Binance-Hack: So haben Angreifer 6,3 Milliarden Dollar erbeutet – einfach erklärt

Der Kryptomarkt hat eine harte Woche hinter sich. Am Abend des 29. Oktober 2026 haben Angreifer bei Binance, der größten Kryptobörse der Welt, rund 6,3 Milliarden US-Dollar in Kryptowährungen erbeutet. Es ist der größte Krypto-Diebstahl, der je bekannt wurde, etwa viermal so groß wie der Bybit-Hack vom Februar 2025. Bitcoin fiel danach um rund 5 Prozent und rutschte zeitweise unter 78.000 Dollar. Hier erklären wir Schritt für Schritt und ohne Fachchinesisch, was passiert ist.

Das Wichtigste in Kürze

• Was: Unbekannte haben die „Hot Wallets“ von Binance auf zehn Blockchains leergeräumt. Den Großteil holten sie in rund 20 Minuten.
• Wie: Den Generalschlüssel haben die Angreifer nicht gestohlen. Sie haben Binances eigenes System dazu gebracht, ihre Auszahlungen zu unterschreiben. Ausgangspunkt war laut Binance vermutlich der gehackte Laptop eines Technik-Mitarbeiters.
• Wer: Das FBI macht die nordkoreanische Hackergruppe TraderTraitor verantwortlich.
• Kundengeld: Binance verspricht, den gesamten Schaden selbst zu tragen. Rund 3 Milliarden Dollar sind eingefroren.
• Auszahlungen: Binance wollte sie am 1. November schrittweise wieder freigeben.

Erst mal die Grundlagen: Was ist eine Hot Wallet?

Eine Kryptobörse bewahrt das Geld ihrer Kunden nicht an einem einzigen Ort auf. Der allergrößte Teil liegt in sogenannten Cold Wallets. Das sind digitale Tresore, die nicht mit dem Internet verbunden sind. Damit Kunden aber jederzeit Geld abheben können, hält die Börse einen kleineren Teil in Hot Wallets bereit. Die sind ständig online und funktionieren wie die Kasse in einer Bankfiliale.

Jede Auszahlung aus einer Wallet braucht eine digitale Unterschrift. Die erzeugt ein Signiersystem mit dem privaten Schlüssel der Wallet. Wer diese Unterschrift bekommt, kann das Geld bewegen. Genau dort setzten die Angreifer an.

So lief der Angriff ab

Schritt 1 – der Laptop: Laut Binance begann der Angriff vermutlich mit dem Laptop eines DevOps-Mitarbeiters. DevOps-Leute betreuen die Server und Abläufe hinter der Börse und haben deshalb weitreichende Zugänge. Wie der Laptop infiziert wurde, ist noch nicht bekannt.

Schritt 2 – der interne Dienst: Vom Laptop aus erreichten die Angreifer einen sogenannten Service-Container. Das ist ein kleines Programm in Binances Infrastruktur, das Auszahlungen anstößt. Co-Chef Richard Teng betont, der Angreifer habe „nicht einfach die Rechte eines Mitarbeiters genutzt“. Es sei keine „Ein-Klick-Aktion“ gewesen. Inzwischen hat Binance „weitere Einbruchstellen“ gefunden.

Schritt 3 und 4 – die Unterschriften: Über diesen Dienst schickten die Angreifer unerlaubte Auszahlungsaufträge ab. Binances Signiersystem hat sie unterschrieben, als wären es echte. Die Analysefirmen TRM Labs und Elliptic kommen beide zu diesem Schluss: Die Angreifer haben nicht die Schlüssel gestohlen, sondern Binances eigene Systeme für sich unterschreiben lassen. Binance sagt entsprechend, es gebe „keine Hinweise auf ein Leck privater Schlüssel“.

Das klingt beruhigend, ist es aber nicht. Ein Vergleich: Die Bank hat den Tresorschlüssel nicht verloren. Aber jemand hat dem Kassierer gefälschte Auszahlungsbelege untergeschoben, und der hat sie alle abgestempelt.

Der Ethereum-Trick: EIP-7702 als Generalvollmacht

Auf neun der zehn Blockchains ließen die Angreifer einfach ganz normale Überweisungen unterschreiben. Auf Ethereum, wo mit 3,8 Milliarden Dollar das meiste Geld lag, nutzten sie eine raffiniertere Methode: EIP-7702.

EIP-7702 ist eine offizielle Erweiterung von Ethereum. Damit kann ein normales Wallet vorübergehend wie ein Programm arbeiten, zum Beispiel um mehrere Zahlungen auf einmal zu erledigen. Dafür unterschreibt der Besitzer eine Art Vollmacht: „Dieses Wallet führt ab jetzt Programm X aus.“ Die Ethereum-Spezifikation warnt selbst, dass ein bösartiges Programm so die „fast vollständige Kontrolle“ über ein Wallet übernehmen kann.

Die Angreifer hatten laut TRM Labs und dem Sicherheitsdienst Blockaid 50 solcher Vollmachten im Voraus von Binances System unterschreiben lassen. Sie zielten alle auf die Hot Wallet „Binance 14“. Mehrere waren nötig, weil jede Vollmacht nur zu einem bestimmten Zählerstand des Wallets passt. Eine davon passte, und so führte „Binance 14“ plötzlich das Programm der Angreifer aus. Dieser sogenannte Sweeper (Kehrbesen) schob den gesamten Inhalt auf eine Adresse der Angreifer: 167.464 Ether und 63 weitere Token, darunter 1,6 Milliarden Dollar in der Stablecoin USDT.

Der Angriff im Zeitraffer

Der Angriff war gründlich vorbereitet. Laut TRM Labs begann die Vorbereitung mindestens 36 Stunden vorher. Schon am Morgen des 28. Oktober bekam die Wallet der Angreifer drei kleine Beträge über Tornado Cash, einen Dienst, der die Herkunft von Kryptogeld verschleiert. Dann ging alles sehr schnell: Ab 20:05 UTC flossen die ersten Gelder ab, um 20:24 UTC folgte der große Schlag auf Ethereum und Bitcoin. Gegen 23 Uhr traf eine zweite Welle Avalanche und Polygon. Erst um 00:13 UTC meldete Binance öffentlich, dass alle Ein- und Auszahlungen gestoppt sind.

Wie viel wo gestohlen wurde

Gezählt hat das die Analysefirma TRM Labs. Bei Bitcoin waren es 18.270 BTC, bei Tron, dem XRP Ledger und Solana jeweils deutlich weniger. Zusammen kommen rund 6,36 Milliarden Dollar zusammen, Binance selbst spricht von etwa 6,3 Milliarden.

Wo das Geld jetzt ist

Ein Teil der Beute war schnell blockiert. Stablecoins wie USDT und USDC sind an den Dollar gekoppelt und werden von Firmen herausgegeben, die einzelne Adressen sperren können. Tether fror schon um 21:01 UTC rund 971 Millionen USDT ein, Circle drei Minuten später 823 Millionen USDC. Insgesamt sind laut Binance rund 3 Milliarden Dollar eingefroren. Wie Stablecoins funktionieren, erklären wir auch in unserem Erfahrungsbericht zur Kast Card.

Bitcoin und Ether kann dagegen niemand einfrieren. Das FBI berichtet, dass die Täter die Beute in Ether umtauschen, um sie danach weiter zu waschen. Die Analysefirma Chainalysis hat außerdem gesehen, dass sich Gelder aus dem Hack der Börse Bitget vom September 2026 mit der Binance-Beute vermischen. Bis aus Kryptogeld echtes Bargeld wird, kann es Wochen bis Jahre dauern.

Wer steckt dahinter?

Das FBI hat am 31. Oktober Nordkorea als Täter benannt, genauer die staatliche Hackergruppe TraderTraitor, die zur bekannten Lazarus-Gruppe gezählt wird. TRM Labs, Chainalysis und Elliptic waren schon vorher zum selben Schluss gekommen. Die Muster passen zu früheren Raubzügen wie bei Bybit: kleine Tornado-Cash-Beträge als Startgeld, lange Vorbereitung und Unterschriften, die vorab beschafft und dann in einem Rutsch eingesetzt werden.

TraderTraitor geht laut US-Behörden typischerweise so vor: Die Gruppe schreibt gezielt Entwickler und Admins an, oft mit gefälschten Jobangeboten. Als „Bewerbungstest“ sollen die Opfer dann ein präpariertes Programm ausführen. Ob es bei Binance genauso lief, ist nicht bestätigt.

Was bedeutet das für Binance-Kunden?

• Schaden trägt Binance: „Binance wird die finanziellen Folgen dieser gestohlenen Gelder tragen, nicht unsere Nutzer“, heißt es in einer Erklärung. Dafür greift die Börse auf ihren Notfallfonds SAFU, einen Teil des Futures-Versicherungsfonds und eigene Firmengelder zurück.
• Großteil schon ersetzt: Nach eigenen Angaben sind 90 Prozent der gestohlenen Bestände bereits ersetzt. Die zehn wichtigsten Coins, darunter BTC, ETH, USDT, BNB, SOL und XRP, seien wieder zu 100 Prozent gedeckt. Den Rest kauft Binance nach.
• Auszahlungen: Sie sollten am 1. November schrittweise wieder starten, zuerst für die großen Coins und nach Sicherheitsprüfungen. Einen vollständigen Reservenachweis kündigt Binance bis zum 3. November an.
• Selbstauskunft: Alle Zahlen zur Deckung stammen von Binance selbst und sind noch nicht unabhängig geprüft.

Was du jetzt tun solltest

• Keine Panik-Verkäufe: Wer bei Binance Guthaben hat, verliert nach jetzigem Stand nichts. Behalte aber die offiziellen Meldungen im Blick.
• Vorsicht vor Betrügern: Nach großen Hacks tauchen sofort gefälschte „Erstattungs“-Mails, -SMS und -Webseiten auf. Gib nie deine Zugangsdaten oder Wiederherstellungswörter ein und klicke keine Links in solchen Nachrichten an.
• Nicht alles auf einer Börse lassen: Eine Börse ist kein Tresor. Größere Beträge, die du nicht handeln willst, gehören in eine eigene Wallet, idealerweise eine Hardware-Wallet, deren Wiederherstellungswörter nur du kennst.
• Zwei-Faktor-Schutz und Adress-Whitelist: Aktiviere beides bei jeder Börse. Das hätte diesen Angriff nicht verhindert, schützt aber dein eigenes Konto.

Einordnung

Der Binance-Hack zeigt, wo die eigentliche Schwachstelle großer Kryptobörsen liegt: nicht in der Blockchain und nicht in der Verschlüsselung, sondern in den Menschen und Abläufen drumherum. Ein einziger kompromittierter Laptop reichte offenbar als Einstieg, und das Signiersystem hat unterschrieben, was es vorgelegt bekam. Sicherheitsforscher fordern deshalb, dass Signiersysteme selbst prüfen, was sie unterschreiben. Unerwartete EIP-7702-Vollmachten oder 50 Unterschriften auf einen Schlag hätten Alarm auslösen müssen.

Für Kunden ist entscheidend, ob die Auszahlungen jetzt reibungslos laufen und der angekündigte Reservenachweis hält. Wie genau der Laptop gehackt wurde, soll Binances angekündigter Abschlussbericht klären. Den Artikel aktualisieren wir, sobald er vorliegt.

Quellen: CNBC: Binance says 90% of $6.3 billion hack losses are now covered; CNBC: Binance’s $6.3 billion hack – what we know; Stingrai: How the $6.3B Theft Happened (mit Zitaten von Binance, TRM Labs und Elliptic); Penligent: Binance Hot Wallet Theft and EIP-7702; Wikipedia: 2026 Binance hack. Stand: 1. November 2026, morgens. Titelbild und Zeichnung: KI-generiert (Symbolbilder), Diagramme: mytech-home.de.