Elliptic: Binance-Beute fließt in vier Tagen durch 12.000 Wallets

Tausende Wallets verlängern die Spur der Geldwäsche

Kryptowerte aus dem Diebstahl bei Binance wurden in weniger als vier Tagen über rund 12.000 Wallets auf 11 Blockchains weitergeleitet, berichtete das Blockchain-Analyseunternehmen Elliptic am 2. November. Die Analyse der Geldwäsche über 12.000 Wallets erfasste mehr als 40.000 Transaktionen nach dem Diebstahl von 6,43 Milliarden Dollar (rund 5,7 Milliarden Euro) am 29. Oktober. Elliptic schrieb:

„Die Geldwäsche ist äußerst komplex und offensichtlich automatisiert.“

Chainalysis hatte bereits am 30. Oktober mutmaßlich automatisierte Muster der Geldwäsche erkannt. Das Unternehmen beobachtete wiederholte Überweisungen zwischen Adressen und Rücküberweisungen an bereits genutzte Wallets. Viele Empfängeradressen erhielten genau 1 TRX, die Kryptowährung des Tron-Netzwerks, für Transaktionsgebühren, bevor sie größere Beträge annahmen und weiterleiteten. Diese wiederkehrende Abfolge deutete darauf hin, dass eine Software die Beute verteilt.

Der Diebstahl selbst lief über weitere Einfallstore und umging Freigabekontrollen, sagte Binance-Co-Chef Richard Teng in einem am 30. Oktober veröffentlichten Video. Die Untersuchung reiche über den Laptop hinaus, der zunächst als kompromittiert galt. Ein Selbstzerstörungsmechanismus habe zudem Angriffswerkzeuge und Spuren vernichtet, was die Ermittlungen der Börse erschwere.

Automatisierte Überweisungen, Lending Vaults und Bitcoin-Mixing

Elliptic stieß auf feste Zeitabstände, festgelegte Beträge und blinde Wiederholungsversuche. Diese Muster deuteten auf herkömmliche Software-Skripte hin. Hinweise darauf, dass eine künstliche Intelligenz (KI) über die Überweisungen entschied, fand das Unternehmen nicht.

Der Angreifer nutzte zudem sogenannte Lending Vaults, also Verträge von Kreditprotokollen, die Einzahlungen annehmen und Auszahlungen abwickeln. So zahlte er von einer Adresse ein und hob auf andere ab, ohne dass eine direkte Überweisung die Adressen verband. Am 1. November begann das Mixing von Bitcoin, bis zum 2. November um 1:02 Uhr EST (7:02 Uhr MEZ) liefen rund 28 BTC im Wert von 2,2 Millionen Dollar (rund 2 Millionen Euro) durch 18 Coinjoins. Ein Coinjoin bündelt die Bitcoin mehrerer Nutzer in einer gemeinsamen Transaktion, sodass sich einzelne Bewegungen schwerer verfolgen lassen.

Die Versuche, Werte zu verschieben, fielen mit der Notpause bei Thorchain zusammen. Das Protokoll, das Tauschgeschäfte zwischen Blockchains ermöglicht, aktivierte am 31. Oktober nach einem Fehlbetrag von rund 10 ETH seine Schutzmechanismen. Chainalysis zufolge verzögerte die Störung unbeabsichtigt die Geldwäsche der Binance-Beute.

Gegen Mixer-Dienste, über die sich die Spuren von Bitcoin verwischen lassen, sind auch Ermittler in Deutschland und der Schweiz vorgegangen. Im November 2025 schalteten die Frankfurter Zentralstelle zur Bekämpfung der Internetkriminalität (ZIT) und die Staatsanwaltschaft des Kantons Zürich gemeinsam mit dem Bundeskriminalamt (BKA) und Europol den Bitcoin-Mixer Cryptomixer ab. Dabei stellten sie Kryptowerte im Wert von rund 25 Millionen Euro sicher.

Börsen sollen Auszahlungsversuche blockieren

Die US-Bundespolizei FBI hatte den Diebstahl bei Binance am 31. Oktober Nordkorea zugeschrieben und die Aktivität Tradertraitor zugeordnet, einer vom nordkoreanischen Staat unterstützten Hackergruppe. Gemeinsam mit dem US-Secret-Service und der Steuerfahndung IRS Criminal Investigation beobachtete das FBI vor allem den Umtausch in Ether. Die Behörden forderten Börsen, Betreiber von Infrastruktur und Anbieter dezentraler Finanzdienste auf, Transaktionen mit den veröffentlichten Adressen zu blockieren.

Wie sich eingreifen lässt, hängt auch von den betroffenen Werten ab. Über das Einfrieren von Stablecoins und Sperrlisten können Herausgeber verhindern, dass bestimmte Adressen Token übertragen, selbst wenn die Inhaber ihre Wallet-Schlüssel kontrollieren. Börsen wiederum können Einzahlungen einschränken oder Konten sperren. Das ist ein weiterer Hebel bei Kryptowährungen, die kein Herausgeber sperren kann.

Die Grafik von Elliptic verfolgt den Weg der gestohlenen Werte von ihrer ursprünglichen Form am 29. Oktober über Tauschgeschäfte und Sperren bis zu den verbliebenen Beständen am 2. November. Sie zeigt eingefrorene Werte über 2,85 Milliarden Dollar (rund 2,5 Milliarden Euro). Der Angreifer hielt demnach noch rund 1,43 Milliarden Dollar (rund 1,3 Milliarden Euro) in Bitcoin auf 40 Adressen und 1,37 Milliarden Dollar (rund 1,2 Milliarden Euro) in Ether auf 857 Adressen. Weitere 16 Millionen Dollar (rund 14,3 Millionen Euro) flossen an Adressen, die auch Beute aus dem Exploit bei Bitget im September enthielten. Das deutet darauf hin, dass Gelder aus beiden Diebstählen zusammengeführt wurden.

Der Tausch einer Kryptowährung in eine andere ist für sich noch keine Auszahlung. Elliptic schätzte, dass am 2. November gegen 2 Uhr EST (8 Uhr MEZ) noch rund 3,24 Milliarden Dollar (rund 2,9 Milliarden Euro) auf Adressen lagen, die mit dem Diebstahl in Verbindung stehen, überwiegend in Ether und Bitcoin. Das Unternehmen rechnet damit, dass der Angreifer über mehrere Monate versuchen wird, die Werte über außerbörsliche Händler, sogenannte OTC-Broker, auszuzahlen.