Nach den vorläufigen Ermittlungen von Binance kompromittierte der Angreifer den Laptop eines DevOps-Ingenieurs und gelangte darüber an einen Service-Container, der Auszahlungen einreichen konnte. Auf Ethereum nutzte er EIP-7702, eine Funktion, die mit dem Pectra-Upgrade im Mai 2025 eingeführt wurde. Damit delegierte er Binance 14, eine der größten Hot Wallets der Börse, an einen eigenen Sweeper-Contract. Ab diesem Moment leitete die Wallet jedes Asset und jede neue Einzahlung an den Angreifer weiter. Auf neun weiteren Blockchains flossen die Mittel über gewöhnlich signierte Überweisungen ab, die wie normale Auszahlungen aussahen. Wallets mit unterschiedlichen Schlüsseltypen lieferten binnen etwa 30 Minuten gültige Signaturen. Das spricht dafür, dass der Angreifer Signaturen direkt beim Signiersystem von Binance anfordern konnte.
Eine offizielle Zuordnung gibt es noch nicht. TRM Labs und Chainalysis sehen Nordkorea mit hoher Wahrscheinlichkeit hinter dem Angriff, und die Indizien passen zum Muster früherer Operationen: kleine Beträge über Tornado Cash, lange Vorbereitung und vorab signierte Freigaben, die in einem Zug ausgeführt werden. Das Jahr 2026 zählt bereits mehr als 320 Hacks, etwa das 1,5-Fache des bisherigen Höchststands von rund 216 im Jahr 2024.
Stablecoin-Sperren hielten rund die Hälfte des Schadens auf
Dass der Nettoschaden weit unter der ersten Zahl liegt, ist vor allem dem Tempo der Stablecoin-Emittenten zu verdanken. Tether fror um 21:01 UTC 971 Mio. USDT ein, weniger als 40 Minuten nachdem Binance 14 geleert worden war, und erhöhte die Summe später auf mehr als 1,5 Mrd. Drei Minuten danach folgte Circle mit 823 Mio. USDC. Ripple, World Liberty Financial, First Digital und der Security Council von Arbitrum sperrten weitere Mittel. Binance meldet inzwischen rund 3 Mrd. US-Dollar als eingefroren.
Der Angreifer hatte damit gerechnet. Binnen Minuten tauschte er einfrierbare Stablecoins in ETH, zu einem impliziten Preis von fast 2.650 US-Dollar je ETH bei einem Marktpreis von rund 2.300 US-Dollar, und hinterlegte USDT bei Aave, um sich ETH zu leihen. Nach letztem Stand hält er mehr als 420.000 ETH und 18.270 BTC, zusammen rund 2,4 Mrd. US-Dollar. Der Fall zeigt auch, wie viel Ermessen bei wenigen Emittenten liegt. Mehr dazu in unserem Bericht Stablecoins zur Jahresmitte 2026.
Die Reaktion der Märkte: BNB traf es am stärksten, ETH trägt das Angebotsrisiko
Bislang fiel die Reaktion heftig, aber geordnet aus. BNB rutschte von rund 744 US-Dollar auf ein Tagestief von 683 US-Dollar ab, ein Minus von etwa 8 %, und notiert inzwischen wieder bei rund 716 US-Dollar. BTC fiel von rund 80.800 auf unter 76.500 US-Dollar, ETH von 2.334 auf 2.173 US-Dollar. Beide holten einen Teil der Verluste wieder auf. Die Liquidationen am Gesamtmarkt summierten sich auf rund 1,5 Mrd. US-Dollar, überwiegend bei Long-Positionen. ETH entwickelte sich nach dem ersten Schock schwächer als BTC. Der Markt preist offenbar das mögliche Angebot aus den Wallets des Angreifers ein.
Die Reserven von Binance und der Stichtag 1. November
Binance hat zugesagt, alle Verluste aus dem SAFU-Fonds, dem Notfallfonds von rund 1 Mrd. US-Dollar, und aus Eigenmitteln zu decken. Der geschätzte Abfluss entspricht etwa 4,4 % der rund 145 Mrd. US-Dollar, die vor dem Vorfall in öffentlichen, Binance zugeordneten Wallets lagen. Die geleerten Wallets sind dieselben, die Binance in seinem monatlichen Proof of Reserves ausweist. Eine statische Rechnung mit den Reservedaten vom 1. Oktober ergibt eine ETH-Deckung von etwa 94,6 %. Gemessen ist diese Quote nach dem Vorfall nicht. Über das Vertrauen entscheiden in den kommenden Tagen vier Prüfsteine: ein geordneter Neustart der Auszahlungen, der Proof of Reserves zum 1. November, die technische Analyse des Vorfalls und mögliche Nachkäufe zur Auffüllung der Reserven.
Was der Binance-Hack für die Geldanlage bedeutet
Nach heutigem Erkenntnisstand ist weder eine Zahlungsunfähigkeit von Binance noch eine systemische Störung der Märkte belegt. Nachwirken wird der Fall weniger bei den Kursen als in der Frage, wie Anlegerinnen und Anleger ihre Assets halten: getrennte Verwahrung, Abwicklung außerhalb der Börse, anlassbezogene Reservenachweise und strengere Kontrollen für Hot Wallets. Die Aufsicht, auch unter MiCA, dürfte sich stärker auf operative Widerstandsfähigkeit und IKT-Risiken konzentrieren. Welche rechtlichen Grenzen jedes Mandat klären sollte, zeigt unser MiCA-Bericht.
Autor Leonardo Larieira ist Digital Asset Researcher bei Teroxx.
