Am 29. Oktober 2026, gegen 16:20 Uhr Eastern Time, begannen Gelder aus Binance-Hot-Wallets abzufließen, die niemand bei Binance genehmigt hatte. Als sich die Lage am nächsten Morgen beruhigte, bezifferte Chainalysis den Diebstahl auf etwa 6,4 Milliarden Dollar und Binance auf 6,3 Milliarden Dollar. Damit ist es der größte Krypto-Diebstahl aller Zeiten, etwa viermal so groß wie der Bybit-Hack, der seit Februar 2025 den Titel hielt. Die Schlagzeile ist brutal. Die interessantere Zahl ist die andere: Fast 3 Milliarden Dollar davon wurden innerhalb von Stunden on-chain eingefroren, und fast alles davon kam aus einer einzigen Quelle. Stablecoin-Emittenten drückten einen Knopf.
Dieser Knopf ist der Teil von Krypto, über den sich Krypto-Natives am liebsten beschweren. Diese Woche war er das Einzige, was funktionierte.
Was geschah beim Binance-Hack?
Binances erste Untersuchung deutet auf einen kompromittierten Laptop eines DevOps-Ingenieurs hin. Von dort aus erreichte der Angreifer einen Service-Container und reichte Auszahlungstransaktionen ein, die das System als legitim behandelte. Binance erklärte später, es habe zusätzliche Kompromittierungspunkte jenseits des Laptops gefunden und keine Hinweise auf ein Leck privater Wallet-Schlüssel gesehen. Eine vollständige Post-Mortem-Analyse wird versprochen, sobald die Fakten verifiziert sind. Co-CEO Richard Teng beschrieb indes etwas Chirurgischeres als einen Smash-and-Grab. Er sagte, der Angriff sei keine Ein-Klick-Aktion gewesen, der Angreifer habe einen Selbstzerstörungsmechanismus genutzt, um Spuren zu beseitigen. Und eine EIP-7702-Delegation habe dem Angreifer Ausführungsbefugnis über eine Hot Wallet gegeben und die normalen Genehmigungskontrollen umgangen. Blockaids Ido Ben Natan brachte es auf den Punkt: Das Upgrade gab Angreifern die Möglichkeit, dies in einem Durchgang zu erledigen. Ohne es hätte derselbe Drain viele separate Transaktionen erfordert, jede eine Gelegenheit für die Überwachung, anzuschlagen.Chainalysis und TRM Labs schreiben den Diebstahl beide TraderTraitor zu, der nordkoreanischen Einheit, die das FBI für den Bybit-Hack benannt hat. TRM gibt an, diese Ansicht mit hoher Konfidenz zu vertreten. Der On-Chain-Ermittler ZachXBT und Chainalysis fanden beide heraus, dass Binance-Erlöse mit Geldern aus dem Bitget-Exploit des letzten Monats vermischt wurden und über THORChain dieselbe Adresse erreichten. Derselbe Akteur, zweite Börse in etwa vier Wochen.
Wie beschleunigte EIP 7702 den Drain?
EIP 7702 wurde mit Ethereums Pectra-Upgrade ausgeliefert. Es ermöglicht einem gewöhnlichen externen Konto, seine Ausführung an Smart-Contract-Code zu delegieren, sodass eine normale Wallet Transaktionen bündeln, Gas sponsern oder benutzerdefinierten Ausgaberegeln folgen kann. Gemäß der EIP-7702-Spezifikation wird diese Delegation durch eine signierte Autorisierung festgelegt und bleibt in Kraft, bis sie ersetzt oder gelöscht wird.
Für Nutzer ist das eine Komfortfunktion. Für einen Angreifer, der eine gültige Autorisierung aus dem Inneren einer Börseninfrastruktur erhält, ist es ein Generalschlüssel mit eingebautem Batch-Prozessor. Anstatt Auszahlungen einzeln durch Genehmigungswarteschlangen zu schleusen, kann der delegierte Code eine Wallet in einem einzigen Durchlauf leeren. Ambires Ivo Georgiev wies auf das Folgerisiko hin: Ingenieure, die die Kontrolle über ein kompromittiertes Konto wiedererlangen, erkennen möglicherweise nicht, dass eine bösartige Delegation noch daran hängt.
Nichts davon bedeutet, dass EIP 7702 defekt ist. Es bedeutet, dass die Signierungsinfrastruktur von Börsen jetzt eine neue Klasse von Berechtigungen überwachen muss. Und mindestens einer der größten Betreiber der Branche hat nicht genau genug hingesehen.
Wer fror was ein, und wie schnell?
Chainalysis datierte die ersten Einfrierungen auf 17:14 Uhr Eastern Time, etwa 54 Minuten nach den ersten Abflüssen. Tethers Paolo Ardoino und Circles Jeremy Allaire veröffentlichten bereits Einfrierungssummen, bevor Binance überhaupt Auszahlungen gestoppt hatte. Hier ist, was die Emittenten und Protokolle meldeten.
| Einfrierende Partei | Asset | Eingefrorener Betrag | Einfriermechanismus |
|---|---|---|---|
| Tether | USDT | Mehr als 1,567 Milliarden Dollar | Emittenten-Blacklist im Token-Vertrag |
| Circle | USDC | Mehr als 800 Millionen Dollar | Emittenten-Blacklist im Token-Vertrag |
| Arbitrum Security Council | 74...6M ARB und 8.425 ETH | Etwa 30,5 Millionen Dollar | Notfall-Governance-Aktion auf Arbitrum |
| World Liberty Financial | USD1 und WLFI | 27 Millionen USD1, 2 Millionen WLFI | Emittenten-Blacklist |
| Ripple | RLUSD | Nicht offengelegt | Emittenten-Blacklist |
| First Digital | FDUSD | Nicht offengelegt | Emittenten-Blacklist |
| Niemand | ETH auf Mainnet, BTC | 0 $ | Existiert nicht |
Binances eigene laufende Summe erreichte etwa 3 Milliarden Dollar eingefroren. Chainalysis schätzt sie eher auf 2,8 Milliarden Dollar, und Elliptic schätzte, dass etwa 44 Prozent der gestohlenen Vermögenswerte eingefroren wurden, wobei Stablecoins fast alles davon ausmachten. Tether und Circle allein machen rund 2,37 Milliarden Dollar aus. Zieht man die Stablecoin-Emittenten ab, beläuft sich die kollektive Einfrieraktion der Branche auf einige zehn Millionen Dollar, größtenteils aus einer einzigen Notfallaktion des Arbitrum Security Council.
Warum konnten die Hacker die anderen 3 Milliarden Dollar behalten?
Weil die anderen 3 Milliarden Dollar Vermögenswerte waren – oder schnell wurden –, die niemand kontrolliert. Native ETH und BTC haben keinen Admin-Schlüssel und keine Blacklist-Funktion. Sobald gestohlener Wert dort liegt, bleiben nur Tracing, Börsenkooperation und Glück. Die Angreifer wussten das und handelten entsprechend. Chainalysis verfolgte etwa 500 Millionen Dollar in Stablecoins in eine Wallet, die für einen einzigen Zweck gebaut war: einfrierbare in nicht einfrierbare Assets umzuwandeln. In etwa 20 Minuten wurden 325 Millionen Dollar in Stablecoins zu 285 Millionen Dollar in ETH. Etwa zehn Minuten später wurden die verbleibenden 175 Millionen Dollar auf Zwischenwallets verschoben. TRM Labs sagt, die Angreifer hätten auch USDT an Market Maker verkauft und ETH gegen Stablecoin-Sicherheiten geliehen.Interessanterweise traf diese letzte Taktik Aave direkt. Etwa 40 Minuten bevor die Einfrierungen eintrafen, hinterlegte der Exploiter 60 Millionen USDT und lieh sich etwa 19.762 WETH im Wert von rund 44,6 Millionen Dollar. LlamaRisk bestätigte, dass die Position überbesichert war und kein Risiko für Einleger darstellte. Aave fror dennoch vorsorglich 175 V3-Reserven in 16 Netzwerken und 117 V4-Reserven in vier Netzwerken ein und reaktivierte Kreditvergabe und -aufnahme am 30. Oktober. Die Handelslogik ist düster clever: USDT einzahlen, das eingefroren werden könnte, mit ETH davonlaufen, das es nicht kann, und das Lending-Protokoll mit dem schwarzen Listen belasteten Collateral zurücklassen.
Unsere Analyse der Chainalysis-Flow-Daten zeigt, was Geschwindigkeit dem Angreifer wert war. Der Tausch von 325 Millionen Dollar Stablecoins in 285 Millionen Dollar ETH kostete etwa 40 Millionen Dollar, ein Abschlag von 12,3 Prozent durch Slippage und hastige Ausführung. Mehr als einen Dollar von acht zu zahlen, um der Einfrierliste zu entkommen, zeigt, wie ernst Nordkoreas Operatoren Tethers und Circles Reaktionszeit nehmen. Chainalysis markierte auch Tausende automatisierte Transaktionen, wobei viele frische Adressen zuerst genau 1 TRX erhielten, und Levin sagte, große Summen seien an Tron-Adressen bewegt worden.
Binance-Hack vs. Bybit-Hack – was hat sich geändert?
| Metrik | Bybit (Februar 2025) | Binance (Oktober 2026) |
|---|---|---|
| Gestohlener Betrag | Etwa 1,5 Milliarden Dollar | 6,3 bis 6,4 Milliarden Dollar |
| Zugeschrieben an | TraderTraitor (FBI) | TraderTraitor (Chainalysis, TRM Labs) |
| Einstiegspunkt | Kompromittierte Entwicklermaschine bei einem Wallet-Anbieter | Kompromittierter DevOps-Ingenieur-Laptop, plus weitere Kompromittierungspunkte |
| Gestohlene Asset-Mischung | Hauptsächlich ETH und gestaktes ETH | Großer Stablecoin-Anteil plus ETH, BTC und andere Token |
| Eingefrorener Anteil | Ein kleiner Bruchteil | Etwa 44 bis 48 Prozent |
| Erste Emittenten-Einfrierungen | Begrenzt, wenige einfrierbare Assets | Etwa 54 Minuten nach den ersten Abflüssen |
Der Kontrast ist die Geschichte. Bybit verlor fast ausschließlich nicht einfrierbares ETH, und die Wiederherstellungsbemühungen bestanden größtenteils darin, zuzusehen, wie es gewaschen wurde. Binance verlor einen weit größeren Haufen, aber ein weit größerer Teil davon lag in Token mit einem Emittenten dahinter. Je mehr von einer Hot Wallet einer Börse in zentral ausgegebenen Stablecoins gehalten wird, desto mehr eines Diebstahls kann zurückgeholt werden. Das ist eine unangenehme Lektion für alle, die Stablecoins als „Krypto ohne die Volatilität“ verkauft und den Teil „mit einem Kill Switch“ ausgelassen haben.
Sind Binance-Kunden abgesichert?
Binance sagt ja. Mitgründer Yi He sagte, die Börse werde alle Verluste decken, und Changpeng Zhao postete, er erwarte, dass Nutzergelder vollständig gedeckt würden. Binance sagt, es habe mehr als 6,34 Milliarden Dollar an Unternehmensgeldern zurückgelegt, von denen etwa 5 Milliarden bereits in denselben Token gehalten werden, die gestohlen wurden. Den Rest kauft es außerbörslich und an Börsen und warnt, dass dünne Liquidität einige Käufe verlangsamen könnte.
Überraschenderweise funktionierten Einzahlungen weiter. Auszahlungen wurden am 29. Oktober um 18:55 Uhr Eastern Time pausiert, und die neueste Anleitung zielt auf einen schrittweisen Neustart innerhalb von etwa 40 Stunden nach Binances Update vom 30. Oktober, das an diesem Wochenende eintrifft. Ein aktualisierter Proof of Reserves wird bis Montag erwartet. Binance arbeitet Berichten zufolge mit dem FBI zusammen.
Nur zur Info: Gegenparteien legten ihre Exposition schnell offen. Wintermute sagte, seine Exposition betrage weniger als 20 Prozent des Netto-Eigenkapitals, und GSR sagte weniger als 5 Prozent. Bybit bestätigte, nicht betroffen zu sein.
Wie reagierte der Krypto-Markt?
Schlecht, obwohl der Hack an einem ohnehin wackeligen Tag nach einer Fed-Pause und schwachen Tech-Earnings landete. Bis zum 30. Oktober zeigten CoinGecko-Daten Bitcoin 4,9 Prozent im 24-Stunden-Vergleich gefallen auf etwa 76.937 Dollar. Ether fiel 5,7 Prozent auf rund 2.211 Dollar. BNB verlor 8 Prozent auf etwa 693 Dollar, AAVE verlor 11,3 Prozent und UNI 10,7 Prozent. Der Bitcoin Fear and Greed Index fiel auf 30, den niedrigsten Stand seit August.
Was das für alle bedeutet, die Krypto an einer Börse halten
Ein paar praktische Erkenntnisse, keine davon neu, alle frisch unterstrichen. Noch wichtiger: Börsenguthaben sind eine Schuldverschreibung. Binance scheint einen Verlust von 6 Milliarden Dollar verkraften zu können. Sehr wenige Betreiber auf der Welt könnten das. Auszahlungspausen passieren selbst, wenn die Börse solvent ist, und sie passieren genau dann, wenn Sie Ihre Coins am meisten brauchen.Stablecoin-Einfrierungen schneiden in beide Richtungen. Dieselbe Blacklist, die hier rund 2,4 Milliarden Dollar rettete, ist diejenige, die eine unschuldige Wallet sperren kann, die zufällig belastete Gelder erhielt. Wenn Sie nach einem großen Hack USDT oder USDC aus unbekannter Quelle erhalten, prüfen Sie die Absenderadresse gegen öffentliche Tracker, bevor Sie sie weiterbewegen.
Prüfen Sie Ihre eigenen EIP-7702-Delegationen. Wenn Sie eine Smart-Wallet-Funktion auf Ethereum genutzt haben, überprüfen Sie, welche Delegationen Ihre Konten tragen, und löschen Sie die, die Sie nicht erkennen. Eine bösartige Delegation kann den Moment überleben, in dem Sie die Kontrolle wiedererlangt haben.
Halten Sie untätige Gelder in Selbstverwahrung. Das gilt für Handelskonten und Glücksspielguthaben gleichermaßen. Plattformen wie CryptoCasino.Vegas, die Gewinne direkt an die eigene Wallet des Spielers auszahlen, machen das Prinzip einfach zu befolgen: Je weniger Zeit Ihre Coins in der Hot Wallet eines anderen verbringen, desto weniger kann ein kompromittierter Laptop auf der anderen Seite der Welt Sie kosten.
Die endgültige Wiederherstellungszahl wird sich mit fortschreitendem Tracing bewegen, und die Geschichte sagt, sie bewegt sich nach unten, nicht nach oben. Levins eigene Zusammenfassung der Waschphase ist die richtige, die man sich merken sollte: Je weiter Gelder reisen, desto weniger Beschlagnahmemöglichkeiten gibt es. Der Einfrierknopf holte fast die Hälfte innerhalb einer Stunde zurück. Alles danach ist eine Verfolgungsjagd.
