Binance-Hack: Ermittler vermuten nordkoreanische TraderTraitor-Gruppe

Ein Milliarden-Hack erschüttert Binance und lenkt den Verdacht auf das nordkoreanische Lazarus-Umfeld. Während Stablecoins eingefroren werden konnten, setzt der mutmaßliche Angreifer Millionen TRX in Bewegung – mit spürbaren Folgen für den Kurs und den gesamten Kryptomarkt. Der Pressespiegel beleuchtet Täterspuren, Schadenssummen, Sicherheitslücken und die Reaktionen von Binance und Riot Platforms.

Binance-Hack: Ermittler vermuten nordkoreanische TraderTraitor-Gruppe

Mehrere Blockchain-Ermittler bringen den Angriff auf Binance wahrscheinlich mit der nordkoreanischen Hackergruppe TraderTraitor aus dem Umfeld der Lazarus-Gruppe in Verbindung. CoinDesk berichtet, dass TRM Labs diese Einschätzung mit „hohem Vertrauen“ vertritt, während Chainalysis den Angriff ebenfalls wahrscheinlich TraderTraitor zuschreibt.

Eine endgültige Zuordnung liegt laut den Berichten jedoch noch nicht vor. Binance und Behörden haben keinen Angreifer benannt. ZachXBT bezeichnete den Angreifer laut CoinDesk als „wahrscheinlich Lazarus“. Auch Blockaid sieht bei den beobachteten Taktiken und dem technischen Niveau Übereinstimmungen mit bekannten Operationen der Demokratischen Volksrepublik Korea.

Der Schaden wird in den Quellen unterschiedlich beziffert. Binance nennt rund 6,3 Milliarden Dollar, TRM Labs kommt auf etwa 6,36 Milliarden Dollar und CoinDesk berichtet von über 6 Milliarden US-Dollar an gestohlenen Krypto-Vermögenswerten.

Nach Angaben von Binance wurde der Angriffsvektor auf den kompromittierten Laptop eines DevOps-Ingenieurs zurückgeführt. Der Angreifer soll darüber Zugang zu einem Service-Container erhalten und nicht autorisierte Auszahlungen eingereicht haben. Binance erklärte zugleich, dass keine privaten Wallet-Schlüssel abgeflossen seien.

„Die bisher beobachteten Taktiken und das Niveau der Raffinesse stimmen mit den Arten von Operationen überein, die wir von der DVRK kennen“, sagte Ido Ben-Natan von Blockaid laut CoinDesk.

TRM Labs und Chainalysis verweisen auf Verbindungen zu früheren Angriffen. Dazu zählen der Hack der Börse Bybit im Februar 2025 mit einem Schaden von 1,5 Milliarden Dollar sowie der Angriff auf KelpDAO im April 2026. Die Lazarus-Gruppe wird außerdem mit dem 625-Millionen-Dollar-Hack des Ronin-Netzwerks im Jahr 2022 und dem 292-Millionen-Dollar-Exploit von KelpDAO in Verbindung gebracht.

CoinDesk nennt als weiteren Hintergrund den 1,46 Milliarden US-Dollar schweren Bybit-Hack im vergangenen Jahr. Zum Zeitpunkt des Angriffs im Februar 2025 sei dies der größte derartige Angriff in der Geschichte gewesen.

Infobox: TRM Labs und Chainalysis sehen TraderTraitor als wahrscheinlichen Täter. Eine behördliche Bestätigung liegt laut den Quellen nicht vor. Binance führt den Angriff auf einen kompromittierten Laptop eines DevOps-Ingenieurs zurück.

TRX unter Druck: 575 Millionen TRX beim Binance-Angreifer

CryptoTicker.io berichtet, dass TRX am 30. Oktober 2026 um 8,96 Prozent auf 0,3304 Dollar gefallen ist. Damit war TRX der größte Verlierer unter den 25 größten Kryptowährungen.

Als Grund nennt der Bericht einen Bestand von rund 575 Millionen TRX, der nach dem Binance-Diebstahl beim Angreifer liegen soll. Anders als Stablecoins wie USDT und USDC könne dieser Bestand von keinem Unternehmen eingefroren werden. Der Angreifer habe am Morgen des 30. Oktober begonnen, die TRX in kleinen Beträgen zu verkaufen.

Der Kurs lag am Abend des 30. Oktober bei 0,3304 Dollar. Das Tageshoch betrug 0,3665 Dollar, das Tagestief 0,3299 Dollar. Auf Wochensicht lag TRX laut CryptoTicker.io bei plus 0,08 Prozent.

Zum Vergleich verlor Bitcoin im selben Zeitraum 3,06 Prozent, während Ether 1,66 Prozent nachgab. TRX fiel damit laut CryptoTicker.io fast dreimal so stark wie Bitcoin.

Elliptic zufolge wurden die gestohlenen 638 Millionen TRX am Morgen des 30. Oktober auf fünf neue Adressen verteilt. Vier Adressen bewegten sich danach nicht. Aus der fünften Adresse wurden TRX in kleinen Beträgen abgezogen, in USDT getauscht und über Tauschdienste und Brücken weitergeleitet.

CryptoTicker.io beziffert den beim Angreifer verbliebenen Bestand auf rund 575 Millionen TRX. Zum Kurs von 0,3304 Dollar entspreche dies rund 190 Millionen Dollar. Gemessen an der Umlaufmenge von 95,02 Milliarden TRX seien dies 0,61 Prozent aller Token.

Nach Angaben des Berichts wurden bei SunSwap 234 Millionen der gestohlenen USDT in 638 Millionen TRX getauscht. Daraus ergibt sich laut CryptoTicker.io ein Einstiegskurs von 0,367 Dollar je TRX. Dieser Wert lag praktisch am Tageshoch von 0,3665 Dollar.

Elliptic zufolge verließen bisher zwischen 20 und 36 Millionen Dollar an TRX die beobachteten Adressen. Das Verkaufstempo habe sich am Abend des 30. Oktober mehr als verdoppelt.

Infobox: TRX verlor 8,96 Prozent und notierte bei 0,3304 Dollar. Rund 575 Millionen TRX sollen noch beim Angreifer liegen; vier von fünf beobachteten Adressen bewegten sich laut CryptoTicker.io bislang nicht.

Stablecoins eingefroren, TRX nicht blockierbar

CryptoTicker.io erklärt den Unterschied zwischen Stablecoins und Netzwerk-Token anhand des Binance-Angriffs. USDT wird von Tether herausgegeben, USDC von Circle. Beide Unternehmen können einzelne Guthaben über Funktionen ihrer Token-Verträge stilllegen.

Tether habe 1,18 Milliarden USDT gesperrt, Circle 823 Millionen USDC. Elliptic beziffert den insgesamt eingefrorenen Betrag auf 2,84 Milliarden Dollar beziehungsweise 44 Prozent der Beute. 94 Prozent dieses eingefrorenen Betrags seien Stablecoins.

TRX verfügt laut dem Bericht über keinen vergleichbaren Emittenten. Der Token entsteht aus dem Tron-Protokoll, sodass kein Unternehmen fremde TRX-Guthaben nachträglich stilllegen könne.

Elliptic listet rund 3,23 Milliarden Dollar auf, die jenseits einer Emittenten-Sperre liegen. Dazu gehören 519.104 Ether, 18.270 Bitcoin, 233 Millionen XRP und rund 575 Millionen TRX.

TRM Labs zufolge verließen auf der Tron-Blockchain 612,7 Millionen USDT und 46,4 Millionen TRX die Binance-Hot-Wallet. Die Transfers sollen innerhalb von zwei Minuten nach einer Bitcoin-Überweisung um 20:20 Uhr UTC erfolgt sein.

TRM Labs weist außerdem darauf hin, dass Tether auf der Tron-Blockchain 378,7 Millionen USDT eingefroren habe. Reguläre Guthaben von Anlegern seien davon nicht betroffen gewesen.

Infobox: Stablecoins können von ihren Emittenten eingefroren werden. TRX besitzt laut CryptoTicker.io keine zentrale Stelle, die fremde Guthaben sperren kann.

Binance-Auszahlungen und Schadensdeckung

CryptoTicker.io berichtet, dass Binance die Auszahlungen nach einer Sicherheitsüberprüfung innerhalb von 48 Stunden wieder öffnen wollte. Einzahlungen liefen laut Binance normal weiter. Ob alle Coins gleichzeitig oder schrittweise freigegeben werden sollten, blieb offen.

Binance habe außerdem zugesagt, alle Verluste aus eigenen Mitteln und aus dem Notfallfonds SAFU zu decken. In einem weiteren Beitrag nennt CryptoTicker.io für den SAFU-Fonds rund 15.000 Bitcoin.

CoinDesk berichtet, dass Binance den Angriffsvektor auf den kompromittierten Laptop eines DevOps-Ingenieurs zurückverfolgt habe. Die Börse habe nach Angaben von CryptoTicker.io angekündigt, mehr als 6,34 Milliarden Dollar zur Deckung der Verluste bereitzustellen.

CryptoTicker.io nennt als zentrale offene Punkte die Wiederaufnahme der Auszahlungen und einen aktualisierten Reservenachweis von Binance. Eine Verzögerung könne aus Sicht des Berichts aus einem Sicherheitsvorfall eine Vertrauensfrage machen.

Infobox: Einzahlungen liefen laut Binance weiter, während Auszahlungen vorübergehend pausiert wurden. Binance sagte zu, die Verluste aus dem SAFU-Fonds und aus Firmengeld zu ersetzen.

Riot Platforms vom Krypto-Ausverkauf erfasst

Die Aktie von Riot Platforms gab laut Börse Express um 7,7 Prozent nach. Hintergrund waren der Rückgang von Bitcoin in Richtung 77.000 Dollar nach dem Binance-Hack und ein breiter Ausverkauf kryptonaher Aktien.

Bereits am 24. Oktober hatten Berichte laut Börse Express auf Kursverluste bei Riot und anderen Bitcoin-Minern hingewiesen. Als Belastungsfaktoren wurden Sorgen vor einer KI-Blase, Kreditrisiken und die Finanzierungskosten der benötigten Infrastruktur genannt.

Zwei Analysehäuser hatten ihre Kursziele zuvor reduziert, die jeweilige Einstufung jedoch nicht verändert. Piper Sandler senkte das Kursziel am 20. Oktober von 25 $ auf 19 $ und bestätigte die Einstufung „Overweight“.

Cantor Fitzgerald reduzierte sein Kursziel am 16. Oktober von 30 $ auf 24 $. Auch dieses Analysehaus hielt an der Einstufung „Overweight“ fest.

Auf Unternehmensebene schloss Riot am 7. Oktober eine Vereinbarung mit BitGo Bank & Trust über die Verwahrung digitaler Vermögenswerte und von Barmitteln. Damit verlagerte Riot seine Verwahrungsbeziehung von NYDIG Trust zu BitGo Bank & Trust. Die Vereinbarung wurde am 14. Oktober geändert.

Als nächster bestätigter Termin stand die Telefonkonferenz zu den Ergebnissen des dritten Quartals 2026 an. Riot hatte diese für den 4. November angesetzt.

Infobox: Riot Platforms verlor 7,7 Prozent. Piper Sandler senkte das Kursziel auf 19 $, Cantor Fitzgerald auf 24 $, beide behielten jedoch die Einstufung „Overweight“ bei.

ACTCoinese-Bericht nicht auswertbar

Die Quelle Anwalt.de lieferte für den Beitrag zu ACTCoinese keinen nutzbaren Artikeltext. Stattdessen enthielt der Datensatz ausschließlich eine Fehlermeldung zur Anfrage.

Da daraus keine belastbaren Aussagen, Daten oder Fakten zum Inhalt des Beitrags hervorgehen, wird die Meldung nicht weiter inhaltlich bewertet.

Infobox: Für die Meldung von Anwalt.de lagen keine verwertbaren Inhalte vor.

Einschätzung der Redaktion

Der Vorgang ist vor allem wegen seiner Kombination aus möglicher staatlicher Cyberkriminalität, einem kompromittierten internen Endgerät und der eingeschränkten Rückholbarkeit dezentraler Vermögenswerte hochrelevant. Die zentrale Konsequenz liegt weniger in der endgültigen Täterzuordnung als in der erkennbaren Abhängigkeit großer Handelsplattformen von operativer Sicherheit und klaren Notfallprozessen.

Der starke Kursdruck auf TRX zeigt zudem, dass große, nicht zentral einfrierbare Token-Bestände selbst ohne vollständige Veräußerung erhebliche Marktverwerfungen auslösen können. Für Binance wird die angekündigte Schadensdeckung kurzfristig stabilisierend wirken, langfristig dürfte das Vertrauen jedoch davon abhängen, wie transparent der Sicherheitsvorfall aufgearbeitet und eine Wiederholung verhindert wird.

Zusammenfassung: Der Angriff verschärft die Debatte über Börsensicherheit, die Grenzen zentraler Eingriffsmöglichkeiten und die systemischen Risiken großer Krypto-Diebstähle.

Quellen:

• ACTCoinese: Die unsichtbare Kontrolle über Krypto-Guthaben – wenn WhatsApp, Trading-App und Blockchain zur Falle werden
• Nordkoreas Lazarus-Gruppe wahrscheinlich hinter dem 6-Milliarden-Dollar-Binance-Hack: Blockchain-Ermittler
• Riot Blockchain Aktie: Krypto-Ausverkauf erwischt auch die Miner
• Tron fällt 9 Prozent: 575 Millionen TRX beim Angreifer
• Nordkorea hinter dem Binance Hack? Alles, was bekannt ist
• Bitcoin-Bestand des Binance-Hackers übertrifft Coinbases Unternehmensbestand