerte als Sicherheit aufnahm. Die Kreditplattform Aave setzte ihre Ethereum-V3-Märkte vorsorglich vorübergehend aus. Auf der Layer-2-Plattform Arbitrum fror der Sicherheitsrat per Transaktion rund 30,5 Millionen Dollar (rund 27 Millionen Euro) ein, die mit dem Angriff in Verbindung stehen, wie Yi He bestätigte.

Binance will alle Verluste ersetzen

Die Börse selbst äußerte sich zunächst zurückhaltend. Sie räumte ein mögliches Sicherheitsproblem ein, setzte später am Donnerstag die Auszahlungen aus und versprach, sie nach Abschluss der Prüfungen wieder freizugeben. Deutlicher wurde Zhao, der 2023 als Chef zurückgetreten war. Im selben Beitrag auf X schrieb er, er leite Binance nicht mehr, gehe als Anteilseigner aber davon aus, dass alle Kundengelder vollständig gedeckt würden.

Um 20:04 Uhr EDT (1:04 Uhr MEZ) legte Mitgründerin und Co-Chefin Yi He nach. Binance werde alle durch den Hack entstandenen Verluste übernehmen, schrieb sie auf X. Ein- und Auszahlungen blieben ausgesetzt, während das Team Sicherheitsprüfungen durchführe, Gelder sperre und mit Ermittlern zusammenarbeite. Laut der späteren Mitteilung sollen die Verluste aus dem Notfallfonds Safu und aus Firmenmitteln gedeckt werden. Nach der Behebung will Binance einen neuen Nachweis seiner Reserven veröffentlichen.

Kryptomarkt unter Druck

Der Angriff traf den Markt an einem ohnehin schwierigen Tag. Bitcoin fiel zeitweise in Richtung 76.000 Dollar (rund 67.900 Euro), bevor sich der Kurs etwas erholte. Ether gab um etwa 4,6 Prozent nach, der Binance-Token BNB um fast 7,7 Prozent. Innerhalb von 24 Stunden wurden laut Coinglass gehebelte Positionen über rund 1,4 Milliarden Dollar (rund 1,3 Milliarden Euro) zwangsweise geschlossen, überwiegend Wetten auf steigende Kurse. Nicht alles davon geht auf Binance zurück, Bitcoin stand schon vor den verdächtigen Überweisungen unter Druck.

Wer hinter dem Angriff steckt, ist offen. Einige Forscher halten eine Beteiligung Nordkoreas für möglich, eine offizielle Zuordnung gibt es nicht. Im Register der EU-Wertpapieraufsicht Esma, das die nach der Kryptoverordnung MiCA zugelassenen Kryptodienstleister aufführt, ist Binance bislang nicht verzeichnet. Ohne Lizenz dürfen Anbieter in der EU seit dem 1. Juli keine Kryptodienste mehr erbringen, wie eine frühere Analyse zeigt.

Klären müssen die Ermittler nun, welche Überweisungen unerlaubt waren, wie der Angreifer an die Berechtigungen kam und ob sich die Werte zurückholen lassen, die noch über fremde Adressen wandern. Für Binance wird sich zeigen, ob die Zusagen halten, sobald die Auszahlungen wieder laufen. Weder das Versprechen, die Verluste zu decken, noch die Milliarden an gesperrten Token erklären, wie so viel Kryptogeld überhaupt abfließen konnte.