TRM und Chainalysis bringen Binance-Hack über 6,4 Mrd. USD mit Nordkoreas TraderTraitor in Verbindung

Drei Blockchain-Analyseunternehmen haben den Hack von Binance in dieser Woche Nordkorea zugeschrieben, wobei zwei der größten TraderTraitor, eine nordkoreanische Hackergruppe, als verantwortlich für das benannten, was beide als den größten Krypto-Diebstahl der Geschichte bezeichnen.

TRM Labs erklärte, es habe die Zuschreibung "mit hoher Zuversicht" vorgenommen, basierend auf "robusten On- und Off-Chain-Informationen". Es bezifferte den Diebstahl auf etwa 6,36 Milliarden Dollar, die aus Binance-Wallets auf 10 Blockchains abgezogen wurden, der Großteil davon in etwa 20 Minuten ab 16:05 Uhr ET am Donnerstag. Das ist etwa das Vierfache des Bybit-Hacks in Höhe von 1,5 Milliarden Dollar vom Februar 2025, den das FBI derselben Gruppe zuschrieb, so TRM.

Chainalysis, das die Gesamtsumme auf etwa 6,4 Milliarden Dollar bezifferte, erklärte, der stärkste Beweis habe sich gezeigt, als seine Ermittler sahen, wie aus Binance gestohlene Gelder in Echtzeit mit Geldern aus dem Bitget-Exploit des letzten Monats vermischt wurden, der nordkoreanischen Akteuren zugeschrieben worden war.

Ein Sprecher von Chainalysis sagte gegenüber CNN, das Unternehmen habe "hohe Zuversicht", dass Nordkorea hinter dem Hack stehe. Das in Singapur ansässige Unternehmen Pangolin Intelligence erklärte ebenfalls gegenüber CNN, es glaube, dass eine nordkoreanische Hackereinheit verantwortlich sei, basierend auf "der Analyse der On-Chain-Aktivität im Zusammenhang mit diesem Hack und der Korrelation mit Informationen aus früheren bekannten Vorfällen". Nordkorea hat Hackvorwürfe in der Vergangenheit bestritten.

TRM und Chainalysis erklärten beide, die operative Wallet des Angreifers sei über Tornado Cash, einen Krypto-Mixer, finanziert worden. TRM erklärte, dies und andere Merkmale, einschließlich einer Vorbereitung, die lange vor dem Diebstahl begann, stimmten mit früheren nordkoreabezogenen Angriffen wie dem Bybit-Hack und dem KelpDAO-Exploit im April überein.

Wie der Angriff funktionierte

Auf Ethereum nutzte der Angreifer eine EIP-7702-Delegation, eine Funktion, die mit Ethereums Pectra-Upgrade eingeführt wurde und es einer gewöhnlichen Wallet ermöglicht, Smart-Contract-Code auszuführen, um eine Binance-Hot-Wallet in einen von ihm kontrollierten Sweeper zu verwandeln, wobei 50 vorab signierte Autorisierungen im Voraus vorbereitet wurden, so TRM. Binance-Wallets auf den anderen neun Chains sendeten Gelder über gewöhnliche signierte Transfers an den Angreifer. Nach TRMs Einschätzung deutet dies auf eine Kompromittierung der Signaturinfrastruktur von Binances Hot Wallet hin.

Binance hat erklärt, dass seine Untersuchung mit dem Laptop eines kompromittierten Ingenieurs begann, aber seitdem weitere Einfallspunkte aufgedeckt hat. Auch der Bybit-Angriff begann mit einem einzigen kompromittierten Rechner: Nordkoreanische Hacker pflanzten bösartigen Code in die Infrastruktur des Wallet-Anbieters Safe, nachdem sie den Computer eines Safe-Entwicklers kompromittiert hatten, Decrypt berichtete damals.

Der Angreifer hat schnell gehandelt, um zu waschen, was er nicht behalten konnte. Chainalysis erklärte, man beobachte "noch nie gesehene Waschmuster", wobei Tausende von Transaktionen in kurzer Zeit auf den Einsatz von Automatisierung hindeuten, um Gelder wiederholt zwischen Adressen zu zirkulieren. Der Angreifer verkaufte zudem USDT an Market Maker und lieh sich ETH gegen USDT beim Kreditprotokoll Aave, um den Einfrierungen der Emittenten zuvorzukommen, so TRM, und hält nun mehr als 420.000 ETH und 18.270 BTC, etwa 2,4 Milliarden Dollar außerhalb der Reichweite jedes Emittenten.

Tether, Circle, Ripple und World Liberty Financial haben etwa 2,67 Milliarden Dollar an Stablecoins eingefroren, und der Sicherheitsrat von Arbitrum hat 8.426 ETH und 74,6 Millionen ARB eingefroren, so TRM. Binance beziffert die insgesamt eingefrorenen Beträge auf etwa 3 Milliarden Dollar.

In einem Update am Freitag erklärte Binance, mehr als 6,34 Milliarden Dollar an Unternehmensmitteln zurückgelegt zu haben, um den Vorfall abzudecken, wovon 5 Milliarden Dollar bereits in genau den Token gehalten werden, die gestohlen wurden. Den Rest kaufe man über Markt- und außerbörsliche Kanäle, was "länger dauern kann, da einige Token möglicherweise eine geringe Liquidität aufweisen", so die Börse. Diese Zahlen enthalten keine eingefrorenen Vermögenswerte.

"Wir werden diesen Sturm überstehen", sagte Binance.

Nordkoreanische Hacker haben die Börse seit Langem im Visier. Im August 2025 sagte Binances Chief Security Officer Jimmy Su gegenüber Decrypt, nordkoreanische Angreifer versuchten jeden Tag, bei Binance eingestellt zu werden, und bezeichnete sie als die einzige größte Bedrohung für Krypto-Unternehmen. Am Mittwoch sanktionierte das US-Finanzministerium 10 Personen und eine Organisation wegen nordkoreanischer IT-Arbeiter-Programme, die Millionen von Dollar in Krypto bewegten.