Das FBI hat am Sonntag fünf Tage Spekulation beendet: Die 6,3 Milliarden Dollar, die am 29. Oktober aus Binance abgezogen wurden, gehen auf Nordkorea zurück. In einer Erklärung schrieb die Behörde den Diebstahl der Aktivität zu, die sie „TraderTraitor“ nennt, erklärte, die Akteure hätten die gestohlenen Vermögenswerte überwiegend in Ethereum getauscht, und warnte, als Nächstes würden die Gelder über DeFi- und Instant-Swap-Dienste weitere Waschungsstufen durchlaufen. Beteiligt waren der Secret Service und die Strafuntersuchungsabteilung der Steuerbehörde IRS.

Die Zahl ist kaum zu fassen. Chainalysis bezifferte die Beute zum Zeitpunkt des Diebstahls auf 5,9 Milliarden Dollar — etwa das Vierfache des Bybit-Vorfalls von 2025 —, Binance selbst schätzt rund 6,3 Milliarden, Chainalysis-Chef Jonathan Levin nannte 6,4 Milliarden. TRM Labs bezeichnete den Fall als größten Kryptodiebstahl der Geschichte und schrieb ihn mit „hoher Konfidenz“ TraderTraitor zu.

Dann begann die Eindämmung. Binance zufolge sind 3 Milliarden Dollar eingefroren; die Summe wuchs im Lauf der Woche, als Tether (1,57 Mrd.), Circle (über 800 Mio.), Ripple (RLUSD), World Liberty Financial (27 Mio. in USD1), First Digital (FDUSD) und der Arbitrum Security Council (30,5 Mio.) Token sperrten. Die Börse hat nach eigenen Angaben mehr als 6,34 Milliarden Dollar an Eigenmitteln zurückgelegt, davon 5 Milliarden bereits in den gestohlenen Token, und kauft den Rest außerbörslich sowie an Börsen, um die Reserven wieder aufzufüllen. Die am 29. Oktober gestoppten Auszahlungen liefen am Sonntag wieder an. Co-CEO Richard Teng hatte bis Montag einen Proof-of-Reserves-Bericht zugesagt und erklärt, rund 90 Prozent der gestohlenen Vermögenswerte seien ersetzt.

Wie es passieren konnte, ist der Teil, den die Branche studieren sollte. Binances erste Darstellung verwies auf das kompromittierte Notebook eines DevOps-Ingenieurs, über das ein Angreifer einen Service-Container erreichte und unautorisierte Auszahlungen auslöste — ein Leck des privaten Schlüssels habe es nicht gegeben. Am Donnerstag beschrieb Teng einen gezielteren Ablauf: Der Angreifer nutzte eine EIP-7702-Delegation, um Ausführungsgewalt über eine Hot Wallet zu erlangen, eine Delegation, die „nicht durch unsere normalen Genehmigungskontrollen lief“, dazu einen Selbstzerstörungsmechanismus, der Werkzeuge und Spuren vernichtete. Später fand man weitere Eintrittspunkte. EIP-7702, Ethereums Upgrade für Smart Accounts, ist nicht die Ursache — Analysten sagten Cointelegraph, der Diebstahl sei auch ohne möglich gewesen —, aber es bündelte viele Transaktionen in einem Zug und hinterließ Verteidigern eine neue Klasse von Delegationen, die es zu finden und zu widerrufen gilt.

Auch die Waschung ist ungewohnt. Chainalysis meldete „noch nie gesehene“ Muster: Tausende Transaktionen in kurzer Zeit, Gelder, die zwischen Adressen kreisen und zu früher genutzten Wallets zurückkehren — ein Hinweis auf Automatisierung. Der Onchain-Ermittler ZachXBT fand die Binance-Gelder über THORChain mit Erlösen des früheren Bitget-Exploits vermischt, der bereits TraderTraitor zugeschrieben worden war.

Die Märkte reagierten sofort: Bitcoin bei rund 76.900 Dollar, minus 4,9 Prozent; BNB minus 8 Prozent; Ether minus 5,7 Prozent; Aave- und Uniswap-Token zweistellig im Minus; der Fear-and-Greed-Index bei 30, dem niedrigsten Stand seit August. Aave fror 175 Reserven in V3 und 117 in V4 ein, nachdem der Angreifer gegen gestohlene USDT 44,6 Millionen Dollar geliehen hatte, und hob die Sperre auf, als sich die Position nicht mehr bewegte. Geoffrey Kendrick von Standard Chartered nannte die naheliegende kommerzielle Folge: Das Argument für dezentrale Börsen lässt sich jetzt leichter vertreten.

Wichtiger als das Geklärte ist das Offene. Ob die eingefrorenen 3 Milliarden Dollar zurückholbar sind oder nur geparkt. Ob ein Proof-of-Reserves-Schnappschuss die Frage beantwortet, die Einleger wirklich stellen — wie eine einzige Delegation 6 Milliarden Dollar an den Kontrollen einer Börse vorbeibewegen konnte. Und ob „wir decken alle Verluste“ eine Sicherheitskontrolle ist oder ein Versprechen, das auch die nächste Börse wird halten können.

Quellen