Die weltweit größte Kryptowährungsbörse wurde Opfer eines Hackerangriffs, bei dem 6,3 Milliarden US-Dollar gestohlen wurden.

Am 30. Oktober Ortszeit bestätigte Binance, die weltweit größte Kryptowährungsbörse, öffentlich, dass Kryptowährungsvermögen im Wert von 6,3 Milliarden US-Dollar von Hackern gestohlen wurde.

Dies ist der größte Kryptowährungsdiebstahl in der Geschichte.

Die Nachricht erschütterte den Kryptomarkt, der Preis von Bitcoin fiel zeitweise auf den niedrigsten Stand seit sechs Wochen bei rund 76.000 US-Dollar pro Stück. Am selben Tag erklärte der US-Präsident Donald Trump öffentlich, dass die US-Regierung den Hackerangriff auf Binance untersuche.

Binance wurde 2017 von Zhao Changpeng und He Yi gegründet und startete im Juli desselben Jahres offiziell seine Handelsplattform. Das Unternehmen wurde innerhalb weniger Jahre zur Kryptowährungsbörse mit dem größten Handelsvolumen weltweit. Nachdem FTX, der zweitgrößte Kryptowährungsbörse der Welt und Hauptkonkurrent von Binance, im November 2022 zusammenbrach und bankrottging, festigte Binance seine führende Position weiter.

In den vergangenen Jahren geriet Binance jedoch in vielen Teilen der Welt in rechtliche Turbulenzen. Im Jahr 2023 räumte Binance ein, gegen die US-amerikanischen Geldwäschegesetze verstoßen zu haben, und zahlte eine Geldstrafe von 4,3 Milliarden US-Dollar an die US-Regierung. Zhao Changpeng wurde zu vier Monaten Bundesgefängnis verurteilt. Nach seiner Freilassung erhielt Zhao Changpeng eine Begnadigung von Donald Trump. Der chinesische Festland verbietet den Handel mit virtuellen Währungen ausdrücklich.

Binance versuchte, das Vertrauen des Marktes zu stärken. Nach seinen Angaben wurde etwa die Hälfte der betroffenen Vermögenswerte im Blockchain-Netzwerk eingefroren, aber mehr als die Hälfte befindet sich noch in den Händen der Hacker. Das Unternehmen versprach, mit eigenen Mitteln „alle Verluste zu tragen“. Bis zur Veröffentlichung dieses Artikels gab Binance an, 90 % der gestohlenen Vermögenswerte wieder aufgefüllt zu haben, und die Auszahlungen sollen voraussichtlich am Sonntag wieder aufgenommen werden.

Aber Cristiano Ventricelli, Vizepräsident der Abteilung für dezentrale Finanzen und digitale Vermögenswerte bei Moody’s Ratings, sagte gegenüber der Zeitschrift Caijing, dass dieser Vorfall hervorhebt, dass die mit Hot Wallets verbundenen Cybersicherheitsrisiken steigen – eine Gefahr, die bereits beim früheren Hackerangriff auf die Kryptowährungsbörse Bybit offengelegt wurde. Gleichzeitig zeigt er das inhärente Risikokonzentrationsproblem großer zentraler Vermittler auf. Strengere institutionelle Kontrollen können zwar einige Risiken verringern, aber das Volumen der verwahrten Vermögenswerte kann die Auswirkungen eines Eindringens verstärken.

Nach von dem Federal Bureau of Investigation (FBI) veröffentlichten Informationen stahlen Hacker im Februar 2025 rund 1,5 Milliarden US-Dollar von der in Dubai ansässigen Kryptowährungsbörse Bybit. Vor diesem Angriff war dies der größte Kryptowährungsdiebstahl.

Nach Ansicht von Cristiano Ventricelli hängen die breiteren Kredit- und Branchenauswirkungen des Angriffs auf Binance von der endgültigen Verlustsumme, den betroffenen Gegenparteien und der Rückgewinnung der Vermögenswerte ab. Besonders entscheidend ist, ob dieser Vorfall zu einer kettenartigen Verwirrung oder einem Vertrauenszusammenbruch im gesamten Ökosystem digitaler Vermögenswerte führen wird.

01

6,3 Milliarden US-Dollar wurden innerhalb von 20 Minuten transferiert

Am 29. Oktober Ortszeit übertrug ein Angreifer rund 6,3 Milliarden US-Dollar aus Binance-Wallets, die sich auf zehn Blockchains befanden, darunter Ethereum, Bitcoin, Tron, Ripple, Solana, Arbitrum, Avalanche, Optimism, Base und Polygon, wobei völlig unterschiedliche zugrundeliegende Signatursysteme zum Einsatz kamen.

Auffällig ist, dass der Großteil der Kryptowährungen innerhalb von nur 20 Minuten transferiert wurde. Das bedeutet, dass der Kampf gegen die Hacker ein „Wettlauf gegen die Zeit“ war.

Die vorläufige Untersuchung von Binance ergab, dass der Laptop eines DevOps-Ingenieurs kompromittiert wurde. Der Angreifer erlangte dadurch Zugriff auf die Service-Container und reichte unbefugte Auszahlungstransaktionen ein. Später entdeckte Binance weitere Sicherheitslücken, behauptete aber, es gebe keine Beweise für eine Offenlegung von privaten Schlüsseln.

Die Blockchain-Analysefirma TRM Lab kam nach einer Rückschau auf den Prozess zu dem Schluss, dass die Angriffsvorbereitungen mindestens 36 Stunden vor dem Diebstahl begannen. Die Betriebsbrieftasche des Angreifers erhielt ab dem Morgen des 28. Oktober drei kleine Auszahlungen von Tornado Cash, einem Dienst, der die Herkunft von Kryptowährungen verbirgt. Am frühen Morgen des 29. Oktober setzte der Betreiber den ersten Teil des Angriffscodes ein und testete ihn auf zwei Wallets. Später am Tag übten sie die endgültige Version auf einem dritten Wallet und überwiesen dann die Testgelder zurück an ihre eigenen Wallets. Vier Stunden nach der Übung wurde derselbe Code in einer Binance-Hot-Wallet installiert.

Hot Wallets sind Wallets, die mit dem Internet verbunden sind. Börsen nutzen sie, um Auszahlungen von Kunden zu bearbeiten, und die Ethereum-Hot-Wallet ist eine der bekanntesten Wallets von Binance.

Dieser Angriff nutzte die EIP-7702-Delegation, einen Mechanismus, der bei einem großen Netzwerk-Upgrade von Ethereum im Mai 2025 eingeführt wurde. Er ermöglicht es normalen Wallets, die Kontrolle über ihre Handlungen durch die Unterzeichnung einer Vollmacht an Smart Contracts zu übergeben. Danach führt jeder Aufruf der Wallet den Code dieses Contracts aus. Diese Vereinbarung bleibt gültig, bis die Wallet eine neue Vollmacht unterzeichnet.

Anhand früherer Aktivitätsanzeichen auf Ethereum vermutet TRM Lab, dass der Angreifer möglicherweise die Autorisierungsinformationen auf Ethereum durch Phishing gestohlen hat. Im selben Zeitraum übertrugen fünf Binance-Wallets (auf dem XRP-Ledger, Arbitrum, Avalanche, Optimism und Base-Chain), eine Binance-Bitcoin-Hot-Wallet, eine Binance-Tron-Hot-Wallet und eine Binance-Solana-Wallet Gelder an den Angreifer durch Standard-Signaturtransaktionen. Eine weitere Binance-Ethereum-Hot-Wallet übertrug auf dieselbe Weise 28.006 ETH, 55,7 Millionen USDT und 25,9 Millionen RLUSD ohne jegliche Delegation. Etwa zweieinhalb Stunden später führten die Wallets von Binance auf den Avalanche- und Polygon-Chain ähnliche Überweisungen durch.

Diese Wallets nutzen unterschiedliche Blockchains, Schlüsseltypen und Signaturschemata. Alle Wallets erzeugten innerhalb von etwa einer halben Stunde gültige Signaturen für den Angreifer. Nach der Bewertung von TRM ist es am wahrscheinlichsten, dass der Angreifer die Fähigkeit erlangt hat, das Signatursystem von Binances Hot-Wallet dazu zu bringen, die von ihm ausgewählten kettenübergreifenden Transaktionen zu signieren.

Die Emittenten von Stablecoins handelten schnell: 37 Minuten nach Beginn des Hackerangriffs froren Tether, Circle, Ripple und die von der Familie Trump gehaltene World Liberty Financial nacheinander Stablecoins im Wert von rund 2,67 Milliarden US-Dollar ein. Der Sicherheitsrat von Arbitrum fror ebenfalls Ethereum und ARB im Wert von rund 30 Millionen US-Dollar ein, was insgesamt rund 2,7 Milliarden US-Dollar entspricht. Der Angreifer kontrolliert jedoch nach wie vor mehr als 420.000 Ethereum und 18.270 Bitcoin im Wert von rund 2,4 Milliarden US-Dollar, zusätzlich zu kleinen Vermögenswerten auf anderen Chains.

Stablecoin-Emittenten wie Circle oder Tether zerstören zuerst die eingefrorenen Stablecoins, sodass die Hacker sie nicht erlangen können. Dann können sie neue Stablecoins neu ausgeben, die bei legitimen Regierungsbehörden hinterlegt und dann an Binance zurückgegeben werden können.

Aber die Hacker reagierten sehr schnell: Sie nutzen Kryptoverwischungstechniken und globale Geldwäschenetzwerke, um Kryptowährungen in Fiat-Währungen umzuwandeln.

In den ersten Stunden wandelte der Angreifer Stablecoins, die möglicherweise eingefroren werden könnten, zu sehr hohen Kosten mit Rabatt in Kryptowerte um, die von den Emittenten nicht verfolgt werden können. Rund 325 Millionen USDT wurden an professionelle Market Maker und Limit-Order-Händler verkauft oder verpfändet, um rund 122.300 Ethereum zu erhalten. Das entspricht einem Rabatt von über 10 %.

Bemerkenswert ist, dass die Blockchain-Analysefirma Chainalysis ein bisher unentdecktes Geldwäschemuster gefunden hat: Die gestohlenen Gelder zirkulieren wiederholt zwischen verschiedenen Adressen und kehren häufig zu zuvor genutzten Wallets zurück. Dies könnte auf automatisierte Operationen hindeuten, um Ermittler zu verwirren. Chainalysis stellte außerdem fest, dass diese Gelder mit den Erträgen aus dem Exploit des Digital Asset-Handelsplatzes Bitget im September vermischt sind, was darauf hindeutet, dass es sich möglicherweise um dieselben Hacker handelt.

Idan Ofrat, Chief Product Officer und Mitbegründer der Plattform für digitale Vermögenswerte und Sicherheitsinfrastruktur Fireblocks, sagte gegenüber Caijing, dass die wichtigste Lehre aus diesem Vorfall lautet: Kein einzelner Entwickler oder Betriebsrechner sollte das einseitige Recht haben, Wallet-Berechtigungen zu implementieren oder zu ändern.

Seiner Ansicht nach zeigt die Binance-Lücke, dass Sicherheit nicht auf Grenzverteidigung oder implizitem Vertrauen in interne Entwicklungstools beruhen darf. Um institutionelle Vermögenswerte zu schützen, muss jedes Endgerät oder Server als potenziell kompromittierter Punkt betrachtet werden. Betriebsrollen müssen getrennt werden, strenge Quorum-Mechanismen für Richtlinien müssen umgesetzt werden, und mit Hilfe von Echtzeit-Transparenz bei Transaktionen können unbefugte Signaturen abgefangen werden, bevor sie an die Blockchain gesendet werden. Diese Kontrollen sind nur wirksam, wenn sie korrekt konfiguriert sind, daher sollten sie kontinuierlich überprüft werden – nicht nur bei der ersten Einrichtung.

02

KI verbessert die Fähigkeiten von Hackern erheblich

Kryptowährungsbörsen verwahren Kundenvermögen im Wert von mehreren Milliarden US-Dollar und gehören seit jeher zu den Hauptzielen von Hackerangriffen, da die Gewinne aus Angriffen auf Börsen direkt und schnell anfallen. Der Verlust von Binance übersteigt jedoch bei weitem alle früheren ähnlichen Angriffe.

Besonders besorgniserregend für Investoren ist, dass in einer Ära, in der KI-Modelle alle zwei Wochen veröffentlicht werden, die Fähigkeit von Hackern, Handelslücken zu entdecken und Angriffe zu starten, rasch zunimmt, sodass die Sicherheitsprobleme im Kryptowährungsbereich besonders gravierend werden.

Ofrat analysierte, dass der Oktober ein wichtiger Monat für den Bereich Cybersicherheit war, da mehrere schwerwiegende Lücken offengelegt wurden, darunter php2shell, HTTP2Shell und der Einbruch in die Zertifizierungsstelle eMudhra. KI stärkt die Fähigkeiten von Angreifern und kann die Entdeckung von Sicherheitslücken beschleunigen. Genau diese verbesserten Tools und Lücken ermöglichten es Angreifern, den ersten Standpunkt auf dem Ingenieur-Rechner zu erlangen – genau dort begann der Angriff auf Binance.

„Alle Kryptowährungsunternehmen müssen eine Sicherheitslage aufbauen, die den kommenden Wellen von Vorfällen in den nächsten Monaten standhalten kann“, sagte Ofrat.

Andere kürzliche Fälle von Cyberangriffen erreichten nicht das Ausmaß von Binance.

Ende September wurde die Kryptowährungsbörse Bitget von Hackern angegriffen. Die Angreifer nutzten eine „Zero-Day-Lücke“ in einem Drittanbieter-Sicherheitsprodukt, das die Börse verwendete, um erfolgreich in die Infrastruktur von Bitget einzudringen. Dadurch wurden Vermögenswerte in einigen Hot- und Warm-Wallets auf mehreren Chains unbefugt transferiert. Der durch diesen Vorfall verursachte Verlust belief sich auf rund 388 Millionen US-Dollar. Bitget ergriff nach dem Vorfall Gegenmaßnahmen und aktivierte Mechanismen wie einen Schutzfonds, um Risiken zu bewältigen und zu versuchen, betroffene Nutzer zu entschädigen, um das Vertrauen in die Plattform aufrechtzuerhalten.

Ende Oktober wurde Polymarket, eine blockchainbasierte Prognosemarktplattform, einem schwerwiegenden Cyberangriff ausgesetzt. Hacker nutzten eine Lücke bei einem Drittanbieterdienstleister, den die Plattform verwendete, um einzudringen. Die Angreifer stahlen Gelder aus den Konten einiger Händler. Es wird geschätzt, dass etwa 700 Nutzer betroffen waren und der gesamte gestohlene Betrag bei rund 2,7 Millionen US-Dollar liegt. Nach der Entdeckung des Sicherheitsproblems und dessen Behebung hat Polymarket den Handel wieder aufgenommen und versprochen, die betroffenen Nutzer zu entschädigen.

Nach dem Vorfall um Binance verstärkten die wichtigsten globalen Kryptowährungsbörsen eilig ihre Sicherheitsmaßnahmen und versicherten ihren Kunden, dass ihre Gelder sicher sind.

He Yi, Mitbegründerin von Binance, erklärte in sozialen Medien, dass Binance mit globalen Strafverfolgungsbehörden zusammenarbeiten werde, um das Angriffsteam zu ermitteln und die gestohlenen Gelder zurückzuerhalten, und gleichzeitig die Investitionen in Sicherheit erhöhen werde.

Will Megson, Vice President of Product bei der Kryptowährungsbörse Coinbase, erklärte öffentlich, dass das Unternehmen seine Handyschutzfunktion „umfangreich aktualisiert“ habe, um „Nutzer vor betrügerischen Anrufen zu schützen“. Er sagte: „Betrüger versuchen normalerweise, Opfer am Telefon anzuleiten, ihre Einstellungen zu ändern.“

Aufgrund der Branchenposition von Binance wird dieser Diebstahl voraussichtlich wichtige Auswirkungen auf die gesamte Branche haben. Nutzer tauschen traditionelle Währungen über Börsen wie Binance in Bitcoin, Ethereum und andere Arten von Kryptowährungen um. Binance übernimmt auch eine ähnliche Rolle wie eine Bank. Kunden speichern Vermögenswerte bei Binance und verlassen sich auf die Börse, um die Sicherheit ihrer Gelder zu gewährleisten. Aus dem Jahresbericht 2025 von Binance geht hervor, dass Binance weltweit 335 Millionen registrierte Nutzer hat und verwaltete Vermögenswerte von rund 162,8 Milliarden US-Dollar hält.

Binance versuchte, die Marktstimmung zu beruhigen. He Yi erklärte in sozialen Medien, dass die betroffenen über 3 Milliarden US-Dollar nur etwa 2 % des gesamten Nutzervermögens und der öffentlichen Reserven von Binance ausmachen.

Früher gab es Fälle, in denen Kryptowährungsbörsen aufgrund unsachgemäßer Behandlung von Cybersicherheitslücken bankrottgingen.

Die japanische Börse Mt. Gox (Spitzname „Mentougou“) war einst die größte Bitcoin-Börse der Welt und erlitt 2011 ihren ersten massiven Einbruch. Aufgrund von Lücken in der technischen Architektur des Unternehmens und extrem schwachem Sicherheitsmanagement konnte Mt. Gox über mehrere Jahre nicht nur den anhaltenden Abfluss von Geldern nicht entdecken, sondern verschleierte sogar die Tatsache, dass es zahlungsunfähig war. Im Februar 2014 stoppte Mt. Gox plötzlich alle Bitcoin-Auszahlungen, erklärte dann, rund 850.000 Bitcoin verloren zu haben, und beantragte Gläubigerschutz.

Der Mt. Gox-Vorfall führte zeitweise zu einem starken Einbruch des Bitcoin-Preises und erweckte bei frühen Investoren großes Misstrauen gegenüber zentralen B