Binance-Hack: FBI nennt Nordkorea und listet mehr als 600 Adressen

Das FBI hat den Diebstahl von mehr als sechs Milliarden Dollar bei Binance offiziell Nordkorea zugeordnet und dazu eine Liste von Adressen veröffentlicht, die Teile der Beute gehalten haben. Für Halter in Deutschland ist das vor allem eine Nachricht über Geldwäsche und über die Frage, was passiert, wenn markierte Coins irgendwann an einer regulierten Börse ankommen. Deine eigenen Guthaben bei Binance sind von der Liste nicht betroffen: Die Börse hat nach eigenen Angaben 90 Prozent der fehlenden Bestände aus Firmenmitteln ersetzt und die Auszahlungen wieder geöffnet.

Was in der FBI-Mitteilung vom 31. Oktober steht

Die Bundespolizei der USA hat ihre Mitteilung am Samstag, dem 31. Oktober 2026, gemeinsam mit dem Secret Service und der Steuerfahndung IRS Criminal Investigation herausgegeben. Darin heißt es nach Angaben mehrerer Nachrichtenagenturen, Nordkorea sei für den Diebstahl von mehr als sechs Milliarden Dollar an virtuellen Vermögenswerten bei der Kryptobörse Binance verantwortlich, begangen am oder um den 29. Oktober 2026. Die Behörde benennt die dafür verantwortliche Gruppe als TraderTraitor.

Zwei Dinge stehen in der Mitteilung, die über die bloße Zuordnung hinausgehen. Erstens eine Liste von Adressen auf drei Blockchains, über die gestohlene Mittel gelaufen sind. Zweitens die Bitte an eine ganze Reihe von Unternehmen, Transaktionen mit diesen Adressen zu blockieren. Das FBI rechnet damit, dass die Angreifer die Beute weiter über dezentrale Finanzdienste und Sofort-Tauschdienste bewegen.

Bis zu diesem Samstag war die Zuordnung eine Einschätzung privater Analysefirmen. TRM Labs und Chainalysis hatten die Spur früh nach Nordkorea gezogen, und wir haben den Stand dieser Vermutung am 30. Oktober zusammengefasst. Seit dem 31. Oktober steht eine Behörde dahinter, die den Fall ermittelt.

TraderTraitor: Wie das FBI die Gruppe Nordkorea zuordnet

TraderTraitor ist der Name, den US-Behörden seit 2022 für eine staatlich getragene nordkoreanische Angriffskampagne gegen Krypto-Unternehmen verwenden. Charakteristisch ist nicht der technische Einbruch, sondern der Weg dorthin: gefälschte Stellenangebote, präparierte Bewerbungsunterlagen und Handelssoftware, über Monate aufgebaute Kontakte zu Beschäftigten. Dieselbe Gruppe wird nach Darstellung der Behörden auch für den Bybit-Diebstahl von rund 1,46 Milliarden Dollar im Jahr 2025 verantwortlich gemacht.

Die Analysefirma Elliptic, die den Fall seit dem Abend des 29. Oktober auf der Blockchain nachvollzieht, war vor dem FBI zu derselben Einschätzung gekommen. Die Begründung der Firma stützt sich auf drei Beobachtungen. Die gestohlenen Mittel werden gemeinsam mit den Erlösen des Bitget-Angriffs gewaschen, den Elliptic ebenfalls Nordkorea zuordnet. Die Angreifer nutzen dieselben Dienste wie bei früheren TraderTraitor-Diebstählen bei BigONE, WOO X und AFX. Und sie haben elf Blockchains in etwa drei Stunden parallel bedient, was nach Elliptics Darstellung nur wenige Akteure koordinieren können.

Wichtig für die Einordnung: Eine behördliche Zuordnung ist kein Gerichtsurteil, und sie ist auch keine Sanktionsentscheidung. Eine solche Zuordnung sagt, auf welche Spur die Beweise aus Sicht der Ermittler zeigen.

Mehr als 600 Ethereum-Adressen, knapp 20 für Bitcoin, eine für Solana

Die Liste des FBI umfasst nach Darstellung mehrerer Fachmedien mehr als 600 Adressen auf Ethereum, knapp 20 Adressen auf Bitcoin und eine einzige Adresse auf Solana. Diese Verteilung ist kein Zufall, sondern folgt der Zusammensetzung der Beute.

Elliptic beziffert den Diebstahl auf 6,43 Milliarden Dollar, Binance selbst nennt rund 6,3 Milliarden, TRM Labs etwa 6,36 Milliarden. Die Spanne entsteht durch Kursstände zum Zeitpunkt der Bewertung und dadurch, welche Abflüsse man dem Angriff zurechnet. Elliptic lässt zum Beispiel 169 Millionen Dollar ausdrücklich außen vor, die nach dem Auszahlungsstopp abflossen und die die Firma für Umbuchungen von Binance selbst hält.

Nach Elliptics Aufschlüsselung entfielen auf Ethereum 3,80 Milliarden Dollar in 186 verschiedenen Token, darunter 1,9 Milliarden USDT und 823 Millionen USDC. Auf Bitcoin gingen 18.270 BTC im Wert von 1,48 Milliarden Dollar. Über Tron liefen 612,7 Millionen USDT, über das XRP Ledger 233 Millionen XRP. Betroffen waren außerdem Solana, NEAR, Base, Optimism, Arbitrum, Avalanche und Polygon. Vier Posten machten zusammen 74 Prozent des Diebstahls aus: USDT auf Ethereum, Bitcoin, USDC und USDT auf Tron.

Dass auf Ethereum über 600 Adressen stehen und auf Solana eine, sagt also weniger über die Blockchains als über die Technik der Täter. Auf Ethereum verteilt ein Angreifer Beute in vielen kleinen Schritten über Verträge und Hilfsadressen. Eine einzelne Überweisung auf Ethereum bewegte am 29. Oktober um 20:24 UTC Werte von 2,53 Milliarden Dollar.

THORNodes, RPC-Knoten, Instant-Tauschdienste: An wen sich die Sperrbitte richtet

Die Adressaten der Bitte sind ungewöhnlich konkret. Das FBI, der Secret Service und IRS-CI haben nach Darstellung von CoinDesk private Unternehmen angesprochen, darunter ausdrücklich Betreiber von THORNodes und Betreiber von RPC-Knoten, dazu Sofort-Tauschdienste, dezentrale Finanzdienste, Blockchain-Analysefirmen und weitere Dienstleister für virtuelle Werte.

Ein RPC-Knoten ist der Server, über den eine Wallet oder eine App mit einer Blockchain spricht: Er nimmt Transaktionen an und leitet sie ins Netzwerk weiter. Ein THORNode ist ein Knoten des Protokolls THORChain, über das sich Coins blockchainübergreifend tauschen lassen, ohne dass eine Börse dazwischensteht. Beide sind keine Finanzdienstleister im klassischen Sinn, und beide sitzen an einer Stelle, an der man eine Überweisung praktisch abweisen kann, bevor sie im Netzwerk landet.

Darin liegt die eigentliche Neuigkeit dieser Mitteilung. Die Behörden wenden sich über Börsen und Stablecoin-Herausgeber hinaus, die Guthaben einfrieren können, an die technische Infrastruktur dahinter. Wer einen RPC-Endpunkt betreibt, erfüllt damit eine Funktion, die der Gesetzgeber bisher kaum adressiert hat.

Eine Sperrbitte ist keine Beschlagnahme und keine Sanktion

Der wichtigste Satz über diese Liste ist der, was sie nicht leistet. Die Mitteilung ist eine Bitte an Unternehmen, keine Anordnung, und enthält nach dem bisher Berichteten keine Sanktionsentscheidung des US-Finanzministeriums, mit der die Adressen auf die SDN-Liste gesetzt würden, und sie ermächtigt niemanden, eingefrorene Guthaben an Binance oder an Kunden zurückzugeben.

Das ist ein Unterschied mit praktischen Folgen. Eine Sanktionslistung verpflichtet jedes Unternehmen mit US-Bezug, Geschäfte mit der Adresse zu unterlassen, und sie wirkt über das US-Recht hinaus auf Banken und Zahlungsdienstleister. Eine Bitte des FBI wirkt dagegen über Compliance-Abteilungen, über Analyse-Software und über die Entscheidung einzelner Betreiber. Wer ihr folgt, tut es freiwillig oder weil die eigene Geldwäscheprüfung es ohnehin verlangt.

Für die Rückgabe der bereits eingefrorenen Mittel braucht es einen eigenen Weg: Beschlagnahmebeschlüsse, Verfahren in den Ländern der jeweiligen Herausgeber oder zivilrechtliche Schritte. Dieser Teil des Falls wird Monate dauern.

2,85 Milliarden Dollar eingefroren: Warum Stablecoins anders liegen als Bitcoin

Elliptic hat nach eigener Prüfung 2,85 Milliarden Dollar als eingefroren oder gesichert verifiziert, das sind 44 Prozent der Beute. Binance selbst spricht von rund drei Milliarden. Auffällig ist die Zusammensetzung: 94 Prozent der eingefrorenen Summe sind Stablecoins.

Der Grund liegt in der Bauweise. Ein Stablecoin wie USDT oder USDC ist ein Schuldversprechen eines Unternehmens, das in einem Vertrag auf einer Blockchain abgebildet ist, und dieser Vertrag kennt eine Sperrfunktion. Tether, Circle und Ripple konnten Guthaben an bestimmten Adressen deshalb per Knopfdruck stilllegen; die erste USDT-Sperre lief noch am Abend des Angriffs. Beim Protokoll Arbitrum hat zusätzlich der Security Council eingegriffen, bei Optimism hat laut Berichten die Governance Mittel aus dem Zugriff des Angreifers genommen.

Native Coins funktionieren nicht so. Bei Bitcoin, XRP, Solana und NEAR gibt es keinen Herausgeber, der eine Adresse abschalten kann. Genau diese Bestände hält der Angreifer nach Elliptics Zählung weiterhin: rund 3,21 Milliarden Dollar, darunter 519.104 ETH im Wert von etwa 1,16 Milliarden Dollar und die 18.270 BTC im Wert von etwa 1,41 Milliarden Dollar.

Diese Zensurresistenz ist dasselbe Merkmal, das Bitcoin für Anleger attraktiv macht. Im Diebstahlsfall arbeitet es gegen die Geschädigten. Eine Sperrliste ist deshalb das einzige Werkzeug, das bei nativen Coins überhaupt greift: Man kann die Münzen nicht anhalten, nur die Türen, durch die sie in das regulierte Finanzsystem wollen.

EIP-7702: Die Delegation, mit der Binances eigene Systeme unterschrieben

Binance hatte am Tag nach dem Angriff einen kompromittierten Laptop eines DevOps-Ingenieurs als möglichen Einstieg genannt und zugleich erklärt, es gebe zu diesem Zeitpunkt keinen Hinweis auf einen abgeflossenen privaten Schlüssel. Elliptics Analyse deutet darauf hin, dass der Angreifer keinen Schlüssel brauchte, sondern eine Funktion, die Ethereum erst seit 2025 kennt. Den technischen Ablauf an der Hot Wallet haben wir am Tag des Angriffs im Einzelnen aufgeschrieben.

EIP-7702 erlaubt es, einem normalen Konto per Signatur einen Vertrag als Stellvertreter zuzuweisen. Das Konto verhält sich danach wie ein programmierbares Wallet. Gedacht ist die Funktion für Bequemlichkeit, etwa damit eine App Gebühren übernehmen oder mehrere Schritte zu einer Transaktion bündeln kann. Nach Elliptics Darstellung trug eine einzige Transaktion am 29. Oktober um 20:20 UTC 50 solcher Bevollmächtigungen und übergab damit die Kontrolle über die Binance-Hot-Wallet mit der Bezeichnung „Binance 14“ an einen Sweeper-Vertrag, der die Guthaben danach selbsttätig abzog.

Ein Sweeper-Vertrag ist ein Programm, das eingehende oder vorhandene Guthaben automatisch auf eine Zieladresse weiterleitet. Binance-Chef Richard Teng sagte am 30. Oktober, der Angriff sei „nicht von einer Person ausgeführt“ worden. Die erste Überweisung aus Binance-Wallets lief nach Elliptics Zeitleiste am 29. Oktober um 20:05 UTC über das XRP Ledger.

Für Halter ist daran ein Punkt bemerkenswert: Die Beute verließ die Börse nicht, weil eine Blockchain versagte, sondern weil ein Freigabeprozess im Unternehmen umgangen wurde. Bei einer Hardware-Wallet in deiner eigenen Hand liegt diese Freigabe bei dir, und sie liegt auf einem Gerät, das keine Delegation annimmt, die du nicht auf dem Display bestätigt hast.

Aave, SunSwap und 546 Überweisungen: Die Wäsche läuft automatisiert

Was die Angreifer seit dem 30. Oktober tun, erklärt, warum eine Liste mit 600 Adressen schnell veraltet. Elliptic hat mehrere Wege dokumentiert, auf denen gesperrbare Stablecoins in nicht sperrbare Coins verwandelt werden.

434 Millionen USDT wurden über dezentrale Börsen und Market Maker in 160.451 ETH getauscht, mit einem rechnerischen Abschlag von 12 bis 26 Prozent gegenüber dem Marktpreis. 59,9 Millionen USDT gingen als Sicherheit in das Kreditprotokoll Aave, dagegen liehen sich die Angreifer 19.762 ETH; Aave hat die betroffenen Märkte eingefroren, der Kredit steht noch offen. Über Tron wurden 234 Millionen USDT auf SunSwap in 638 Millionen TRX getauscht, wovon zwischen 38 und 67 Millionen Dollar die von Elliptic verfolgten Adressen bereits verlassen haben. Die Bitcoin-Bestände laufen über eine Peel Chain, bei der von einer großen Summe in jedem Schritt ein kleiner Teil abgespalten wird, verteilt auf 19 Adressen; davon ist nach Elliptics Stand noch nichts bei einem Dienstleister angekommen.

Besonders aufschlussreich ist das Tempo. Die wichtigste Tron-Wäschewallet setzte ab dem 30. Oktober 546 Überweisungen ab, der mittlere Abstand lag bei 96 Sekunden, die längste Pause bei 39 Minuten. Elliptic hält das für Software und schreibt ausdrücklich, dass sich nicht feststellen lässt, ob KI-Agenten beteiligt sind.

Chainalysis-Chef Jonathan Levin sagte CoinDesk, die Angreifer hätten bereits „Tausende Adressen“ benutzt, und ergänzte: „Wir erwarten, dass daraus in den kommenden Wochen Zehntausende werden.“ Ari Redbord, Chief Policy Officer bei TRM Labs, rechnet damit, dass die Beute aufgeteilt und über Monate durch kleinere Börsen geschleust wird; den Diebstahl selbst nannte er gegenüber dem australischen Sender ABC einen „Bankraub, in diesem Fall mit der Geschwindigkeit des Internets“. Beide Firmen betonen, dass die Mittel in Echtzeit verfolgbar bleiben.

Tainted Coins: Wann eine Einzahlung bei einer Börse hängen bleibt

Die Frage, die Halter in Deutschland an diesem Fall wirklich berührt, lautet: Kann es mir passieren, dass Coins auf meinem Konto als belastet gelten, weil irgendwann in ihrer Vorgeschichte eine dieser Adressen auftaucht?

Der Fachbegriff dafür ist Tainted Coins: Coins, deren nachvollziehbare Herkunft eine markierte Adresse berührt. Die Analyse-Software, mit der Börsen Einzahlungen prüfen, vergibt dafür einen Risikowert, und sie betrachtet neben dem direkten Absender mehrere Stationen zurück. Je nach Einstellung reicht eine indirekte Verbindung über zwei oder drei Zwischenschritte, damit eine Einzahlung in die manuelle Prüfung läuft.

In der Praxis ist das Risiko für normale Käufer gering, aber es ist nicht null. Wer Bitcoin bei einer regulierten Plattform kauft und dort verwahrt, hat mit der Vorgeschichte nichts zu tun. Wer dagegen über dezentrale Börsen, Sofort-Tauschdienste oder Peer-to-Peer-Handel einkauft, nimmt die Vorgeschichte der erhaltenen Coins mit. Ein Betrag, der aus dieser Richtung kommt und später bei einer Börse eingezahlt wird, kann vorübergehend festgehalten werden, bis die Herkunft geklärt ist.

Realistisch sieht das so aus: Die Plattform fragt nach einem Herkunftsnachweis, also nach Kaufbelegen, Kontoauszügen oder Transaktionsverläufen. Wer diese Unterlagen hat, bekommt sein Guthaben in der Regel frei. Wer sie nicht hat, verhandelt mit einer Compliance-Abteilung. Aus dieser Mechanik folgt der nüchterne Rat, Kaufbelege zu archivieren, und zwar unabhängig von diesem Fall: Dieselben Unterlagen brauchst du am Ende auch fürs Finanzamt.

Geldwäscheaufsicht in Deutschland: Was MiCA-Plattformen leisten müssen

Für in Deutschland tätige Anbieter gilt seit dem vollständigen Anlaufen der MiCA-Verordnung ein dichteres Netz an Pflichten als vor 2025. Krypto-Dienstleister mit Zulassung unterliegen dem Geldwäschegesetz, müssen Transaktionen überwachen, Verdachtsmeldungen an die Financial Intelligence Unit abgeben und bei begründetem Verdacht Vermögenswerte vorläufig festhalten.

Eine FBI-Liste ist für eine deutsche Plattform kein Rechtsakt, aber sie ist ein belastbarer Anhaltspunkt. Sobald ein Anbieter von einer behördlich zugeordneten Adresse weiß, kann er sich auf Unkenntnis nicht mehr berufen. In der Aufsichtspraxis führt das dazu, dass solche Listen binnen Tagen in die Prüfregeln der Anbieter einfließen, auch ohne Anordnung aus Brüssel oder Bonn.

Ein zweiter Punkt betrifft die Herausgeber von Stablecoins. USDC-Herausgeber Circle und USDT-Herausgeber Tether haben in diesem Fall gesperrt, bevor eine Behörde dazu aufforderte. Unter MiCA brauchen Herausgeber von E-Geld-Token eine Zulassung in der EU, und ihre Sperrpraxis wird damit Teil der beaufsichtigten Tätigkeit. Für Halter heißt das zweierlei: Stablecoins sind der Teil des Marktes, bei dem Diebesgut am ehesten zurückgeholt wird, und sie sind derselbe Teil, bei dem eine fremde Stelle dein Guthaben technisch stilllegen kann.

FBI-Sperrliste: 600 Adressen sind nur der Anfang der Spur

Die Liste des FBI beschreibt einen Zwischenstand vom 31. Oktober, und Chainalysis rechnet schon jetzt mit Zehntausenden Adressen. Drei Schritte lohnen sich daraus für dein eigenes Depot.

1. Prüfe, wo deine Coins liegen und wer dort reguliert ist. Eine Plattform mit EU-Zulassung unterliegt der Geldwäscheaufsicht und der Pflicht, Kundenbestände getrennt zu halten. Welche Anbieter das in Deutschland nachweisen, steht in unserer Übersicht der regulierten Kryptobörsen.
2. Trenne Langfristbestand und Handelsguthaben. Was du jahrelang halten willst, muss nicht auf einer Börse liegen. Der Binance-Fall zeigt, dass auch der größte Anbieter ein Ziel ist; dass Binance den Schaden aus Firmenmitteln deckt, war eine Entscheidung des Unternehmens und kein Anspruch der Kunden. Die Alternativen vergleicht unsere Übersicht der Software-Wallets.
3. Archiviere Kaufbelege für jede Position. Herkunftsnachweise sind das einzige Mittel gegen eine festgehaltene Einzahlung, und sie sind dieselben Unterlagen, die du bei einem Wechsel des Anbieters brauchst. Wo in Deutschland zu welchen Kosten gekauft wird, zeigt der Vergleich der Kryptobörsen.

Offen bleibt das Wichtigste: ob aus der Bitte eine Sanktionslistung wird. Setzt das US-Finanzministerium die Adressen auf die SDN-Liste, ändert sich die Lage für jedes Unternehmen mit US-Bezug von freiwillig zu verpflichtend. Bis dahin entscheidet jeder Betreiber selbst, und genau das macht den Erfolg dieser Liste schwer messbar.

Die Belege zu diesem Artikel: die On-Chain-Analyse von Elliptic mit der Aufschlüsselung je Blockchain und der Zeitleiste des Angriffs, und der Bericht des australischen Senders ABC zur FBI-Mitteilung mit den Aussagen von TRM Labs. Die Mitteilung des FBI selbst ist über die Webseite der Behörde veröffentlicht; automatisierte Abrufe weist fbi.gov ab.

(Stand: 1. November 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)