Zwei mutmaßliche Kryptodiebstähle innerhalb von weniger als einer Woche weisen ein ähnliches Muster auf: Die Täter tauschen zunächst Stablecoins, deren Emittenten sie sperren können, in andere Vermögenswerte um. Anschließend teilen sie die Beträge auf, verschieben sie über verschiedene Blockchains und nutzen Privacy-Coins oder außerbörsliche Handelswege, um die Nachverfolgung zu erschweren. Wie viele Stablecoins eingefroren wurden und welche ETH- und BTC-Bestände noch unter Kontrolle der Angreifer stehen, ist sowohl für mögliche Rückflüsse als auch für das potenzielle Verkaufsangebot am Markt relevant.
Nach dem Binance-Angriff wurden Stablecoins eingefroren
Am 29. Oktober transferierten Angreifer Vermögenswerte im Umfang von rund 6,36 Milliarden US-Dollar aus mit dem Internet verbundenen Binance-Hot-Wallets über mehrere Blockchains. Börsen nutzen solche Wallets unter anderem, um Auszahlungen abzuwickeln. Nach Angaben des Blockchain-Analyseunternehmens TRM Labs wurde der Großteil der Gelder innerhalb von etwa 20 Minuten bewegt. Das FBI machte die nordkoreanische Hackergruppe TraderTraitor für den Angriff verantwortlich. Es handelt sich um den bislang größten bekannten Kryptodiebstahl.
Emittenten können Stablecoins in bestimmten Wallets sperren. Dadurch sind USDT und USDC grundsätzlich von Beschlagnahmungen betroffen. TRM zufolge fror Tether rund 971 Millionen USDT in Empfangs-Wallets der Angreifer ein, etwa 37 Minuten nachdem der Großteil der Gelder dort eingegangen war. Circle sperrte später rund 823 Millionen USDC. Einschließlich Maßnahmen von Tether, Circle, Ripple, World Liberty Financial und dem Arbitrum Security Council schätzte TRM das eingefrorene Volumen auf etwa 2,7 Milliarden US-Dollar. Binance bezifferte es auf rund 3 Milliarden US-Dollar.
Um weitere Sperren zu umgehen, verkauften die Angreifer rund 325 Millionen USDT an Market Maker und erhielten dafür etwa 122.300 ETH. Der Kurs lag bei diesem Geschäft mehr als 10 Prozent unter dem damaligen Marktpreis. Zusätzlich hinterlegten sie rund 60 Millionen USDT als Sicherheit beim Kreditprotokoll Aave und liehen sich etwa 19.760 ETH. Der hohe Abschlag beim Wechsel in Vermögenswerte, die Emittenten nicht direkt einfrieren können, verdeutlicht den Zeitdruck angesichts der Sperrmaßnahmen.
Bitcoin wurde aufgeteilt und über Blockchains verschoben
Nach der Umwandlung in Vermögenswerte wie ETH und BTC, die Emittenten nicht direkt sperren können, wurde die Nachverfolgung schwieriger. Laut TRM wurden die 18.270 BTC aus dem Binance-Angriff noch im selben Block in zahlreiche Transfers über jeweils 1.000 und 100 BTC aufgeteilt. So entstanden viele kleinere Transaktionsspuren. Ermittler stellten außerdem fest, dass Gelder automatisch zwischen mehreren Wallets hin- und hergeschoben wurden, darunter auch bereits zuvor genutzte Adressen. Das kann die Analyse zusätzlich erschweren.
Cross-Chain-Bridges ermöglichen den Transfer von Vermögenswerten zwischen Blockchains. Ermittler müssen die Spur daher auf einem anderen Netzwerk weiterverfolgen. Das Blockchain-Monitoring-Unternehmen Onchain Lens berichtete am Montag über einen weiteren mutmaßlichen Fall: Gelder aus einer Wallet, die mit dem Solana-Arbitrage-Bot King in Verbindung steht, liefen über mehrere Solana-Wallets und gelangten anschließend über den Cross-Chain-Dienst Mayan zu Ethereum. Der Betreiber von King hat keinen Sicherheitsvorfall bestätigt. Der beobachtete Transferweg belegt daher für sich genommen nicht, dass der Bot oder eine verbundene Partei kompromittiert wurde.
Im frühen Verlauf des Binance-Falls spielten Market Maker und Kreditprotokolle laut TRM eine größere Rolle als Cross-Chain-Bridges. Bei dem Diebstahl von 1,5 Milliarden US-Dollar bei Bybit im Jahr 2025 waren Bridges stärker in den Vordergrund gerückt. TRM rechnet damit, dass auch Bridges, Börsendienste und außerbörsliche Broker genutzt werden könnten, während die Binance-Gelder weiterbewegt werden.
Mutmaßlicher EU-Fall mit mehr als 106 Millionen Dollar Schaden
Der Blockchain-Ermittler ZachXBT erklärte am Montag, eine nicht näher bezeichnete EU-Einheit könnte am Sonntag bestohlen worden sein. Der mögliche Schaden liege bei mehr als 106 Millionen US-Dollar, verteilt auf Konten bei mehreren Börsen. Weder das mutmaßliche Opfer noch die beteiligten Börsen wurden benannt; der Fall ist bislang nicht bestätigt. ZachXBT zufolge wurden die Gelder in USDC und USDT transferiert. Die USDC seien anschließend in ETH umgewandelt worden – ein Ablauf, der den ersten Schritten im Binance-Fall ähnelt.
ZachXBT zufolge liefen die Gelder außerdem über Soforttausch-Dienste wie WellWallet und Kyrrex, bevor sie über einen Dienst namens Wagyu in Monero umgetauscht wurden. Solche Dienste ermöglichen den schnellen Tausch von Token. Monero verschleiert standardmäßig Absender, Empfänger und Transaktionsbetrag. Sobald Gelder in Monero umgewandelt sind, lassen sie sich anhand öffentlicher Blockchain-Daten deutlich schwerer verfolgen.
Verbleibende Bestände könnten das Marktangebot erhöhen
TRM zufolge kontrollierten die Angreifer im Binance-Fall weiterhin mehr als 420.000 ETH und 18.270 BTC. Zusammen waren diese Bestände rund 2,4 Milliarden US-Dollar wert. Sie unterliegen nicht direkt den Sperrmechanismen der Stablecoin-Emittenten. Sollten größere Mengen ETH oder BTC auf den Markt gelangen, könnte das zusätzliche Verkaufsliquidität schaffen. Zeitpunkt und Weg möglicher Verkäufe sind jedoch unbekannt. Die Transfers könnten sich über Wochen oder Monate verteilen; die verbleibenden Bestände allein belegen daher keinen unmittelbar bevorstehenden konzentrierten Verkauf.
Binance-Co-CEO He Yi sagte, die Börse habe mehr als 6,34 Milliarden US-Dollar aus Unternehmensmitteln zur Deckung der gestohlenen Vermögenswerte bereitgestellt. Die Maßnahmen umfassen Berichten zufolge Käufe über außerbörsliche Geschäfte und Börsentransaktionen, die auf der Gegenseite Nachfrage schaffen könnten. Umfang, Zeitpunkt und Ausführung dieser Käufe bleiben für die Einschätzung der Geldströme relevant.
Binance hat erklärt, den Verlust selbst zu tragen; Kunden wurde nicht mitgeteilt, dass sie dafür aufkommen müssen. Der Vorfall betraf die eigenen Hot-Wallets der Börse. Er zeigt dennoch, dass die Sicherheit von Vermögenswerten auf einer Handelsplattform von deren Schutzmaßnahmen abhängt. Die Sperrungen durch Stablecoin-Emittenten begrenzten in diesem Fall die Bewegungen gestohlener Gelder – zugleich wurde deutlich, dass Emittenten Token in bestimmten Wallets kontrollieren können.
Wallet-Bewegungen und Sperrsummen im Fokus
Ermittler dürften vor allem größere Transfers aus den ETH- und BTC-Wallets der Angreifer beobachten, insbesondere Bewegungen zu Börsen oder außerbörslichen Handelsplätzen. TRM verfolgt die aufgeteilten Transfers und Wallets, in denen Gelder zusammengeführt werden. Große Transaktionen könnten darauf hindeuten, dass sich gestohlene Vermögenswerte einem Verkauf nähern. Ein Transfer allein bedeutet jedoch nicht, dass die Gelder bereits ausgezahlt wurden.
Binance hat die vollständige Ursache des Angriffs auf sein Signatursystem bislang nicht offengelegt. Eine detaillierte Erklärung des Sicherheitsversagens wäre wichtig, um einzuschätzen, ob andere Plattformen ähnlichen Risiken ausgesetzt sind. Auch der mutmaßliche EU-Fall wartet auf eine Bestätigung durch das Opfer, beteiligte Börsen oder eine verifizierte Schadenssumme. Bis dahin bleibt die Schätzung von mehr als 106 Millionen US-Dollar unbestätigt. Änderungen bei eingefrorenen oder zurückgewonnenen Geldern würden zudem die Einschätzung beeinflussen, über welche Beträge die Angreifer noch verfügen.