Am Donnerstagabend sind aus Hot Wallets der Kryptobörse Binance Kryptowerte in Milliardenhöhe an zuvor unbekannte Adressen abgeflossen. Ob es sich um einen Binance-Hack handelt, hat die Börse selbst bislang nicht bestätigt: Binance spricht von einem „potenziellen Sicherheitsproblem“, das untersucht werde. Gründer Changpeng Zhao schreibt dagegen bereits, es sehe „nach einem Hack bei Binance aus“. Gesichert ist, dass die Stablecoin-Emittenten Tether und Circle zusammen Token im Wert von mehr als 2,3 Milliarden US-Dollar eingefroren haben, die mit dem Vorfall in Verbindung stehen.
Stand: 29. Oktober 2026, 23:15 Uhr (MEZ). Die Lage entwickelt sich laufend, Zahlen können sich noch deutlich ändern.
Update vom 1. November 2026: FBI nennt Nordkorea, Binance hat 90 Prozent ersetzt
Stand: 1. November 2026, 01:00 Uhr (MEZ). Seit unserem ersten Bericht hat sich die Lage deutlich geklärt. Der ursprüngliche Text darunter bleibt als Stand vom 29. Oktober unverändert erhalten.
- Hack bestätigt, Schaden rund 6,3 Milliarden Dollar: Binance hat einen Sicherheitsvorfall bestätigt und nach eigenen Angaben rund 6,34 Milliarden US-Dollar aus Firmenmitteln zur Deckung bereitgestellt (Reuters via NBC News). TRM Labs beziffert die Abflüsse auf rund 6,36 Milliarden Dollar über zehn Blockchains, den größten Teil innerhalb von etwa 20 Minuten. Damit ist es der größte bekannte Krypto-Diebstahl, etwa viermal so groß wie der Bybit-Hack vom Februar 2025.
- 90 Prozent der Bestände wieder gedeckt: Laut dem Binance-Update vom 31. Oktober sind 90 Prozent der gestohlenen Bestände ersetzt (CNBC). BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD und ZEC seien zu 100 Prozent gedeckt. Die restlichen 10 Prozent entfallen auf weniger liquide Token, die Binance über den Markt und OTC nachkauft. Das Geld stammt aus dem Notfallfonds SAFU, einem Teil des Futures-Versicherungsfonds und der Firmenkasse. Wichtig: Das bedeutet nicht, dass 90 Prozent der Beute vom Angreifer zurückgeholt wurden.
- Auszahlungen laufen schrittweise wieder an (Stand: 1. November 2026, 09:30 Uhr MEZ): Binance hat am Sonntagmorgen die erste Phase der Auszahlungen gestartet (Binance, Recovery Update #4). Als erstes Netzwerk ging Bitcoin wieder online; laut Reuters meldete die Binance-Statusseite den Start kurz nach 07:00 Uhr MEZ, auf X bestätigte die Börse die Freigabe um 07:20 Uhr MEZ (Binance auf X). Gegen 08:50 Uhr MEZ folgten ETH, USDT und USDC im Ethereum-Netzwerk sowie BNB, USDT und USDC auf der BNB Smart Chain (Binance auf X). Die erste Phase umfasst insgesamt 15 Netzwerke, darunter Tron, Solana, XRP Ledger und Dogecoin. Binance öffnet jedes Netzwerk einzeln erst nach abgeschlossenen Sicherheitsprüfungen, weitere Netzwerke und Token sollen später folgen (Reuters via Investing.com, AFP). Einschränkungen: Binance rechnet mit Verzögerungen und längeren Bearbeitungszeiten. Ob ein Coin auf dem gewünschten Netzwerk schon freigegeben ist, zeigen die Auszahlungsseite und die Netzwerk-Statusseite von Binance. Auszahlungen kommen künftig von neuen Wallet-Adressen, die Binance in seine Proof-of-Reserves-Liste aufgenommen hat. Nach eigenen Angaben hat Binance inzwischen rund 95 Prozent der betroffenen Bestände ersetzt. Noch nicht bestätigt: Ob die übrigen Netzwerke der ersten Phase bereits offen sind und wann alle Auszahlungen wieder normal laufen, hat Binance bei Redaktionsschluss nicht mitgeteilt.
- Proof of Reserves: Binance hat am 31. Oktober um 00:00 Uhr UTC einen neuen Reserven-Snapshot erstellt. Den Zero-Knowledge-Nachweis, mit dem Nutzer ihr Guthaben selbst prüfen können, erwartet die Börse bis zum 3. November (Business Today).
- Täter: Das FBI hat am 31. Oktober erklärt, dass Nordkorea für den Diebstahl verantwortlich ist. Es ordnet die Tat der Gruppe „TraderTraitor“ zu, die es auch für den Bybit-Hack verantwortlich macht (FBI-Mitteilung). Zuvor hatten TRM Labs und Chainalysis unabhängig voneinander TraderTraitor genannt. Laut FBI tauschen die Täter die Beute vor allem in Ether um. Eine eigene Zuschreibung hat Binance nicht veröffentlicht.
- Freezes: Laut TRM Labs haben Tether, Circle, Ripple und World Liberty Financial zusammen rund 2,67 Milliarden Dollar in Stablecoins eingefroren. Mit Sperren des Arbitrum Security Council sind es rund 2,7 Milliarden Dollar. Etwa 2,4 Milliarden Dollar hält der Angreifer laut TRM in Assets ohne Emittenten, die sich nicht einfrieren lassen, vor allem ETH und BTC.
- Ursache weiter offen: Binance nannte anfangs den kompromittierten Laptop eines DevOps-Ingenieurs, über den der Angreifer Zugriff auf einen Service-Container erhielt. Co-CEO Richard Teng sprach später von einem komplexeren Angriff, unter anderem mit Schadsoftware, die Spuren löschen sollte. Einen vollständigen Ursachenbericht gibt es noch nicht. TRM Labs vermutet, dass der Angreifer das Signiersystem der Hot Wallets dazu bringen konnte, beliebige Transaktionen zu signieren. Das ist eine Einschätzung von TRM, keine Bestätigung durch Binance.
Für Nutzer gilt weiter: Vorsicht bei Nachrichten zu angeblichen „Rückerstattungen“ oder zur Wiedereröffnung der Auszahlungen. Informationen nur über die offiziellen Binance-Kanäle abrufen.
Auf X kursieren seit dem Abend zahlreiche Zahlen, teils mit „Breaking“-Emojis und dramatischen Aufschlüsselungen. Wir trennen, was belegt ist, von dem, was bislang nur Schätzungen von On-Chain-Trackern sind.
Key Takeaways
- Aus als Binance gekennzeichneten Hot Wallets sind am 29. Oktober 2026 große Summen an neu angelegte Adressen geflossen. Die Schätzungen zur Gesamtsumme reichen je nach Tracker von etwa 2,5 bis rund 5,7 Milliarden US-Dollar.
- Binance bestätigt offiziell nur eine Untersuchung. In der aktuellen Fassung seiner Mitteilung heißt es, Nutzergelder seien „vollständig sicher“.
- Tether hat nach Angaben seines CEO mehr als 1,567 Milliarden USDT eingefroren, Circle laut CEO Jeremy Allaire mehr als 800 Millionen USDC.
- Die Wallet „Binance 14“ ist auf Etherscan per EIP-7702 an einen fremden, nicht verifizierten Vertrag delegiert. Das stützt die Hack-These.
- Für Nutzer gilt vorerst: keine Links aus Direktnachrichten anklicken und nur offizielle Binance-Kanäle beachten.
Was beim Binance-Hack bisher bekannt ist
Nach Etherscan-Daten, die das Portal BeInCrypto ausgewertet hat, verließ gegen 21:24 Uhr MEZ eine einzelne Transaktion die Wallet „Binance 14“. Sie enthielt 167.464 ETH sowie Dutzende weitere Token, darunter USDT im Milliardenwert. Wenige Sekunden später folgten 28.005 ETH aus der Wallet „Binance 16“ an dieselbe Zieladresse. Diese Adresse existierte vor dem 29. Oktober nicht und leitete einen Teil der Mittel kurz darauf an weitere frische Adressen weiter. Ausgelöst wurde der Vorgang laut BeInCrypto von einer Wallet, die ausschließlich über den Mixer Tornado Cash mit kleinen ETH-Beträgen finanziert worden war.
Gegen 21:55 Uhr MEZ meldete die Sicherheitsfirma PeckShield auf X „unerwartet große Abflüsse“ aus Binance-Hot-Wallets. Wenig später sprach der Nachrichtendienst Tree News von einem mutmaßlichen Schlüsselkompromiss. Hot Wallets sind die Wallets, die eine Börse online hält, um Auszahlungen schnell bedienen zu können. Dass Börsen dort Mittel umschichten, ist alltäglich. Ungewöhnlich sind hier aber die Größenordnung, die über einen Mixer finanzierte Auslöser-Wallet und das sofortige Weiterverteilen.
Die Rolle von EIP-7702
Ein technisches Detail lässt sich direkt prüfen: Die Adressseite von „Binance 14“ auf Etherscan zeigt, dass das Konto inzwischen per EIP-7702 an den Vertrag 0x63e842B0…73e9c6fAe delegiert ist. EIP-7702 ist seit dem Pectra-Upgrade aktiv und erlaubt es einem normalen Ethereum-Konto, vorübergehend den Code eines Smart Contracts auszuführen. Die dafür nötige Autorisierung muss mit dem Schlüssel des Kontos signiert werden.
Die Sicherheitsfirma Blockaid beschreibt den Vertrag als nicht verifizierten „Sweeper“. Seine Funktion zieht alle ERC-20-Token und ETH aus dem Konto ab, und nur ein fest einprogrammierter Operator kann sie auslösen. Laut Blockaid kannte der Angreifer den aktuellen Nonce der Wallet nicht und schickte deshalb 50 Autorisierungen mit aufeinanderfolgenden Nonces in einer einzigen Transaktion. Eine davon passte. Wenn diese Analyse stimmt, konnte der Angreifer Signaturen im Namen der Wallet erzeugen, entweder mit dem Schlüssel selbst oder über die Signier-Infrastruktur der Börse. Wie das gelang, ist offen.
Wie Binance und Changpeng Zhao reagieren
Binance veröffentlichte um 22:15 Uhr MEZ eine kurze Mitteilung auf X und überarbeitete sie innerhalb von rund 15 Minuten mehrfach. Eine Zwischenfassung enthielt den Satz, man habe „zum jetzigen Zeitpunkt keine Auswirkungen auf Nutzergelder bestätigt“. In der aktuellen Fassung heißt es dagegen: „User funds are completely safe.“ Außerdem untersuchten die Sicherheitsteams alle Informationen mit Dringlichkeit, Updates folgten über offizielle Kanäle. Nutzer sollten sich vor Betrugsversuchen in Acht nehmen und keinen inoffiziellen Links oder Anfragen nach Kontodaten trauen. Mitgründerin Yi He verbreitete dieselbe Erklärung.
Deutlicher wurde Changpeng Zhao, der Binance nicht mehr führt. Er schrieb, die Nutzergelder seien sicher und es sehe nach einem Hack aus. Als Anteilseigner erwarte er, dass alle Nutzergelder vollständig gedeckt werden. Eine verbindliche Zusage der Börse ist das nicht.
Zur Einordnung: Binance betreibt seit 2018 den Notfallfonds SAFU. Er sprang bereits 2019 ein, als Angreifer rund 7.000 Bitcoin aus einer Hot Wallet stahlen. Ob und wie Binance einen Schaden in der aktuell diskutierten Größenordnung abdeckt, hat die Börse noch nicht erklärt.
Tether und Circle frieren über 2,3 Milliarden Dollar ein
Am schnellsten reagierten die Stablecoin-Emittenten. Tether-CEO Paolo Ardoino teilte um 22:25 Uhr MEZ mit, Tether habe mehr als 1,567 Milliarden USDT im Zusammenhang mit einem „potenziellen Hack der Börse Binance“ eingefroren. Circle-CEO Jeremy Allaire schrieb, Circle habe in Abstimmung mit Strafverfolgungsbehörden mehr als 800 Millionen USDC eingefroren. Zusammen sind das mehr als 2,3 Milliarden US-Dollar.
Frühere Zwischenstände lagen niedriger. Zhao nannte zunächst rund 971 Millionen Dollar bei Tether und rund 823 Millionen bei Circle, die Zahl bei Tether stieg danach. Der X-Post, der hierzulande viel geteilt wurde, spricht von „mindestens 2,316 Milliarden Dollar“ an Freezes. Das liegt in derselben Größenordnung wie die Angaben der Emittenten.
Das Einfrieren zeigt einmal mehr, wie zentralisiert große Stablecoins sind. Emittenten können Token an einzelnen Adressen sperren. Das hilft im Schadensfall, bedeutet aber auch, dass USDT und USDC nicht dieselben Eigenschaften haben wie ETH oder BTC. Die eingefrorenen Stablecoins kann der Angreifer nicht mehr bewegen. Für ETH, Bitcoin und andere Token gilt das nicht.
Wie viel ist wirklich abgeflossen?
Hier gehen die Angaben weit auseinander, und keine davon ist von Binance bestätigt:
- Tree News sprach von rund 2,53 Milliarden US-Dollar in mehr als 60 Token.
- Andere On-Chain-Auswertungen kommen auf etwa 2,77 Milliarden US-Dollar über fünf Blockchains.
- Blockaid untersucht nach eigenen Angaben verdächtige Abflüsse von rund 3,3 Milliarden US-Dollar auf Ethereum, Arbitrum und Avalanche.
- Laut Daten von Arkham, über die CoinDesk berichtet, hält die Empfänger-Adresse mehr als 5,7 Milliarden US-Dollar in verschiedenen Kryptowerten.
- Der virale X-Post nennt 5,643 Milliarden US-Dollar. Davon sollen 3,528 Milliarden auf Ethereum, 1,449 Milliarden auf Bitcoin, 628 Millionen auf Tron und zusammen 38 Millionen auf Arbitrum, Optimism und Base entfallen.
Die Unterschiede haben handfeste Gründe. Tracker erfassen unterschiedliche Chains, bewerten Token zu verschiedenen Zeitpunkten und zählen weitergeleitete Beträge teils doppelt. Zudem fließen eingefrorene Stablecoins mal in die Summe ein und mal nicht. Die Kurse sind seit dem Vorfall gefallen. Die genannten Dollarwerte sind deshalb Momentaufnahmen. Wir nennen keine dieser Zahlen als gesichert, solange Binance keine eigene Bilanz vorlegt.
Bestätigt sich ein Schaden in Milliardenhöhe, wäre es einer der größten Diebstähle in der Geschichte der Kryptobranche. Zum Vergleich: Beim Bitget-Hack im September erbeuteten Angreifer rund 387,5 Millionen US-Dollar.
Reaktion am Markt
Der Markt reagierte schnell. Laut Medienberichten fiel BNB zeitweise um bis zu 9 Prozent, Bitcoin rutschte unter 80.000 US-Dollar und Ether unter 2.300 US-Dollar. Etherscan weist ETH am späten Abend mit rund 2.270 US-Dollar aus. Daten von Coinglass zufolge wurden innerhalb einer Stunde Positionen im Wert von rund 600 Millionen US-Dollar liquidiert. Diese Zahlen stammen aus Marktdaten-Diensten und schwanken stark.
Was Nutzer jetzt tun sollten
- Keine Panik-Klicks: Nach solchen Vorfällen häufen sich Phishing-Nachrichten, die angebliche „Rückerstattungen“ oder „Sicherheitsprüfungen“ versprechen. Binance warnt ausdrücklich davor. Informationen gibt es nur über die offiziellen Kanäle der Börse.
- Keine Zugangsdaten herausgeben: Seriöse Börsen fragen weder per Direktnachricht noch per E-Mail nach Passwörtern, 2FA-Codes oder Seed-Phrasen.
- Verwahrung überdenken: Der Vorfall zeigt erneut das Gegenparteirisiko zentraler Börsen. Wer größere Beträge langfristig hält, sollte sich mit Self-Custody beschäftigen. Unser Hardware-Wallet-Vergleich und die Erklärung zu zentralen und dezentralen Börsen helfen beim Einstieg.
Was noch offen ist
Die entscheidenden Fragen sind unbeantwortet. Ungeklärt ist, wie der Angreifer an Signaturen für die Hot Wallets kam und welche Wallets und Chains insgesamt betroffen sind. Offen ist auch, wie hoch der Nettoschaden nach den Freezes ist und ob Binance ihn vollständig aus eigenen Mitteln deckt. Ebenso unklar ist, ob Ein- und Auszahlungen normal laufen. Auch zu den Tätern gibt es bislang keine belastbaren Angaben. Zuschreibungen, die auf X bereits kursieren, sollten mit Vorsicht gelesen werden.
Unser Fazit: Ein Milliardenabfluss aus Binance-Hot-Wallets ist on-chain sichtbar, und die Freezes der Stablecoin-Emittenten sind offiziell bestätigt. Die genaue Schadenssumme und die Ursache sind es nicht. Wir aktualisieren diesen Beitrag, sobald Binance belastbare Informationen veröffentlicht.
