Binance verliert 6 Milliarden Dollar, ein Einfrier-Knopf rettet fast die Hälfte

Um 20:20:59 Uhr UTC am 29. Oktober 2026 landete im Ethereum-Netzwerk eine Transaktion mit einer Gebühr von 14,46 Dollar. Sie bewegte kein Geld, das Wertfeld steht auf null. Schon früher am selben Tag hatte der Angreifer das Vorgehen an eigenen Wallets geprobt und jeweils 2 bis 6 Dollar verschoben. Dreieinhalb Minuten später verließen 167.464 Ether und 1,6 Milliarden Dollar in USDT-Stablecoins eine Hot Wallet von Binance, die Analysten als Binance 14 kennen. Am Morgen bezifferte die Börse den Schaden auf rund 6,3 Milliarden Dollar. Externe Analysten kommen bisher auf weniger, nämlich zwischen 5,3 und 5,9 Milliarden. Der bisherige Rekord, der Diebstahl bei der Börse Bybit im Februar 2025, lag bei etwa 1,5 Milliarden Dollar.

Dabei ist die Größe nicht einmal das Seltsamste. Fast die Hälfte der Beute, etwa 3 Milliarden, wurde binnen Stunden gestoppt. Nicht von der Polizei und nicht von der „Blockchain selbst“, sondern von ein paar Unternehmen, die einen Einfrier-Knopf besitzen. Kryptowährungen wurden genau dafür erfunden, dass es so einen Knopf nicht gibt.

Eine Vollmacht für vierzehn Dollar

Eine Börse hält das Geld ihrer Kunden in zwei Arten von Wallets. Cold Wallets sind offline und bewahren die Hauptreserve auf. Hot Wallets sind dauerhaft verbunden: Über sie laufen die täglichen Auszahlungen, deshalb liegt dort stets ein Betriebsguthaben. Bei der größten Börse der Welt geht dieses Guthaben in die Milliarden.

Der Schlüssel zum Angriff war eine Funktion namens EIP-7702. Sie kam am 7. Mai 2025 mit dem Pectra-Upgrade zu Ethereum. Vereinfacht gesagt ist sie eine Vollmacht: Eine gewöhnliche Wallet ermächtigt ein fremdes Programm, in ihrem Namen zu handeln. Gedacht war das für mehr Komfort, etwa um mehrere Aktionen in einem Klick zu bündeln oder um jemand anderen die Gebühr zahlen zu lassen. Nur die Wallet selbst kann eine solche Ermächtigung unterschreiben. Sie bleibt in Kraft, bis der Besitzer sie widerruft.

Die Transaktion für 14,46 Dollar war genau so eine Ermächtigung. Sie enthielt gleich 50 davon, und jede übergab Binance 14 an ein „Sweeper“-Programm, das der Angreifer vier Stunden zuvor eingerichtet hatte. Eine von fünfzig funktionierte. Man stelle sich ein Scheckheft vor, in dem eine Ermächtigung nur für einen Scheck mit einer bestimmten Nummer gilt. Eine Hot Wallet schreibt solche „Schecks“ ununterbrochen, die nächste Nummer ist also schwer zu erraten. Fünfzig Unterschriften auf einmal wirken wie ein Weg, sicherzugehen, dass eine davon trifft.

Der Sweeper leerte Binance 14 in einer einzigen Operation und ließ 1 Ether zurück. In den folgenden 12 Minuten floss Geld aus zehn weiteren Hot Wallets der Börse in vier Netzwerken an dieselbe Adresse. So hat es Blockaid, ein Sicherheitsunternehmen für Blockchains, rekonstruiert.

Wie der Angreifer an die Signatur der Wallet kam, ist weiter unklar. Laut Binances vorläufiger Darstellung begann alles mit dem kompromittierten Laptop eines DevOps-Ingenieurs, also eines Mitarbeiters, der Server und das Ausrollen von Software betreut. Über diesen Laptop gelangte der Eindringling an einen Service-Container und setzte von dort aus unautorisierte Auszahlungen ab. Die Börse sagt, es gebe keine Hinweise darauf, dass irgendein privater Schlüssel einer Wallet abgeflossen sei. Falls das stimmt, musste der Dieb keinen Schlüssel stehlen. Er brachte das System der Börse dazu, die Ermächtigung selbst für ihn zu unterschreiben.

Der Knopf, den Bitcoin nicht hat

USDT und USDC heißen Stablecoins. Das sind digitale Dollar, ausgegeben von zwei privaten Unternehmen, Tether und Circle, die jeweils versprechen, ihren Token gegen einen Dollar einzulösen. Eine ihrer Eigenschaften kommt selten zur Sprache: Der Herausgeber kann jede Adresse im Netzwerk sperren. In den USDC-Bedingungen behält sich Circle ausdrücklich das Recht vor, Überweisungen von und an eine Adresse zu blockieren. Tether kann dasselbe.

In jener Nacht taten sie es. Tether-Chef Paolo Ardoino schrieb, das Unternehmen habe mehr als 1,567 Milliarden USDT eingefroren. Circle-Chef Jeremy Allaire sagte, mehr als 800 Millionen USDC seien in Abstimmung mit den Strafverfolgern gesperrt worden. Ripple stoppte rund 200 Millionen seines Stablecoins, World Liberty Financial etwa 27 Millionen. Sogar Arbitrum, ein Netzwerk, das sonst als dezentral gilt, fror auf Beschluss seines Security Council 74,56 Millionen ARB-Token ein.

Bei Ether und Bitcoin lag der Fall anders. Kein Herausgeber, kein Knopf. Das Analyseunternehmen Glassnode zählte 17.985 Bitcoin unter den gestohlenen Werten, etwa 1,45 Milliarden Dollar. Auch das Ether aus dem ersten Abzug blieb beim Angreifer. Eine mit dem richtigen Schlüssel signierte Überweisung kann niemand auf der Welt rückgängig machen. Für einen Dieb ist das Bitcoins beste Eigenschaft. Wie der Angreifer an die separaten Bitcoin-Wallets der Börse kam, hat Binance bislang nicht offengelegt. Die Theorie vom Service-Container, in dem das System die Auszahlungen selbst signierte, würde es erklären.

Ein Retter mit Vetorecht

Eigentlich ist es absurd. Der größte Diebstahl der Kryptogeschichte wurde fast zur Hälfte durch Werkzeuge gestoppt, die „echte“ Kryptowährung gar nicht haben soll. Bitcoin verhielt sich genau so, wie sein Erfinder es wollte: Eine signierte Überweisung ist endgültig. Die digitalen Dollar verhielten sich wie eine Bank.

Der Knopf, der einem Dieb anderthalb Milliarden entzog, wirkt gegen jeden. Ihn drückt ein Unternehmen, kein Gericht. Es dauert Minuten. Wer USDT hält, besitzt keinen Dollar auf einem Konto, sondern Tethers Versprechen, den Token einzulösen, und dieses Versprechen hat einen Vorbehalt. Viele werden den Tausch vernünftig finden: Auch Banken sperren verdächtige Überweisungen. Nur ist ein Stablecoin näher an einem Bankkonto als an Bargeld in der Tasche, und diese Nacht zeigte den Unterschied besser als jeder Vortrag.

Was das für Binance-Kunden bedeutet

Laut der Börse selbst hat Binance mehr als 335 Millionen registrierte Nutzer. In der Nacht des Hacks stoppte sie Ein- und Auszahlungen und hatte bis zum Morgen des 30. Oktober nicht gesagt, wann sie wieder laufen. Binance-Mitgründerin Yi He versprach, die Börse werde „alle Hackerverluste ausgleichen“, aus dem Versicherungsfonds SAFU und aus eigenen Mitteln. Gründer Changpeng Zhao verfolgte den Diebstahl fast wie ein Zuschauer. „Es sieht tatsächlich nach einem Hack auf Binance aus“, schrieb er auf X und merkte im selben Beitrag an, dass er die Börse nicht mehr leite, aber erwarte, dass die Kundengelder vollständig gedeckt werden.

Seit Februar 2026 wird der SAFU-Fonds in Bitcoin gehalten, und zwar in 15.000. Beim Kurs vom 30. Oktober sind das etwa 1,2 Milliarden Dollar. Stimmt die Schätzung der Börse, ist der nicht eingefrorene Teil des Schadens mit rund 3,3 Milliarden fast dreimal so groß. Der Großteil des Lochs wird also mit dem eigenen Geld der Börse gestopft werden müssen. Der Fonds hält übrigens weniger Bitcoin, als der Angreifer mitgenommen hat.

Die Märkte reagierten sofort, wobei auch schwache Quartalszahlen von Tech-Konzernen auf sie drückten. Bitcoin fiel unter 77.000 Dollar, ein Sechswochentief. BNB, der börseneigene Token, verlor an einem Tag mehr als 8 Prozent.

Wer es war, ist unbekannt. Der Blockchain-Ermittler ZachXBT und das Unternehmen Blockaid nannten Nordkorea als wahrscheinlichen Täter, doch offiziell hat bisher niemand den Angriff zugeordnet. Den Bybit-Diebstahl hat das FBI Nordkorea zugeschrieben. Laut Blockaid finanzierte der Angreifer die ersten Operationen über Tornado Cash, einen Mixer, der die Spur von Überweisungen verwischt. Binance verspricht eine ausführliche technische Nachanalyse, sobald die Fakten geprüft sind.

Jahrelang stritt die Krypto-Community darüber, ob Geld einen Stoppknopf braucht. In einer einzigen Nacht hat einer rund 3 Milliarden gerettet. Der Streit dürfte sich nun verschieben: Wer entscheidet, und nach welchen Regeln, wann man ihn drückt?