Binance-Hack: TRM und Chainalysis sehen Nordkoreas Tradertraitor dahinter

Ermittler deuten auf Pjöngjang

Bei der Suche nach dem Angreifer gibt es nun einen Hauptverdächtigen. Das Blockchain-Analyseunternehmen TRM Labs schreibt den Angriff Tradertraitor zu, aus seiner Sicht Nordkoreas Elite-Hackereinheit. Zu dieser Einschätzung sei TRM auf Grundlage von On-Chain- und Off-Chain-Informationen mit hoher Gewissheit gelangt. Die Beute beziffert das Unternehmen auf rund 6,36 Milliarden Dollar (rund 5,7 Milliarden Euro), bewertet zu den Kursen im Moment des Abzugs.

Der unabhängige Ermittler ZachXBT war bereits zuvor zu einem ähnlichen Ergebnis gekommen. Auf die Frage, wer hinter dem Abzug stecke, antwortete er auf X, wahrscheinlich sei es die Lazarus-Gruppe.

Solche Einschätzungen sind allerdings noch keine Bestätigung, und bislang hat keine Regierung offiziell einen Schuldigen benannt. Ari Redbord, bei TRM weltweit für Politik zuständig, nannte den Angriff gegenüber dem Sender Al Jazeera beispiellos und einen Wendepunkt.

„Wenn Nordkorea in diesem Ausmaß stiehlt, fließt das Geld in die Verbreitung von Waffen und andere destabilisierende Aktivitäten“, sagte Redbord.

Ein bekanntes Vorgehen, aber viermal so groß

Vorgehen und typische Muster ähneln nach Einschätzung von TRM dem Diebstahl bei Bybit im Februar 2025, den das FBI derselben Gruppe zuschrieb. Übereinstimmungen gebe es auch mit dem Hack bei Kelpdao im April 2026. Das Analyseunternehmen Chainalysis ordnet den Angriff ebenfalls Tradertraitor zu und beziffert den Schaden auf 6,4 Milliarden Dollar (rund 5,7 Milliarden Euro), mehr als das Vierfache des Bybit-Diebstahls.

Die Vorbereitung verlief methodisch. Laut dem On-Chain-Forscher 0xQuit erhielt die Relayer-Wallet des Angreifers, über die er seine Transaktionen einreichte, in den zwei Tagen zuvor drei Abhebungen von je 0,1 ETH aus dem Mixing-Dienst Tornado Cash. Um 11:59 Uhr EDT (16:59 Uhr MEZ) stellte der Angreifer demnach einen Delegationsvertrag bereit. Ein anderer Analyst erklärte, der Angreifer habe den Abzug sechs Stunden vorher mit drei neuen Wallets geprobt und dabei Testbeträge verschiedener Token abgezogen. Den größten Einzelabzug gab es gegen 16:24 Uhr EDT (21:24 Uhr MEZ), als 167.464 Ether (ETH) aus der Hot Wallet „Binance 14“ abflossen. Wie die Delegation der Wallet ablief und warum Binance nach ersten Erkenntnissen den gehackten Laptop eines Devops-Ingenieurs für das Einfallstor hält, hat Bitcoin.com News ausführlich beschrieben.

In sozialen Medien bekam die Episode eine spöttische Note. Ein Nutzer behauptete, der Angreifer habe auf Pump.fun einen Meme-Coin namens „LAZARUS“ aufgelegt. Ob der Herausgeber des Tokens mit den Wallets des Hackers in Verbindung steht, konnte Bitcoin.com News nicht überprüfen.

Wohin das Geld fließt

Anders als nach dem Bybit-Hack, als die Beute vor allem über Bridges weiterwanderte, stützt sich die Geldwäsche diesmal auf große Tauschgeschäfte, wie TRM schreibt. Ein großer Teil der Beute ist inzwischen eingefroren. Die Sperren summieren sich laut Binance auf rund 3 Milliarden Dollar (rund 2,7 Milliarden Euro). Um ihnen zuvorzukommen, verkaufte der Angreifer rund 325 Millionen USDT mit einem Abschlag von mehr als 10 Prozent an Market Maker und erhielt dafür rund 122.300 ETH. Zudem hinterlegte er bei der Kreditplattform Aave 60 Millionen USDT und lieh sich dagegen rund 19.760 ETH.

Damit hält er nach Berechnungen von TRM noch mehr als 420.000 ETH und 18.270 Bitcoin (BTC), rund 2,4 Milliarden Dollar (rund 2,1 Milliarden Euro), auf die kein Herausgeber zugreifen kann. Die Bitcoin bewegt er über eine sogenannte Peel Chain. Bei dieser Methode der Geldwäsche wird ein Guthaben in eine lange Reihe kleinerer Überweisungen aufgeteilt.

In der Nacht zum Freitag verschob die Gruppe laut Onchain Lens Ether im Wert von mehr als 1 Milliarde Dollar (rund 893 Millionen Euro) auf neue Wallets, vermutlich um das Geld anschließend über Tornado Cash und andere Mixing-Dienste zu waschen. Für die nächste Phase erwartet TRM den Einsatz von Cross-Chain-Bridges, Tauschdiensten und OTC-Brokern, die außerhalb der Börsen handeln.

Ein Rekordjahr für Krypto-Diebstähle

Der Raubzug fällt in ein Jahr, das die Analyseplattform Defillama schon jetzt als das mit den meisten Hacks in der Geschichte der Kryptobranche bezeichnet. Laut ihren Daten wurden 2026 bislang mehr als 8 Milliarden Dollar (rund 7,1 Milliarden Euro) gestohlen, den größten Teil davon bei Binance. Zum Vergleich: Im gesamten Jahr 2025 erbeuteten Cyberkriminelle bei fast 150 Vorfällen 2,87 Milliarden Dollar (rund 2,6 Milliarden Euro), wie Al Jazeera unter Berufung auf den Jahresbericht von TRM schreibt.

An wie vielen Fronten Sicherheitsteams gleichzeitig kämpfen müssen, zeigte sich am selben Tag. Nur gut anderthalb Stunden vor den ersten Abflüssen bei Binance hatte Polymarket den Handel wegen einer anderen Sicherheitslücke kurzzeitig ausgesetzt.

Die Folgen könnten beispiellos sein

TRM warnt nach eigenen Angaben seine Partner über das Beacon-Netzwerk und rät Börsen dringend, Einzahlungen mit den markierten Adressen des Angreifers abzugleichen. Binance hat eine ausführliche technische Auswertung angekündigt, sobald die vorläufigen Ermittlungen abgeschlossen sind.

Entscheidend ist nun das Tempo. Jede Stunde, in der die ETH und BTC des Angreifers nicht über Mixing-Dienste laufen, gibt den Ermittlern mehr Zeit, mögliche Ausstiegswege zu erkennen. Das bisherige Vorgehen Nordkoreas spricht allerdings dafür, dass die Gruppe versuchen wird, die Beute über OTC-Händler zu versilbern, bevor die Spur kalt wird.