Binance: Nordkorea nach Milliardenangriff unter Verdacht

Rubrik: Sicherheit
Format: Beitrag
Autor: Sinisa Brkic (sb)

Der milliardenschwere Cyberangriff auf die Kryptobörse Binance nimmt eine neue sicherheitspolitische Dimension an. Das Unternehmen bestätigt einen Sicherheitsvorfall im Umfang von rund 6,3 Milliarden US-Dollar, während amerikanische Blockchain-Analysten eine nordkoreanische Hackergruppe für verantwortlich halten. Rund drei Milliarden Dollar an betroffenen Kryptowerten konnten nach Unternehmensangaben bereits eingefroren werden. Die tatsächliche Höhe des endgültigen Schadens und die Identität der Angreifer sind weiterhin Gegenstand der Ermittlungen.

Milliardenwerte innerhalb weniger Minuten verschoben

Der Cyberangriff auf Binance könnte als einer der schwersten Sicherheitsvorfälle in die Geschichte des Kryptomarktes eingehen. Nach einer offiziellen Mitteilung vom 30. Oktober 2026 beziffert die Handelsplattform den geschätzten Umfang des Vorfalls auf rund 6,3 Milliarden US-Dollar. Damit bestätigt das Unternehmen erstmals die Größenordnung eines Angriffs, dessen technische Hintergründe und wirtschaftliche Konsequenzen noch nicht vollständig geklärt sind. Die amerikanische Blockchain-Analysefirma TRM Labs kommt in ihrer Untersuchung auf einen Gesamtwert von etwa 6,36 Milliarden Dollar. Nach ihren Erkenntnissen wurden am 29. Oktober Kryptowährungen aus Binance-Wallets über insgesamt zehn unterschiedliche Blockchains auf Adressen unter Kontrolle der Angreifer übertragen. Der Großteil der Vermögenswerte wurde demnach innerhalb von rund 20 Minuten verschoben. Betroffen waren unter anderem die Netzwerke Bitcoin, Ethereum, Solana, Tron und XRP Ledger. Die nahezu zeitgleichen Transaktionen über technisch unterschiedliche Systeme lassen nach Einschätzung der Analysten auf einen weitreichenden Zugriff auf die Infrastruktur schließen, über die Binance Transaktionen autorisiert.

Kompromittierter Mitarbeitercomputer als mögliche Schwachstelle

Nach ersten internen Untersuchungsergebnissen könnte ein kompromittierter Laptop eines DevOps-Ingenieurs den entscheidenden Zugang eröffnet haben. Binance zufolge besteht der Verdacht, dass die Angreifer darüber Zugriff auf einen internen Service-Container erlangten und anschließend nicht autorisierte Auszahlungen auslösen konnten. Das Unternehmen betont allerdings, bislang keine Hinweise auf einen Abfluss privater Wallet-Schlüssel gefunden zu haben. Diese Unterscheidung ist technisch bedeutsam, weil ein erfolgreicher Angriff auf die Infrastruktur zur Transaktionsfreigabe nicht zwingend voraussetzt, dass die zugrunde liegenden kryptografischen Schlüssel unmittelbar entwendet wurden. TRM Labs sieht Hinweise darauf, dass die Angreifer die Signierung von Transaktionen über mehrere Blockchain-Netzwerke hinweg beeinflussen konnten. Wie weit dieser Zugriff tatsächlich reichte und welche internen Sicherheitsmechanismen überwunden wurden, muss die laufende technische Untersuchung erst klären. Binance hat angekündigt, nach Abschluss der Ermittlungen einen detaillierten Bericht über die Ursachen des Vorfalls zu veröffentlichen.

Blockchain-Analysten sehen eine Verbindung nach Nordkorea

Eine neue Dimension erhält der Angriff durch die Untersuchung von TRM Labs. Das auf die Nachverfolgung digitaler Vermögenswerte spezialisierte amerikanische Unternehmen ordnet die Tat der Hackergruppe TraderTraitor zu, die mit Nordkorea in Verbindung gebracht wird. Die Analysten erklären, ihre Einschätzung beruhe auf einer Kombination aus Transaktionsanalysen innerhalb der Blockchains und zusätzlichen Erkenntnissen außerhalb dieser Netzwerke. TRM Labs bewertet die Zuschreibung mit hoher Sicherheit und verweist auf Übereinstimmungen mit früheren Angriffsmustern, darunter technische Vorbereitungen, die Verwendung bestimmter Wallet-Strukturen und die anschließende Bewegung erbeuteter Kryptowährungen. Eine unabhängige staatliche Bestätigung der Täterschaft im aktuellen Binance-Fall liegt bislang jedoch nicht vor. Die Bewertung von TRM Labs ist deshalb eine fachlich begründete Verdachtszuordnung, aber noch kein abschließender Nachweis einer unmittelbaren Verantwortung nordkoreanischer staatlicher Stellen. Die Unterscheidung ist wesentlich. Selbst wenn die eingesetzten Methoden bekannte Muster nordkoreanischer Hackergruppen aufweisen, ersetzt die technische Ähnlichkeit keine vollständige Aufklärung der Verantwortlichkeiten. Binance arbeitet nach eigenen Angaben mit Strafverfolgungsbehörden und spezialisierten Analyseunternehmen zusammen, um die Angreifer zu identifizieren.

Drei Milliarden Dollar eingefroren, tatsächlicher Schaden noch offen

Parallel zu den Ermittlungen versuchen Binance und mehrere Unternehmen der Kryptobranche, die Kontrolle über die abgeflossenen Vermögenswerte zurückzugewinnen. Nach Angaben der Handelsplattform konnten bislang rund drei Milliarden US-Dollar an betroffenen Kryptowerten direkt auf den jeweiligen Blockchains eingefroren werden. TRM Labs hatte in seiner Untersuchung zunächst einen eingefrorenen Betrag von ungefähr 2,7 Milliarden Dollar ausgewiesen. Die unterschiedlichen Zahlen spiegeln verschiedene Erhebungsstände wider. Zu den beteiligten Akteuren gehören unter anderem die Stablecoin-Anbieter Tether und Circle sowie Verantwortliche einzelner Blockchain-Netzwerke. Das Einfrieren digitaler Vermögenswerte bedeutet allerdings noch nicht, dass diese bereits vollständig zurückgeführt wurden. Während manche Token durch ihre Herausgeber gesperrt werden können, lassen sich andere Kryptowährungen wie Bitcoin oder Ether nicht in vergleichbarer Weise zentral blockieren. Ein erheblicher Teil der betroffenen Vermögenswerte könnte daher weiterhin außerhalb des unmittelbaren Zugriffs der Börse liegen. Vor diesem Hintergrund darf der geschätzte Umfang des Angriffs von 6,3 Milliarden Dollar nicht mit einem endgültigen wirtschaftlichen Verlust gleichgesetzt werden. Entscheidend wird sein, welche Vermögenswerte tatsächlich zurückgeführt werden können und welcher Schaden nach Abschluss sämtlicher Sicherungsmaßnahmen verbleibt.

Binance verspricht vollständige Absicherung der Kundengelder

Binance hat angekündigt, sämtliche durch den Sicherheitsvorfall entstandenen Verluste aus eigenen Unternehmensmitteln und dem sogenannten SAFU-Sicherungsfonds abzudecken. Der Fonds wurde eingerichtet, um in außergewöhnlichen Schadensfällen zusätzliche finanzielle Mittel zum Schutz der Nutzer bereitzustellen. Nach Darstellung des Unternehmens seien die Kundengelder sicher. Diese Zusicherung steht allerdings unter dem Vorbehalt der noch laufenden technischen und finanziellen Aufarbeitung. Eine abschließende unabhängige Bewertung der Auswirkungen liegt derzeit nicht vor. Als unmittelbare Vorsichtsmaßnahme setzte Binance Einzahlungen und Auszahlungen vorübergehend aus, widerrief betroffene Zugriffsberechtigungen und leitete zusätzliche Sicherheitsprüfungen ein. Außerdem kündigte die Börse eine aktualisierte Veröffentlichung ihrer Reserven an, sobald die erforderlichen Maßnahmen abgeschlossen sind. Für das Vertrauen der Kunden wird dabei nicht allein entscheidend sein, ob Binance die entstandenen Verluste finanziell ausgleichen kann. Ebenso wichtig ist die Frage, wie ein Angriff dieser Größenordnung möglich wurde und welche Maßnahmen künftig einen vergleichbaren Zugriff auf die Infrastruktur verhindern sollen.

Ein Cyberangriff mit möglicher geopolitischer Tragweite

Die mutmaßliche Verbindung zu Nordkorea rückt den Vorfall über die unmittelbaren Interessen der Kryptobranche hinaus in den Bereich internationaler Sicherheitspolitik. Nordkoreanischen Hackergruppen werden seit Jahren groß angelegte Angriffe auf Finanzinstitute, Kryptoplattformen und digitale Vermögenswerte zugeschrieben. Besonders aufschlussreich ist der Vergleich mit dem Angriff auf die Kryptobörse Bybit im Februar 2025. Damals wurden digitale Vermögenswerte im Wert von rund 1,5 Milliarden Dollar entwendet. Amerikanische Ermittlungsbehörden führten diesen Angriff auf nordkoreanische Akteure zurück. Sollte sich die Zuordnung im aktuellen Binance-Fall bestätigen, wäre das ein weiterer Hinweis auf die außergewöhnlichen finanziellen und technischen Fähigkeiten solcher Hackergruppen. Die unmittelbare politische Verantwortung und eine mögliche spätere Verwendung der erbeuteten Vermögenswerte wären damit allerdings noch nicht geklärt. Zugleich wirft der Angriff grundsätzliche Fragen zur Sicherheit zentralisierter Kryptobörsen auf. Eine Handelsplattform kann Vermögenswerte auf zahlreichen unabhängigen Blockchains verwalten und dennoch durch Schwachstellen in ihrer eigenen internen Infrastruktur angreifbar bleiben. Gerade die Verbindung zwischen gewöhnlichen Unternehmenssystemen und hochsensiblen Transaktionsberechtigungen entwickelt sich damit zu einem entscheidenden Sicherheitsrisiko.

Die entscheidenden Fragen sind noch unbeantwortet

Der Binance-Vorfall zeigt, dass selbst umfangreiche technische Schutzmaßnahmen einen folgenschweren Angriff nicht grundsätzlich ausschließen. Die bisher bekannten Erkenntnisse deuten auf einen gezielten und sorgfältig vorbereiteten Zugriff hin, dessen tatsächlicher Ablauf erst durch die weitere Untersuchung vollständig nachvollziehbar werden dürfte. Ob sich der Verdacht gegen TraderTraitor bestätigt, welche Vermögenswerte zurückgeholt werden können und welche konkreten Sicherheitslücken den Angriff ermöglichten, bleibt offen. Binance steht damit nicht nur vor der Aufgabe, finanzielle Schäden auszugleichen, sondern muss auch das Vertrauen in die Integrität seiner technischen Infrastruktur wiederherstellen. Die zentrale Frage reicht inzwischen weit über die Höhe des möglichen Verlusts hinaus: Wenn Angreifer innerhalb weniger Minuten Milliardenwerte über zahlreiche Blockchain-Netzwerke bewegen können, muss geklärt werden, wie zuverlässig die internen Kontrollmechanismen der weltweit größten Kryptohandelsplattformen tatsächlich sind.