Binance beziffert den Hack auf 6,3 Milliarden Dollar: Was du jetzt tun kannst

Binance hat am 29. Oktober 2026 erstmals selbst gesagt, wo der Angriff auf die Börse begonnen haben soll: bei einem Arbeitsgerät. Nach der vorläufigen Untersuchung, die das Unternehmen auf seinem Konto bei X veröffentlichte, könnte der Vorfall den kompromittierten Laptop eines DevOps-Ingenieurs betreffen. Über dieses Gerät habe ein Angreifer Zugang zu einem Service-Container erhalten und von dort unberechtigte Abhebungstransaktionen eingereicht. Den geschätzten Gesamtschaden bezifferte Binance in derselben Mitteilung auf rund 6,3 Milliarden Dollar.

Das ist die erste Zahl, die von der Börse selbst kommt. Die Schätzungen der Tage davor stammten aus der Analyse der Blockchain-Daten und lagen tiefer. Für dich als Kunde zählt weniger die Höhe als der zweite Teil der Mitteilung: Binance hat nach eigenen Angaben keinen Hinweis darauf gefunden, dass die privaten Schlüssel seiner Wallets abgeflossen sind. Was das heißt und was es nicht heißt, steht weiter unten.

Was Binance zur Ursache mitteilt: ein kompromittierter Laptop im DevOps-Team

DevOps ist die Abteilung, die bei einem Technologieunternehmen die Brücke zwischen Softwareentwicklung und laufendem Betrieb hält. Wer dort arbeitet, hat von Berufs wegen Zugänge, die normale Angestellte nicht haben: zu Systemen, die im Hintergrund Geld bewegen, Konten abgleichen und Abhebungen freigeben.

Genau dort setzt die Darstellung von Binance an. In der Mitteilung auf X vom 29. Oktober 2026 heißt es, die anfängliche Untersuchung lege nahe, dass der Sicherheitsvorfall einen kompromittierten Laptop eines DevOps-Ingenieurs einbeziehe. Der genaue Angriffsweg werde erst durch die weitere Untersuchung feststehen. Beides steht im Konjunktiv, und das ist kein Zufall: Eine Woche nach einem Vorfall dieser Größe ist die Forensik nicht abgeschlossen.

Dem Mitarbeiter selbst wird in der Mitteilung kein Fehlverhalten zugeschrieben. Ein kompromittiertes Gerät kann über eine Schadsoftware in einem Download, über eine präparierte Entwicklungsbibliothek oder über eine gezielte Nachricht an eine Einzelperson in die Hand von Angreifern geraten. Welcher dieser Wege es war, hat Binance nicht gesagt.

Service-Container und Abhebungs-Schnittstelle: Wie der Weg laut Binance lief

Ein Service-Container ist ein abgeschlossenes Software-Paket, in dem ein einzelner Dienst läuft, etwa die Freigabe von Abhebungen. Container werden eingesetzt, damit ein Dienst isoliert bleibt und sich nicht auf den Rest der Anlage auswirkt, wenn er ausfällt. Die Isolation schützt aber nur so weit, wie der Zugang zu ihr geschützt ist.

Nach der Darstellung von Binance hat der Angreifer über den Laptop Zugriff auf so einen Container erlangt und dann Abhebungen angestoßen, die niemand autorisiert hatte. Technisch unterscheidet sich das grundlegend von dem, was Laien unter einem gehackten Wallet verstehen. Es wurde kein Schlüssel geknackt. Es wurde ein System dazu gebracht, eine Auszahlung für gültig zu halten.

Wie dieser Mechanismus in der Blockchain aussah, haben wir am 29. Oktober in unserem Bericht zum Abfluss aus der Hot Wallet aufgeschrieben.

Keine gestohlenen Private Keys: Warum diese Unterscheidung zählt

Ein privater Schlüssel, im Englischen Private Key, ist die Zeichenfolge, mit der sich Guthaben auf einer Blockchain-Adresse bewegen lässt. Wer ihn hat, kann die Mittel ausgeben, und niemand kann das zurückholen. Deshalb ist die Frage, ob Schlüssel abgeflossen sind, die wichtigste nach jedem Vorfall.

Binance sagt, es habe dafür keinen Hinweis gefunden. Falls das so bleibt, bedeutet es: Die Adressen der Börse sind weiter unter ihrer Kontrolle, und was noch dort liegt, lässt sich bewegen, sobald die Lücke geschlossen ist. Es bedeutet nicht, dass die Mittel sicher gewesen wären, die bereits abgeflossen sind. Diese Überweisungen sind auf der Blockchain abgeschlossen.

Für die Bewertung heißt das auch, dass die Verwahrung in diesem Fall nicht an der Kryptografie gescheitert ist, sondern an einem Zugang im Betrieb. Eine Hardware-Wallet schützt dich gegen genau das: Das Gerät gibt den Schlüssel nie an ein Betriebssystem heraus, und kein Service-Container kann es anweisen. Welche Geräte dafür in Frage kommen und was sie kosten, steht in unserem Vergleich der Hardware-Wallets.

6,3 Milliarden Dollar: Die Spanne der Schadensangaben vom 29. Oktober

Die Angaben zur Höhe gehen weit auseinander, und sie sind an diesem Wochenende noch in Bewegung. Nebeneinandergestellt, mit Stand vom 30. Oktober 2026:

• Rund 2,8 Milliarden Dollar, abgezogen aus einer Hot Wallet: die Schätzung aus den Blockchain-Daten, mit der die Meldungen am 29. Oktober begannen.
• Mehr als 5 Milliarden Dollar: so steht es im Live-Blog von CoinDesk vom 29. Oktober, zu einem Zeitpunkt, als rund 2,5 Milliarden Dollar als eingefroren galten.
• Rund 6,3 Milliarden Dollar: die Schätzung von Binance selbst, veröffentlicht am 29. Oktober auf X.
• Rund 6,36 Milliarden Dollar: die Rechnung des Blockchain-Analyseunternehmens TRM Labs, bewertet zum Kurs der einzelnen Werte beim Abfluss. Zu den Kursen vom 30. Oktober entspricht dasselbe Paket nach dessen Angabe rund 6,23 Milliarden Dollar.

Eine dieser Zahlen auf die andere zu glätten wäre falsch. Die Angaben messen Unterschiedliches: Die On-Chain-Schätzungen zählen, was an identifizierte Angreiferadressen ging, die Zahl der Börse umfasst den Gesamtschaden nach deren eigener Rechnung. Wie die 6,3 Milliarden zustande kommen, hat Binance nicht aufgeschlüsselt.

Zwischen 2,5 und 2,7 Milliarden eingefroren: Tether, Circle und das Arbitrum Security Council

Ein Teil der Beute bewegt sich nicht mehr. Stablecoins wie USDT und USDC laufen über Smart Contracts, deren Herausgeber einzelne Adressen sperren können. Genau das ist passiert, und es ist der Grund, warum die Bilanz dieses Vorfalls anders aussieht als die großer Börsendiebstähle früherer Jahre.

Binance gibt die verifizierten eingefrorenen Mittel mit 2,54 Milliarden Dollar an, davon über 2,37 Milliarden aus Sperren von Tether und Circle. In der Mitteilung vom 29. Oktober nennt die Börse rund 3 Milliarden Dollar, die mit Partnern aus der Blockchain-Branche eingefroren worden seien. TRM Labs zählt mit Stand 30. Oktober, 00:30 UTC, rund 2,7 Milliarden Dollar, die von Herausgebern und vom Security Council der Blockchain Arbitrum gesperrt worden seien, und rund 2,4 Milliarden Dollar, die der Angreifer weiter in Werten außerhalb der Reichweite der Herausgeber halte. Was die Sperren von Tether und Circle im Einzelnen umfassen, haben wir gesondert nachgezählt.

Was eingefroren ist, ist nicht zurückgeholt. Eine Sperre verhindert, dass der Angreifer die Token weiterschiebt oder tauscht. Wem sie am Ende zufallen und über welches Verfahren, entscheidet sich erst später, und bei früheren Fällen hat das Jahre gedauert.

SAFU-Fonds und Firmenmittel: Was Binance zur Entschädigung zusagt

SAFU steht für Secure Asset Fund for Users, einen Reservetopf, den Binance 2018 eingerichtet hat, um Kundenverluste nach Sicherheitsvorfällen zu deckeln. Co-Geschäftsführerin Yi He schrieb auf X, Binance werde alle Verluste aus dem Vorfall über den SAFU-Fonds und eigene Unternehmensmittel tragen; die Kundengelder seien sicher.

Der Fonds ist kein theoretisches Versprechen. Binance hat ihn 2019 eingesetzt, als bei einem Diebstahl rund 7.000 Bitcoin von der Börse abflossen; die Kunden bekamen damals ihr Guthaben ersetzt. Wie groß der Topf heute ist, hat Binance am 29. Oktober nicht mitgeteilt, und einen Zeitplan für die Erstattung ebenfalls nicht.

Eine Zusage dieser Art ist eine Willenserklärung des Unternehmens, keine gesetzliche Einlagensicherung. Bei einem Bankkonto in Deutschland greift die Einlagensicherung bis 100.000 Euro je Kunde kraft Gesetzes. Für Guthaben bei einer Kryptobörse gilt das nicht, auch nicht bei einer zugelassenen. Was eine Zulassung dagegen leistet, steht im nächsten Abschnitt.

Ein- und Auszahlungen ausgesetzt: Der Stand am 30. Oktober

Binance hat Ein- und Auszahlungen vorübergehend gestoppt. Nach unserem Stand vom 30. Oktober laufen sie nach Coin getrennt wieder an, bei Solana und XRP pausierten sie zuletzt noch, während Bitcoin und Ethereum bereits wieder bearbeitet wurden. Einen Termin für die vollständige Freigabe hat die Börse nicht genannt.

Für dich ist das die Lage, die am meisten weh tut, weil sie nichts mit der Schlagzeile zu tun hat: Solange die Auszahlung für deinen Coin aussteht, kommst du nicht an dein Guthaben, unabhängig davon, ob es von dem Angriff überhaupt berührt war. Ein Transfer, den du in dieser Phase anstößt, kann in der Warteschlange hängen bleiben, ohne dass du ihn zurücknehmen kannst.

TraderTraitor: Was TRM Labs dem Angreifer zuschreibt

Seit der Nacht liegt eine Zuschreibung von einem Haus vor, das solche Fälle beruflich untersucht. Das Blockchain-Analyseunternehmen TRM Labs ordnet den Angriff der Gruppe TraderTraitor zu, die es als Nordkoreas Spezialeinheit für Hackerangriffe bezeichnet, und schreibt, es treffe dieses Urteil mit hoher Sicherheit. Gestützt sei die Einschätzung nach eigener Darstellung auf Daten aus der Blockchain und auf Erkenntnisse außerhalb davon. Derselben Gruppe habe das FBI den Angriff auf die Börse Bybit im Jahr 2025 zugeordnet.

Der Ablauf, den TRM Labs beschreibt, ergänzt die Darstellung der Börse an einer Stelle, auf die es für die Bewertung ankommt. Auf Ethereum sei eine Hot Wallet von Binance über eine Delegation nach dem Standard EIP-7702 in einen fremdgesteuerten Abräumer verwandelt worden. Auf neun weiteren Blockchains hätten die Wallets dagegen regulär signierte Überweisungen verschickt, woraus das Unternehmen auf eine Kompromittierung der Signatur-Infrastruktur dieser Hot Wallets schließt. Der Abfluss habe sich über zehn Blockchains verteilt, der größte Teil in etwa 20 Minuten ab 20:05 UTC. Binance selbst hat erklärt, keinen Hinweis auf abgeflossene private Schlüssel gefunden zu haben. Beide Darstellungen stehen nebeneinander, aufgelöst ist der Unterschied nicht.

Für deinen Zugriff auf das Guthaben und für die Erstattungszusage ändert die Zuschreibung nichts. Sie ist die Einschätzung eines Analyseunternehmens und keine behördliche Feststellung; Binance hat sich ihr nicht angeschlossen und keinen Urheber benannt. Belanglos ist sie für die Rückholung trotzdem nicht, denn gesperrte Mittel blieben bei staatlich zugeordneten Angriffen in der Vergangenheit über Jahre in Verfahren gebunden.

Rund 1,5 Milliarden Dollar Liquidationen: Die Marktfolgen am Freitagmorgen

Der Markt hat auf die Meldung heftiger reagiert als auf die Zahl. Nach den Daten von CoinGecko kostet Bitcoin am 30. Oktober 2026 77.563 Dollar, ein Minus von 3,20 Prozent binnen 24 Stunden. Ether notiert bei 2.225,86 Dollar und verliert 4,03 Prozent und damit mehr als Bitcoin. BNB, der Token der Börse selbst, trägt den Vorfall am deutlichsten: 702,35 Dollar nach einem Minus von 6,27 Prozent. Solana steht bei 96,73 Dollar mit minus 3,43 Prozent, XRP bei 1,25 Dollar mit minus 3,03 Prozent.

Härter traf es die Hebelpositionen. Die Zwangsliquidationen am gesamten Kryptomarkt liegen binnen 24 Stunden bei rund 1,5 Milliarden Dollar; die Zählung führt Coinglass fort, dessen Auszug CoinCentral am 30. Oktober mit 1,5 Milliarden Dollar wiedergibt. Die Angaben der Berichte schwanken je nach Messzeitpunkt zwischen 1,49 und 1,54 Milliarden Dollar, und der größere Teil entfällt auf Kaufpositionen. Ein laufender Zähler ist keine feste Zahl: Wer ihn später aufruft, sieht ein anderes Fenster.

Hebel und Liquidation: Was ein gesperrtes Konto bei offenen Positionen bedeutet

Eine Liquidation ist die Zwangsschließung einer gehebelten Position durch die Börse, sobald die Sicherheitsleistung nicht mehr reicht. Bei einem fünffachen Hebel genügen dafür rund 20 Prozent Kursbewegung gegen dich, bei zehnfachem Hebel rund 10 Prozent. Die Zahlen oben sind das Ergebnis dieser Mechanik an einem einzigen Tag.

Die Besonderheit bei einem Vorfall wie diesem: Pausierte Ein- und Auszahlungen nehmen dir die Möglichkeit, Sicherheitsleistung nachzuschieben. Wer eine gehebelte Position offen hat und frisches Guthaben nachlegen wollte, kann das nicht, wenn die Einzahlung für den betreffenden Coin steht. Die Position läuft trotzdem weiter und wird trotzdem liquidiert.

Verwahrung und Schlüsselverwaltung: Hardware-Wallet gegen Börsenkonto

Der Vorfall legt eine Trennlinie offen, die im Alltag leicht verschwimmt. Guthaben auf einem Börsenkonto ist eine Forderung gegen das Unternehmen; die Schlüssel hält die Börse. Guthaben in einer eigenen Wallet ist Besitz; die Schlüssel hältst du. Im ersten Fall hängt die Sicherheit an der Betriebssicherheit eines Konzerns, im zweiten an deiner eigenen Sorgfalt.

Beides hat Preise. Eine Hardware-Wallet kostet Geld und verlangt, dass du deine Wiederherstellungswörter so aufbewahrst, dass weder Feuer noch Fremde sie erreichen; verlierst du sie, ist das Guthaben weg, und niemand kann helfen. Eine Börse nimmt dir diese Last ab und gibt dir dafür das Risiko, das dieser 29. Oktober gezeigt hat. Wer größere Bestände hält und sie nicht handelt, verschiebt die Abwägung üblicherweise in Richtung eigener Verwahrung.

Kaufweg in Deutschland: MiCA-Zulassung und was sie abdeckt

Seit der EU-Verordnung MiCA brauchen Kryptodienstleister eine Zulassung, um in Deutschland Kunden zu bedienen; die BaFin beaufsichtigt sie. Die Zulassung schreibt Anforderungen an die Trennung von Kundenvermögen, an die Verwahrung und an die Berichtspflichten fest. Welche Pflichten das im Einzelnen sind, hängt von der Art der Dienstleistung ab.

Was MiCA nicht leistet: Die Verordnung ersetzt keine Einlagensicherung und verhindert keinen Einbruch über ein Mitarbeitergerät. Vorgeschrieben ist aber, dass ein Anbieter nachweisen muss, wie er Kundenvermögen hält, und dass eine Aufsicht Zugriff auf diese Nachweise hat. Welche Anbieter in Deutschland zugelassen sind, lässt sich im Register der BaFin nachsehen.

Haltefrist und Steuer: Was ein Zwangsverkauf in dieser Lage auslöst

In Deutschland bleiben Gewinne aus dem Verkauf von Kryptowährungen nach einer Haltedauer von mehr als einem Jahr steuerfrei; innerhalb des Jahres sind sie als privates Veräußerungsgeschäft steuerpflichtig, mit einer Freigrenze von 1.000 Euro pro Jahr.

Das ist in dieser Woche mehr als eine Fußnote. Wer in Panik verkauft und dabei eine Position unter einem Jahr auflöst, verliert den Kurs und zusätzlich die Frist, die bis dahin lief. Eine Liquidation wirkt steuerlich wie ein Verkauf, auch wenn du sie nicht ausgelöst hast. Für die Abrechnung brauchst du den Anschaffungszeitpunkt jeder einzelnen Tranche, und wenn eine Börse Auszahlungen pausiert, sind die Exporte dafür nicht immer sofort verfügbar. Die Unterlagen jetzt zu sichern, kostet nichts.

Binance-Hack: Bis zur Freigabe bleibt das Guthaben fest

Der Vorfall ist von Binance bestätigt, die Ursache ist benannt, aber nicht abschließend geklärt, und die Schadenszahl ist die Schätzung der Börse, nicht ein geprüfter Wert. Drei Dinge sind in dieser Lage sinnvoll:

1. Prüfe, welcher Teil deiner Bestände auf einem Börsenkonto liegt und welcher in eigener Verwahrung, und entscheide für die Bestände, die du nicht handelst, ob sie dort richtig liegen. Der Vergleich der Hardware-Wallets nennt die Geräte und die Preise.
2. Stoße in der Phase pausierter Auszahlungen keinen Transfer an, den du nicht zurücknehmen kannst, und lege keine gehebelte Position neu auf, solange du keine Sicherheitsleistung nachschieben kannst. Wo gehebelt gehandelt wird und zu welchen Bedingungen, zeigt der Vergleich der Perp-DEX.
3. Sieh nach, ob dein Anbieter in Deutschland zugelassen ist und wie er Kundenvermögen trennt; der Vergleich der regulierten Kryptobörsen führt die Anbieter mit ihren Konditionen auf.

(Stand: 30. Oktober 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)