Binance-Hack 2026: der größte Krypto-Hack der Geschichte
Binance versicherte seinen Kunden, dass ihr Geld sicher sei. Die geleerten Wallets tauchten jedoch auf der vier Wochen zuvor veröffentlichten Liste der Vermögenswerte dieser Kunden auf. Beide Aussagen können gleichzeitig zutreffen, und die Diskrepanz zwischen ihnen ist der wichtigste Aspekt, um den Binance-Hack von 2026 zu verstehen.
Zunächst die Fakten. Am Abend des 29. Oktober plünderte ein Angreifer die Hot Wallets von Binance, der weltweit größten Kryptowährungsbörse, auf rund zehn Blockchains. Binance beziffert den Schaden auf etwa 6,3 Milliarden US-Dollar, der Großteil davon wurde innerhalb von etwa 20 Minuten abgezogen. Damit handelt es sich um den größten Krypto-Hack der Geschichte, etwa viermal so groß wie der Bybit-Diebstahl im Jahr 2025. Binance setzte Ein- und Auszahlungen aus und sicherte zu, alle Verluste zu decken.
Einige der unten aufgeführten Zahlen können sich noch ändern. Die Meldung ist zwei Tage alt, und Binance hat seine Analyse noch nicht veröffentlicht; betrachten Sie daher alle Zahlen als Momentaufnahme vom 30. und 31. Oktober.
Was geschah beim Binance-Hack 2026, Minute für Minute?
Geschwindigkeit war hier die Waffe. Doch diese Geschwindigkeit wurde mit Geduld erkauft, und gerade diese Geduld lässt das Ganze wie eine professionelle Operation und nicht wie einen glücklichen Zufall aussehen.
Zwanzig Minuten über zehn Blockchains hinweg
Laut dem Blockchain-Analyseunternehmen TRM Labs begann der Angreifer am Morgen des 28. Oktober damit, Wallets über Tornado Cash, einen Mixing-Dienst, der die Herkunft der Coins verschleiert, aufzuladen. Das ist mindestens 36 Stunden, bevor auch nur ein einziger Coin Binance verließ.
Die ersten Abflüsse erfolgten am 29. Oktober um 20:05 UTC auf dem XRP Ledger. Bitcoin folgte um 20:20 UTC. Zur selben Minute übermittelte der Angreifer 50 Autorisierungsanfragen an eine Binance Hot Wallet auf Ethereum. Etwa dreieinhalb Minuten später wurde diese Wallet in einer einzigen Transaktion leergeräumt. Weitere Abflüsse setzten sich bis 23:56 UTC fort, mit einer zweiten Welle auf Avalanche und Polygon gegen 23:05 UTC.
Kurz vor Mitternacht UTC war es vorbei.
Woher die 6,3 Milliarden Dollar kamen
Das Geld stammte nicht von einer einzigen Quelle. Es kam aus Hot Wallets in mindestens zehn Netzwerken, was darauf schließen lässt, dass der Angreifer gleichzeitig auf irgendeine Weise Zugriff auf die Auszahlungsmechanismen von Binance in mehreren Blockchains hatte.
| Blockchain | übernommene Vermögenswerte | Ungefährer Wert |
|---|---|---|
| Ethereum | ~200.600 ETH, 1,875 Mrd. USDT, 823 Mio. USDC, 88,5 Mio. RLUSD | ~3,8 Mrd. USD |
| Bitcoin | 18.270 BTC | ~1,47 Mrd. USD |
| Tron | 612,7 Mio. USDT + 46,4 Mio. TRX | ~628 Mio. USD |
| XRP-Register | 233,46 Mio. XRP | ~296 Mio. USD |
| Solana | 970.500 SOL | ~96 Mio. USD |
| Arbitrum, Optimismus, Basis | gemischt | ~39 Mio. USD |
| Lawine / Polygon | gemischt | ~28 Mio. USD / ~10 Mio. USD |
Quelle: TRM Labs, Datenstand: 30. Oktober, 00:30 UTC.
In den Nachrichten werden unterschiedliche Summen genannt, das ist normal. Binance spricht von etwa 6,3 Milliarden US-Dollar. TRM Labs zählt zum Zeitpunkt des Diebstahls 6,36 Milliarden US-Dollar . Chainalysis geht von rund 6,4 Milliarden US-Dollar aus, und Elliptic von 6,43 Milliarden US-Dollar, verteilt auf elf Blockchains. Die Abweichung ergibt sich aus dem Zeitpunkt der Preisberechnung und den von den jeweiligen Unternehmen berücksichtigten Blockchains; der Vorfall selbst ist unstrittig.
Wie EIP-7702 eine Binance Hot Wallet gegen sich selbst wandte
Der Ethereum-Teil des Binance-Hacks ist raffiniert und hat die meiste Aufmerksamkeit auf sich gezogen. Er allein stellt jedoch keine vollständige Erklärung dar.
Hot Wallets und Cold Storage, einfach ausgedrückt
Eine Kryptobörse speichert Kryptowährungen ähnlich wie ein Geschäft Bargeld. Der Großteil davon befindet sich in einem Tresor, im Kryptobereich auch „ Cold Storage “ genannt: Die Schlüssel werden offline aufbewahrt und Transaktionen bewusst langsam abgewickelt. Ein kleinerer Betrag liegt in der Kasse bereit, damit Kunden schnell Geld abheben können. Diese Kasse ist die Hot Wallet, die mit den Systemen der Börse verbunden ist und Transaktionen auf Anfrage signieren kann.
Hot Wallets sind dafür gedacht, nur einen Bruchteil des Gesamtvermögens zu halten. Bei einer Börse von der Größe Binances können selbst Bruchteile noch Milliarden von Dollar ausmachen.
Fünfzig Unterschriften und eine Lücke in der Theorie
EIP-7702 ist ein Ethereum-Upgrade, das im Mai 2025 zusammen mit dem Pectra-Update eingeführt wurde. Es ermöglicht einer herkömmlichen Wallet, die Kontrolle über ihre Aktionen an einen Smart Contract abzugeben, sofern die Wallet eine Autorisierung unterzeichnet. Man kann es sich wie eine Vollmacht für ein Bankkonto vorstellen.
Der Angreifer nutzte genau das. TRM Labs berichtet, dass er 50 signierte Autorisierungen vorbereitet hatte, jede mit einem anderen Transaktionszähler verknüpft, sodass eine davon mit dem aktuellen Zustand der Wallet übereinstimmte. Eine stimmte überein. Die Hot Wallet führte daraufhin den „Sweeper“-Code des Angreifers aus und transferierte die Token in einem einzigen Schritt. Richard Teng, Co-CEO von Binance, erklärte, die Delegation habe die üblichen Genehmigungskontrollen der Börse umgangen.
Hier ist der Punkt, der mir unklar ist. EIP-7702 existiert nur auf Ethereum und kompatiblen Blockchains. Es kann nicht erklären, wie 18.270 BTC eine Bitcoin-Wallet verlassen konnten oder wie Tron- und XRP-Guthaben transferiert wurden. Dafür waren herkömmliche signierte Transaktionen erforderlich, was darauf hindeutet, dass der Angreifer die Signaturinfrastruktur von Binance selbst erreicht hat.
Binance hat seine eigene Darstellung bereits geändert. In der ersten Aktualisierung – nur wenige Stunden nach dem Diebstahl veröffentlicht – wurde ein einzelner kompromittierter Laptop eines DevOps-Ingenieurs als Ursache genannt, der Zugriff auf einen Service-Container ermöglichte. Es hieß, es gäbe „keine Hinweise auf ein Leck des privaten Schlüssels“. Einen Tag später gab die Börse bekannt, weitere Sicherheitslücken entdeckt zu haben. Beide Versionen sind nicht unbedingt falsch. Doch eine Geschichte, die sich innerhalb von 24 Stunden so stark verändert, ist ein Grund, die detaillierte Untersuchung abzuwarten, bevor man endgültige Schlüsse zieht.
Binance versichert, dass Ihr Geld sicher ist. Lesen Sie das Kleingedruckte.
Für normale Nutzer lässt sich der Binance-Hack von 2026 auf einen einzigen Satz der Börse reduzieren, der in jedem Update wiederholt wird. Binances Botschaft ist stets dieselbe: Kundengelder seien sicher, und die Börse werde alle Verluste aus ihrem Notfallfonds und Firmenvermögen decken. Ich habe keinen Grund anzunehmen, dass die Börse die Zahlungen verweigern wird. Die Frage ist nur, was für ein Versprechen das ist.
Was SAFU abdecken kann und was nicht.
Binance hat nach eigenen Angaben 6,34 Milliarden US-Dollar zur Deckung des Hackerangriffs zurückgestellt, wovon bereits rund 5 Milliarden US-Dollar in den betroffenen Token gehalten werden. Den Rest kauft das Unternehmen am Markt und über außerbörsliche Handelsplattformen auf. Eingefrorene Vermögenswerte sind in dieser Summe nicht enthalten.
Der Secure Asset Fund for Users (SAFU) wird häufig erwähnt. Er ist jedoch kleiner als viele annehmen. Binance gibt sein Volumen mit rund einer Milliarde US-Dollar an, und die On-Chain-Bitcoin-Wallet des Unternehmens enthält etwa 15.000 BTC im Wert von rund 1,17 Milliarden US-Dollar (Stand: Freitag). Sean Farrell von Fundstrat schätzt, dass der SAFU etwa ein Drittel der freigegebenen Verluste decken könnte. Der Rest stammt aus der Bilanz von Binance.
Das wäre ein gutes Ergebnis, wenn die Bilanz solide wäre. Allerdings räumen die SAFU-Regeln Binance selbst „volle Entscheidungsfreiheit“ bei den Auszahlungen ein, und von der BBC zitierte Anwälte warnten, dass die Zusage möglicherweise nicht rechtsverbindlich sei. Ein Versprechen, das mit Milliarden untermauert ist, bleibt ein Versprechen, kein Vertrag.
Das Problem des Nachweises von Reserven
Der sogenannte „Proof of Reserves“ ist eine öffentliche Liste von Wallets, die eine Börse verwendet, um nachzuweisen, dass sie mindestens so viel Kryptowährung hält, wie ihre Kunden eingezahlt haben. CoinDesk überprüfte den Bericht von Binance vom 1. Oktober und stellte fest, dass die leergeräumte Ethereum-Wallet mit der Bezeichnung „Binance 14“ darin aufgeführt war.
Die beim Hack bei Binance erbeuteten rund 204.500 ETH entsprachen etwa 5,6 % der Ether-Reserven, die Binance als Kundendeckung auswies. Bis diese Ether ersetzt wurden, beliefen sich die ETH-Reserven auf knapp 94 % der Kundenguthaben anstatt auf über 100 %. Binance könnte dies schnell wieder auffüllen, und die USDC-Deckung lag bei 108 %. Die Aussage „Kundengelder waren nicht betroffen“ ist jedoch treffender als „Kunden tragen den Verlust nicht“ zu verstehen, was eine andere Aussage darstellt.
Fairerweise muss man sagen, dass Farrell kein nennenswertes Insolvenzrisiko sieht. Sein Test ist einfach: Wie schnell werden Abhebungen wieder ermöglicht und bleiben die Abflüsse geordnet?
Binance-Hack friert ein: Warum Stablecoins sich erholten und Bitcoin nicht
Das Einfrieren ist der einzige Teil dieser Geschichte, der funktioniert hat, und zwar aus einem Grund, der Krypto-Puristen oft missfällt.
Stablecoins wie USDT und USDC werden von Unternehmen ausgegeben, die den Token-Vertrag kontrollieren. Diese Unternehmen können Token einfrieren, vernichten und neu ausgeben. TRM Labs protokollierte die Reaktionen: Tether fror die Gelder um 21:01 Uhr UTC ein, Circle um 21:04 Uhr, Ripple um 22:01 Uhr, World Liberty Financial um 22:10 Uhr und der Sicherheitsrat von Arbitrum kurz nach Mitternacht.
Laut Elliptic sind derzeit 2,84 Milliarden US-Dollar eingefroren, das entspricht etwa 44 % des Diebstahls und fast ausschließlich Stablecoins. Binance schätzt den Betrag auf knapp 3 Milliarden US-Dollar.
Bitcoin und Ether haben keinen Emittenten. Niemand kann sie abschalten. TRM schätzt, dass sich noch immer BTC und ETH im Wert von rund 2,4 Milliarden US-Dollar in der Hand des Angreifers befinden. Ermittler können diese Coins auf öffentlichen Blockchains verfolgen und versuchen, sie an Börsen abzufangen, doch das ist zeitaufwendig.
Auch eingefrorenes Geld wird nicht über Nacht freigegeben. Ari Redbord von TRM Labs erklärte gegenüber CNBC, dass eine Einfrierung zwar den Geldfluss unterbindet, die Freigabe aber einen Gerichtsbeschluss erfordere. Eric Jardine, Forschungsleiter bei Chainalysis, sagte, die Rückzahlung von Geldern könne Monate oder Jahre dauern.
Warum der Binance-Hack zu den größten Hacks der Geschichte zählt
Die Schlagzeilen konzentrierten sich auf die Höhe des Rekords. Das dahinterliegende Muster beunruhigt die Analysten von TRM Labs und Elliptic jedoch noch mehr, da sie es in diesem Jahr bereits mehrfach beobachtet haben.
| Vorfall | Datum | Gestohlener Betrag | Quellenangabe |
|---|---|---|---|
| Binance Hot Wallets | 29. Oktober 2026 | ~6,3 Mrd. USD bis 6,43 Mrd. USD | TraderTraitor (TRM, Chainalysis) |
| Bybit | 21. Februar 2025 | ~1,46 Mrd. USD | Nordkorea (FBI) |
| Ronin-Brücke | 23. März 2022 | ~625 Mio. USD | Lazarus-Gruppe (US-Finanzministerium) |
| Poly Network | 10. August 2021 | ~611 Mio. USD | Hacker hat Gelder zurückgegeben |
| BNB Kettenbrücke | 6. Oktober 2022 | ~570 Mio. US-Dollar geprägt | Nicht zugeordnet |
| Bitget | 24. September 2026 | ~387,5 Mio. USD | Nordkorea (Chainanalyse) |
| KelpDAO | 18. April 2026 | ~292 Mio. USD | TraderTraitor (TRM) |
| Drift | 1. April 2026 | ~285 Mio. USD | Nordkorea-verbunden (TRM) |
| Binance | 7. Mai 2019 | 7.000 BTC (~40 Mio. USD) | Nicht zugeordnet |
TRM Labs und Chainalysis führen den Angriff mit hoher Wahrscheinlichkeit auf TraderTraitor zurück, eine nordkoreanische, staatlich unterstützte Hackergruppe. Ein Teil der Beweise liegt in der Blockchain vor: Die Binance-Einnahmen wurden mit Geldern vermischt, die einen Monat zuvor von Bitget gestohlen worden waren. Elliptic ist vorsichtiger, und bisher hat keine Regierung eine offizielle Zuordnung vorgenommen. Auch Binance selbst hat noch keinen Täter benannt.
Die Methode ist bekannt: lange Vorbereitung, im Voraus signierte Transaktionen und dann ein massiver Angriff, bevor irgendjemand reagieren kann. Dasselbe Muster zeigte sich bei Bybit, KelpDAO und Bitget. Laut TRM hat Nordkorea seit 2017 Kryptowährungen im Wert von 12,8 Milliarden US-Dollar gestohlen, davon allein 7,4 Milliarden US-Dollar im Jahr 2026 – etwa 85 % des gesamten in diesem Jahr durch Hackerangriffe erbeuteten Wertes. Die Branche kennt diese Masche seit mindestens 20 Monaten. Und trotzdem funktionierte sie bei der größten Kryptobörse der Welt.
Markt- und Politiknachrichten nach dem Binance-Hack
Die Märkte nahmen den Kurssturz für Kryptoverhältnisse gelassen hin. CNBC berichtete am Freitag von einem Bitcoin-Kursrückgang von 4,1 % auf rund 77.446 US-Dollar, Ether gab um 4,4 % nach und BNB fiel um 6 % auf etwa 701 US-Dollar. Laut Daten von CoinGlass wurden innerhalb von 24 Stunden gehebelte Positionen im Wert von über 1,6 Milliarden US-Dollar liquidiert.
Die politische Reaktion ließ nicht lange auf sich warten. Das FBI erklärte, es sei über den Vorfall informiert, und der US-Geheimdienst gab bekannt, mit Circle zusammenzuarbeiten. CFTC-Vorsitzender Michael Selig sagte, der Hack beweise genau die Argumentation der Behörde für ihren Vorschlag vom 5. Oktober, Offshore-Börsen, die US-Kunden bedienen, zur Registrierung zu verpflichten. Binance.US, ein unabhängiges Unternehmen, erklärte, nicht betroffen zu sein.
Was Binance-Nutzer tun sollten, während Auszahlungen pausiert sind
Nach dem Binance-Hack geht die größte Bedrohung für die meisten Nutzer diese Woche von Betrügern aus. Sie folgen jedem größeren Krypto-Hack mit gefälschten Nachrichten wie „Auszahlungen sind wieder möglich“ und „Rückerstattungsformularen“, in denen nach Ihren Anmeldedaten oder Ihrer Wiederherstellungsphrase gefragt wird.
Binance gibt an, die Auszahlungen am Sonntag, dem 1. November, wieder aufnehmen zu wollen und bis Montag, den 2. November, einen vollständigen Nachweis der Reserven zu veröffentlichen. Bis dahin sind einige sinnvolle Maßnahmen ratsam:
- Nutzen Sie ausschließlich die offizielle Binance-App oder die Website, die Sie selbst eingeben. Ignorieren Sie Links in Direktnachrichten, E-Mails und Suchanzeigen.
- Überprüfen Sie die API-Schlüssel Ihres Kontos, die angemeldeten Geräte und die Whitelist für Auszahlungen und entfernen Sie alles, was Sie nicht wiedererkennen.
- Geben Sie niemals Ihre Wiederherstellungsphrase oder Ihren 2FA-Code weiter. Kein echter Supportmitarbeiter wird Sie danach fragen.
- Sobald Auszahlungen wieder möglich sind, überprüfen Sie Netzwerk und Adresse bitte zweimal. Übereilte Überweisungen können zu zusätzlichen Verlusten führen.
Es gibt aber auch eine langfristige Erkenntnis. Kryptowährungen, die Sie über Jahre halten möchten, müssen nicht auf einer Börse verwahrt werden. Eine Hardware-Wallet, die Sie selbst kontrollieren, eliminiert diese ganze Kategorie digitaler Risiken, bringt aber ein neues mit sich: Sie sind nun für Ihre eigenen Schlüssel verantwortlich.
Das Urteil zum Binance-Hack 2026: Ein Versprechen, keine Garantie
Binance wird vermutlich jeden Kunden entschädigen. Das Unternehmen hat die finanziellen Mittel und jeden wirtschaftlichen Grund dazu. Das ist die beruhigende Tatsache.
Das Unangenehme daran ist, dass die Nutzer auf die Kooperationsbereitschaft von Binance angewiesen sind, nicht auf eine rechtliche Verpflichtung, und dass die Darstellung der Börse zum Hergang des Sicherheitsvorfalls bereits einmal geändert wurde. Die Untersuchung wird zeigen, ob es sich um einen defekten Laptop handelte oder ob ein tieferliegendes Problem in der Art und Weise besteht, wie die weltgrößte Börse ihre Transaktionen signiert.
Daher sollte man sich nach dem Binance-Hack bei jeder Plattform, die Ihre Kryptowährungen verwahrt, folgende Frage stellen: Wenn diese Plattform morgen Milliarden verlieren würde, was genau stünde Ihnen zu und von wem? Falls Sie diese Frage nicht beantworten können, ist diese Woche ein guter Zeitpunkt, dies herauszufinden.
