Uni Leipzig, 2. November 2026 – Bei Binance gehen die Auszahlungen wieder an, aber längst nicht überall. Seit Sonntag, dem 1. November 2026, können Kundinnen und Kunden Guthaben über Bitcoin, Ethereum und die BNB Smart Chain abheben. Jede Transaktion wird derzeit zusätzlich geprüft. Das kann dauern, Rückfragen eingeschlossen. Für weitere Netzwerke gibt es noch keinen bestätigten Zeitplan.

Ende Oktober hatte die Kryptobörse Ein- und Auszahlungen vorübergehend gestoppt, zunächst sogar den gesamten Handel. Die Guthaben waren für Kunden sichtbar, blieben aber festgenagelt. Vorausgegangen war ein Angriff, bei dem am 29. Oktober 2026 digitale Vermögenswerte im Wert von etwa 6,3 bis 6,4 Milliarden US-Dollar aus Binance-Hot-Wallets bewegt wurden. TRM Labs bezifferte die Summe auf rund 6,36 Milliarden US-Dollar. Eine abweichende Schätzung von 5,912 Milliarden US-Dollar ist nicht bestätigt.

Ein Angriff in wenigen Minuten

Der Großteil des Abflusses geschah laut TRM Labs innerhalb von ungefähr 20 Minuten. Der Angriff begann zwischen 16:05 und 16:20 Uhr Eastern Time auf dem XRP Ledger sowie auf Ethereum und Bitcoin. Betroffen waren insgesamt zehn Blockchains. Auf Ethereum sollen Vermögenswerte im Wert von 3,8 Milliarden US-Dollar verschwunden sein, dazu 18.270 BTC im Wert von etwa 1,5 Milliarden US-Dollar, 628 Millionen US-Dollar auf TRON, 296 Millionen US-Dollar auf XRP und 96 Millionen US-Dollar auf Solana. Eine einzelne Transaktion hatte einen Wert von mehr als 2,5 Milliarden US-Dollar.

Weitere Angriffe erfolgten um 19:05 Uhr auf Avalanche und Polygon. Eine letzte Ethereum-Transaktion wurde um 19:56 Uhr registriert. Am folgenden Tag verschoben die Angreifer um 1:15 Uhr 17.260 Ether auf eine neue Wallet. Die wichtigste Ethereum-Transaktion umfasste 64 Transfers und wurde um 16:24 Uhr verarbeitet. Nach Angaben aus den Berichten hatten die Täter den Angriff wahrscheinlich mindestens 36 Stunden vorbereitet.

Damit gilt der Vorfall als größter Kryptodiebstahl bislang. Er übertraf den Bybit-Hack von 2025 mit 1,5 Milliarden US-Dollar. Am 30. Oktober waren die gestohlenen Kryptowährungen noch nicht in Fiatgeld umgewandelt. So ein Schritt kann Wochen bis Jahre dauern und die Einschaltung von Vermittlern erfordern. Bitcoin fiel infolge des Angriffs um 5 Prozent auf unter 80.000 US-Dollar; auch Aktien von Unternehmen wie Robinhood und Coinbase gaben deutlich nach.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Vom Laptop zur Hot-Wallet-Berechtigung

Binance erklärte zunächst, ein kompromittierter Laptop eines DevOps-Ingenieurs beziehungsweise Softwareingenieurs habe den Angriff ermöglicht. Über einen Service-Container seien nicht autorisierte Auszahlungstransaktionen eingereicht worden. Binance-Chef und Co-CEO Richard Teng erklärte später, der Vorgang sei komplexer gewesen als der bloße Missbrauch der Rechte eines einzelnen Mitarbeiters. Nach Angaben von Binance nutzten die Angreifer das Multi-Signatur-Protokoll EIP-7702, um die Binance-Hot-Wallet anzugreifen.

Die genaue Angriffsmethode ist trotzdem ungeklärt. Binance machte keine Angaben dazu, ob Phishing, Schadsoftware oder gestohlene Sitzungstoken eine Rolle spielten. Fest steht: Binance entzog den Angreifern um 20:10 Uhr die Berechtigungen für die Hot-Wallet. Die Cold Wallets werden in den Berichten nicht als Einfallstor genannt.

Blockchain-Partner froren etwa die Hälfte der gestohlenen Vermögenswerte ein. Tether und Circle blockierten zusammen ungefähr 3 Milliarden US-Dollar an gestohlenen Stablecoins; je nach Quelle liegen die Schätzungen zwischen 2,7 und 3 Milliarden US-Dollar. Tether begann um 17:01 Uhr mit dem Einfrieren betroffener Wallets, Circle drei Minuten später. Später blockierten beide Unternehmen auch die Binance-Hot-Wallet. Rund 3 Milliarden US-Dollar sollen identifiziert oder eingefroren worden sein, wobei die Angaben je nach Quelle variieren.

Das FBI machte laut CNBC Nordkorea für den Angriff verantwortlich. TRM Labs fand Ähnlichkeiten zu früheren Angriffen mit Nordkorea-Bezug, darunter Fälle bei Bybit und KelpDAO. Konkret wurde die Gruppe TraderTraitor genannt, die mutmaßlich mit der Lazarus Group verbunden ist. Gemeint sind mutmaßlich staatlich gesteuerte Hackergruppen, nicht konkret benannte Personen. Eine behördliche Zuordnung ist kein Gerichtsurteil. Das FBI veröffentlichte mit dem Angriff verbundene Wallet-Adressen auf Ethereum, Bitcoin und Solana und bat die Öffentlichkeit um Hinweise. Auch der US Secret Service arbeitete daran, die Vermögenswerte zu verfolgen, einzufrieren und zurückzuerlangen. Transfers betroffener Adressen können von Börsen und Dienstleistern blockiert werden.

Binance verspricht Deckung – aber keine Bankgarantie

Am Tag nach dem Angriff erklärte Binance, alle Verluste zu übernehmen; die Nutzervermögen seien vollständig sicher. Die Börse wollte bis zu 6 Milliarden US-Dollar bereitstellen und ihre Reserven am 2. November offenlegen. Am 31. Oktober erklärte Binance, 90 Prozent der Verluste ersetzt zu haben. Am 1. November nahm die Börse Abhebungen wieder auf, zunächst unter anderem für Ethereum, USDT, USDC und bestimmte Token der eigenen Blockchain.

Rund 90 Prozent der gestohlenen Assets will Binance zunächst aus eigenen Mitteln decken. Genannt wurden der Secure Asset Fund for Users, kurz SAFU, ein Teil des Futures-Versicherungsfonds, die Bitcoin-Reserve und die Firmenkasse. Die restlichen rund 10 Prozent sollen durch Käufe an den Märkten und über OTC-Geschäfte ergänzt werden.

Laut CNBC waren Bitcoin, Ether, Tether, BNB, Solana, USD Coin, XRP, USD1, RLUSD und Zcash zu 100 Prozent gedeckt. Weniger liquide Token außerhalb der zehn größten Assets waren zunächst noch nicht vollständig abgesichert. Binance erklärte, diese schrittweise nachkaufen zu wollen. Der endgültige Nettoschaden und die genaue Höhe der Rückholungen wurden nicht veröffentlicht.

Kunden sollen den finanziellen Verlust durch den Diebstahl nicht tragen müssen. Eine Entschädigung für entgangene Handelsmöglichkeiten während der Auszahlungssperre wurde laut den vorliegenden Berichten allerdings nicht zugesagt. Die Deckungszusage ist außerdem kein gesetzlicher Einlagenschutz wie bei Banken in der EU. Sie beruht auf den Reserven und dem Versprechen der Börse. Von außen lässt sich nicht überprüfen, wie stark SAFU, Futures-Fonds, Bitcoin-Reserve und Firmenkasse durch die Deckung belastet wurden.

Was Plattformen und Nutzer daraus mitnehmen

Der Fall wird als Angriff auf Mitarbeiter- und Entwicklerumgebungen beschrieben, nicht als Bruch der Blockchain-Technologie. Weitreichende Zugriffsrechte auf Entwicklerrechner, SSH-Schlüssel, Cloud-Tokens und Container-Cluster gelten dabei als zentrale Risiken. Für Plattformbetreiber heißt das: Einreichen und Freigeben von Auszahlungen müssen getrennt sein. Transaktionen sollten nach dem Mehr-Augen-Prinzip bestätigt, ungewöhnliche Auszahlungen automatisch gedrosselt und Zugriffstoken kurzlebig gehalten werden. Dazu kommen Hardware-Schlüssel sowie strikt getrennte Rollen und Berechtigungen. Viel Zeit bleibt im Ernstfall nicht, wenn große Abflüsse binnen Minuten passieren.

Für Nutzer klingt die Empfehlung weniger spektakulär, ist aber ziemlich praktisch: Nur kurzfristig benötigte Beträge auf der Börse lassen, langfristige Bestände in einer eigenen Wallet verwahren und die Zwei-Faktor-Authentifizierung per App oder Hardware-Schlüssel aktivieren. SMS-Codes sollten möglichst vermieden werden. Auszahlungsadressen lassen sich gegebenenfalls auf eine Whitelist setzen. Und Vorsicht vor Phishing-Nachrichten: Nach einem Hack tauchen erfahrungsgemäß Nachrichten auf, die genau diesen Schrecken ausnutzen und plötzlich Zugangsdaten abfragen.

Offen bleibt, wie genau der Laptop kompromittiert wurde und warum Auszahlungen aus dem Service-Container ohne weitere Kontrolle möglich waren. Unklar sind außerdem der endgültige Nettoschaden, der Zeitpunkt der vollständigen Öffnung aller Netzwerke und die Frage, wie stark die zur Deckung eingesetzten Binance-Fonds geschrumpft sind. Heute, am 2. November 2026, laufen die zusätzlichen Sicherheitsprüfungen weiter.