Binance-Hacker überweist nach 6,3-Milliarden-Dollar-Drain 4 Millionen Dollar zurück an die Börse

Ein Teil der beim massiven Hot-Wallet-Angriff auf Binance gestohlenen Gelder ist zurück an die Börse geflossen. Der Angreifer transferierte 4 Millionen $ auf drei Binance-Einzahlungsadressen, wobei die Spuren darauf hindeuten, dass das Geld vor dem Eintreffen über Drittbörsen geleitet wurde.

Der Transfer macht nur einen kleinen Bruchteil der rund 6,3 bis 6,36 Milliarden $ aus, die Binance am 29. Oktober 2026 entwendet wurden. Bei diesem Angriff traf der Exploiter Hot Wallets auf etwa zehn verschiedenen Blockchains und schloss die gesamte Operation innerhalb eines 20- bis 30-minütigen Zeitfensters ab.

Öffentliche Daten zu den Mittelflüssen geben bislang keinen Aufschluss darüber, wer die drei Empfängeradressen kontrolliert oder was das nächste Ziel des Kapitals sein könnte. Der Transfer fügt sich in eine fortlaufende Geldwäschespur ein, bei der die Angreifer nicht einfrierbare Assets wie Bitcoin und Ethereum durch Mixer wie Tornado Cash und komplexe Token-Tausche geschleust haben. Während Stablecoin-Emittenten zügig zwischen 2,7 und 3 Milliarden $ der betroffenen Token auf eine Blacklist setzten und einfroren, fehlen bei BTC und ETH zentrale Einfriermechanismen, sodass sie transferierbar bleiben.

Erste Erkenntnisse deuten darauf hin, dass der Angriff auf einen kompromittierten Laptop eines DevOps-Ingenieurs von Binance zurückgeht. Dieser Rechner verschaffte den Angreifern Zugriff auf die interne Infrastruktur zur Wallet-Verwaltung, wodurch Auszahlungstransaktionen verarbeitet werden konnten, ohne dass die Private Keys offenbar kompromittiert wurden.

Die Blockchain-Analysefirmen TRM Labs und Chainalysis ordneten den Angriff TraderTraitor zu, einer nordkoreanischen Cybergruppe, die zuvor mit dem Bybit-Hack in Verbindung gebracht wurde. Das FBI stützte diese Zuschreibung am oder um den 31. Oktober 2026 und veröffentlichte eine Liste von mehr als 600 Adressen, die mit der Gruppe verknüpft sind.

Binance sicherte zu, die Nutzer über seinen Secure Asset Fund for Users (SAFU) sowie über zusätzliche Reserven vollständig zu entschädigen. Die Plattform öffnete Auszahlungen ab dem 1. November 2026 schrittweise wieder, was in den ersten Stunden zu Nettoabflüssen zwischen 3,6 und 4,9 Milliarden $ führte.

Das Verschieben von Geldern auf eine zentrale Börse setzt die Transaktionen Compliance-Prüfungen und Identitätskontrollen aus, was Ermittlern einen neuen Ansatzpunkt liefert. Der Markt wartet nun auf Bestätigungen zu den drei Einzahlungsadressen, darauf, ob weitere gestohlene Gelder auf zentralen Plattformen landen, und darauf, wie die Ermittler mit den verbleibenden Milliarden in ungesperrten BTC und ETH umgehen.