Aktuelles

Der teuerste Laptop der Welt: Wie Hacker Binance um 6,3 Milliarden Dollar erleichterten

Binance-Hack: 6,3 Mrd. Dollar BeuteKryptowährungen gelten allgemein als sicher vor Zugriffen Dritter. Dass dem nicht so ist, musste die Plattform Binance jetzt feststellen. Ein einziger kompromittierter Rechner hat offenbar gereicht, dass am Donnerstagabend innerhalb von 20 Minuten Kryptowerte im Wert von 6,3 Milliarden Dollar aus den Wallets von Binance abgeflossen sind. Binance ist die größte Kryptobörse der Welt und die verzeichnet den größten Diebstahl, den die Branche je erlebt hat. Das Verblüffende daran: Die Blockchain selbst ist unschuldig.

Donnerstag, kurz nach neun Uhr abends

Am 29. Oktober, gegen 21 Uhr Weltzeit, meldet sich Binance-Mitgründerin Yi He auf X. Man untersuche ein mögliches Sicherheitsproblem, die Kundengelder seien sicher. Wer in diesem Moment auf die Blockchain schaut, sieht etwas anderes: Geld, sehr viel Geld, das in Richtung unbekannter Adressen wandert. Kurz darauf schreibt Binance-Gründer Changpeng Zhao, besser bekannt als CZ, das sehe tatsächlich nach einem Hack aus.

Kurz nach Mitternacht folgt die Zusage, die jeder Kunde in so einer Nacht hören will: Binance übernimmt sämtliche Verluste. Gleichzeitig stoppt die Börse alle Ein- und Auszahlungen. Um 2:23 Uhr dann die offizielle Bestätigung mit einer Zahl, die selbst bei hartgesottenen Krypto-Veteranen Schnappatmung auslöst: Der Schaden liegt bei rund 6,3 Milliarden Dollar.

Die Blockchain-Analysten von TRM Labs kommen auf 6,36 Milliarden Dollar, verteilt auf Wallets in zehn verschiedenen Blockchains. Der größte Teil verschwand in etwa 20 Minuten. Das Analysehaus Chainalysis setzte den Wert zum Tatzeitpunkt mit 5,9 Milliarden etwas niedriger an. Egal welche Zahl man nimmt: Der bisherige Rekord, 1,5 Milliarden Dollar beim Angriff auf die Börse Bybit im Februar 2025, wirkt dagegen fast bescheiden. Der Binance-Hack ist rund viermal so groß.

Niemand hat den Tresor geknackt. Jemand hat den Hausmeister überlistet

Hier wird die Geschichte interessant, und zwar gerade für alle, die Kryptowährungen für unknackbar halten. Binance betont ausdrücklich: Es gibt keinen Hinweis darauf, dass private Schlüssel der Wallets abgeflossen sind. Die Kryptografie hat gehalten.

Der Weg der Angreifer lief laut den ersten Ermittlungen der Börse über den Laptop eines DevOps-Ingenieurs, also eines Mitarbeiters, der sich um Server, Deployments und Infrastruktur kümmert. Von diesem Gerät aus gelangten die Angreifer in einen sogenannten Service-Container, eine interne Softwarekomponente auf den Servern von Binance. Und dieser Container durfte etwas sehr Mächtiges: Auszahlungen anstoßen.

Übersetzt heißt das: Die Täter brauchten die Schlüssel gar nicht. Sie haben das Schloss einfach für sich arbeiten lassen. Binances eigene Systeme haben die Abhebungen sauber signiert, weil die Anfragen von einer Stelle kamen, der das System vertraute.

Ganz so simpel, wie es klingt, war es allerdings dann doch nicht. Co-CEO Richard Teng stellte später klar, der Angreifer habe nicht bloß die Rechte eines einzelnen Ingenieurs missbraucht. Es habe sich um einen komplexeren Angriffsablauf gehandelt, keinen Ein-Klick-Coup. Laut der Live-Berichterstattung des Fachportals The Crypto Times hat Binance inzwischen weitere Einfallstellen entdeckt. Was genau passiert ist, soll ein technischer Abschlussbericht klären, den die Börse angekündigt hat. Bis dahin bleibt manches offen.

Die üblichen Verdächtigen sitzen in Pjöngjang

Bei der Frage nach den Tätern sind sich die Spurensucher erstaunlich schnell einig. TRM Labs ordnet den Angriff nach eigenen Angaben mit hoher Sicherheit der Gruppe TraderTraitor zu, einer Elite-Hackereinheit Nordkoreas. Auch Chainalysis kommt zu diesem Ergebnis. Dieselbe Gruppe hatte das FBI bereits für den Bybit-Raub verantwortlich gemacht.

Das passt ins Bild. Nordkorea hat sich über Jahre zum produktivsten Kryptodieb der Welt entwickelt. Nach einem Bericht von Chainalysis erbeuteten Hacker im Dienst des Regimes allein im Jahr 2025 digitale Werte von rund 2,02 Milliarden Dollar, bei weltweit gestohlenen 3,4 Milliarden. Analysten und UN-Beobachter gehen seit Langem davon aus, dass das Geld unter anderem in die Waffen- und Raketenprogramme fließt. Pjöngjang weist solche Vorwürfe regelmäßig zurück. Rechnet man die Binance-Beute dazu, dürfte dieser Abend Kims Bruttoinlandsprodukt von 17,2 Milliarden US-Dollar deutlich aufgewertet haben.

Eine Rangliste, auf die niemand stolz ist

Jahr Betroffene Plattform Schaden (ca.) Mutmaßliche Täter
2026 Binance 6,3 Mrd. Dollar TraderTraitor (Nordkorea)
2025 Bybit 1,5 Mrd. Dollar TraderTraitor (Nordkorea)
2022 Ronin Network (Axie Infinity) 615 Mio. Dollar Lazarus (Nordkorea)
2021 Poly Network 611 Mio. Dollar unbekannt
2022 BNB Chain Bridge (Binance) 570 Mio. Dollar unbekannt

Ein Detail aus der Tabelle verdient einen zweiten Blick: Binance steht nicht zum ersten Mal darin. Schon 2022 nutzten Angreifer einen Fehler in einer Cross-Chain-Brücke der hauseigenen BNB Chain und erbeuteten rund 570 Millionen Dollar - geradezu Kleingeld gegenüber dem aktuellen Hack.

Die Ironie der eingefrorenen Milliarden

Jetzt kommt der Teil, über den Krypto-Puristen ungern reden. Rund 3 Milliarden Dollar der Beute sind inzwischen eingefroren, davon etwa 2,3 Milliarden in den Stablecoins USDT und USDC. Möglich machten das die Herausgeber dieser Coins: Circle und Tether sperrten die betroffenen Bestände, auch Ripple fror rund 200 Millionen Dollar ein, und Yi He bedankte sich öffentlich zusätzlich beim Team von World Liberty.

Man muss das kurz sacken lassen. Ausgerechnet zentrale Firmen mit einem Sperrknopf retten in der größten Krise der Branche die Hälfte des Geldes. Das große Versprechen, niemand könne auf Ihr Geld zugreifen, gilt eben in beide Richtungen. Wo es einen Ausschalter gibt, gibt es auch jemanden, der ihn betätigen kann. In dieser Nacht war das ein Segen.

Eingefroren heißt allerdings noch nicht zurückgegeben. Bis die gesperrten Werte wieder bei Binance landen, kann es dauern. Und der Rest ist längst unterwegs: Der mutmaßliche Angreifer schob Vermögenswerte über dezentrale Handels- und Kreditplattformen weiter, wo es dann eben keinen zentralen Sperrknopf mehr gibt.

Wer zahlt die Zeche?

Binance hat versprochen, alle Verluste zu ersetzen, und zwar aus dem eigenen Notfallfonds SAFU (Secure Asset Fund for Users) sowie aus Firmenmitteln. Den SAFU-Fonds hat die Börse 2018 genau für solche Fälle eingerichtet. Laut Forbes liegen darin rund 15.000 Bitcoin, aktuell etwa 1,17 Milliarden Dollar wert. Die bittere Pointe dazu liefert Forbes gleich mit: Der Hacker besitzt jetzt mehr Bitcoin als der Notfallfonds, der Kunden vor Hackern schützen soll.

Reicht das? Je nach Rechnung stecken noch 2,9 bis 3,3 Milliarden Dollar ungesperrt in den Wallets der Angreifer. Den Löwenanteil muss Binance also aus der eigenen Bilanz stemmen. Forbes beziffert die Lücke auf etwa 2 Prozent der 144 Milliarden Dollar an Kundenvermögen, die Binance verwahrt. Sean Farrell vom Analysehaus Fundstrat sieht nach CNBC-Angaben derzeit kein ernsthaftes Risiko für die Zahlungsfähigkeit der Börse.

Die Märkte reagierten trotzdem ziemlich nervös. Bitcoin rutschte am Freitag um mehr als 4 Prozent auf knapp 78.000 Dollar. Der hauseigene Token BNB stürzte zeitweise um fast 10 Prozent ab, bevor er sich wieder etwas erholte. Laut dem Portal Cryptoticker wurden binnen einer Stunde Hebelpositionen im Wert von rund 628 Millionen Dollar zwangsaufgelöst.

Ob Binance die Lage im Griff hat, zeigt sich an ein paar konkreten Punkten: wie schnell die Auszahlungen wieder laufen, ob die Abflüsse danach geordnet bleiben, und ob der angekündigte Abschlussbericht überzeugend erklärt, wie ein einzelner Laptop bis zum Auszahlungssystem durchkam. Yi He stellte in Aussicht, die Auszahlungen bis Sonntag wieder aufzunehmen. Einzahlungen funktionieren laut Binance bereits normal.

Was ein Mittelständler aus dem Milliardenraub lernen kann

Man könnte das alles als Krypto-Drama abtun, das mit dem eigenen Firmenalltag nichts zu tun hat. Das wäre ein Fehler. Denn der Angriff zielte nicht auf exotische Blockchain-Technik, sondern auf etwas, das jedes Unternehmen hat: einen Mitarbeiter-Laptop mit weitreichenden Rechten.

Genau dieses Muster sehen wir auch im Agenturalltag, nur mit kleineren Summen. Der Laptop des Admins, auf dem SSH-Schlüssel, Deployment-Zugänge und gespeicherte Passwörter für alle Kundenserver liegen. Das API-Token, das seit drei Jahren nicht ausgetauscht wurde. Der Dienst, der im Hintergrund mehr darf, als er eigentlich braucht. Wer einen solchen Rechner übernimmt, muss keine Firewall knacken. Er geht einfach durch die Tür, für die er den Schlüssel gefunden hat.

Ein paar Grundsätze, die sich daraus ableiten lassen, und die nicht nur für Börsen gelten:

  • Rechte knapp halten: Jeder Zugang, jeder Dienst bekommt nur die Berechtigungen, die er wirklich braucht. Nicht mehr.
  • Kritische Aktionen trennen: Was Geld bewegt, Daten löscht oder Live-Systeme verändert, sollte eine zweite, unabhängige Freigabe brauchen.
  • Zugangsdaten befristen: Kurzlebige Tokens und regelmäßig erneuerte Schlüssel machen gestohlene Zugänge schnell wertlos.
  • Hardware-Schlüssel statt SMS-Code: Eine Zwei-Faktor-Anmeldung mit physischem Sicherheitsschlüssel lässt sich deutlich schwerer aushebeln.
  • Auffälligkeiten bremsen: Limits und Alarme für ungewöhnliche Vorgänge verschaffen Zeit. 20 Minuten können sonst seeeeehr lang sein.

Die Mathematik hat gehalten, der Mensch dahinter nicht

Kryptowährungen gelten als sicher, und in gewisser Weise stimmt das sogar. Kein Angreifer hat in dieser Nacht eine Verschlüsselung gebrochen oder eine Blockchain manipuliert. Er hat sich nur an den Schreibtisch gesetzt, an dem die Schlüssel benutzt werden.

Das ist die eigentliche Lehre aus dem bislang größten Kryptoraub der Geschichte: Die stärkste Kette der Welt hilft nichts, wenn jemand den passenden Schlüsselbund vom Tisch nimmt. Binance wird diesen Abend vermutlich finanziell überstehen. Spannend wird, ob der angekündigte Abschlussbericht ehrlich genug ausfällt, damit der Rest der Branche daraus lernt. Denn eines ist sicher: In Pjöngjang liest man solche Berichte sehr aufmerksam.

Quellen und weitere Informationen:


30.10.2026

RSS Newsfeed
Alle News vom TAGWORX.NET Neue Medien können Sie auch als RSS Newsfeed abonnieren, klicken Sie einfach auf das XML-Symbol und tragen Sie die Adresse in Ihren Newsreader ein!