Nordkorea weist eine Beteiligung am Binance-Hack zurück und bezeichnet die US-Zuschreibung als „schwere politische Provokation“. Unterdessen schätzt das Blockchain-Analyseunternehmen Elliptic, dass von den gestohlenen Vermögenswerten im Wert von 6,43 Milliarden US-Dollar rund 2,85 Milliarden eingefroren oder zurückgeholt wurden. Etwa 3,24 Milliarden US-Dollar befinden sich demnach weiterhin in Wallets, die mit dem Angriff in Verbindung stehen. Die Gelder wurden über mehrere Blockchains und Tausende Wallets bewegt, was ihre Rückverfolgung und Sicherstellung erschwert.
Kim Yo Jong kritisiert die US-Zuschreibung
Kim Yo Jong, die Schwester des nordkoreanischen Machthabers Kim Jong Un, kritisierte das FBI dafür, die Gruppe TraderTraitor für den Angriff verantwortlich zu machen. Die Hackergruppe wird mit Nordkorea in Verbindung gebracht. Nordkoreanische Staatsmedien zitierten Kim mit dem Vorwurf, das FBI wolle das Land als „Cyberkriminalitätsstaat“ darstellen und die internationale Öffentlichkeit in die Irre führen.
Pjöngjang bestreitet die Verantwortung, während die USA an ihrer Zuschreibung festhalten. Für Binance-Nutzer und den Kryptomarkt geht es neben der Frage nach den Tätern vor allem darum, wohin die Gelder fließen und welcher Anteil sich noch sichern lässt.
12.000 Wallets in den ersten vier Tagen
In einer am Montag veröffentlichten Analyse erklärte Elliptic, dass die Geldbewegungen in den ersten vier Tagen nach dem Angriff etwa 12.000 Wallets auf elf Blockchains umfassten. Dabei wurden mehr als 40.000 Transaktionen ausgeführt. Im Schnitt kam alle 25 Sekunden eine neue Wallet zum Einsatz. Elliptic bezeichnete das Vorgehen als hochgradig automatisierten und ausgefeilten Transferprozess.
Ein großer Teil der Gelder lief zunächst über das Tron-Netzwerk. Anschließend wurden die Vermögenswerte auf etwa 7.700 Adressen verteilt und über Cross-Chain-Brücken zu Ethereum geleitet. Über diese Brücken verließen laut Elliptic mindestens 147 Millionen US-Dollar Tron. Die Transfers zwischen verschiedenen Netzwerken weiten die Ermittlungsarbeit aus: Adressen und Transaktionen auf mehreren Blockchains müssen gemeinsam nachverfolgt werden.
Stablecoins in nicht einfrierbare Vermögenswerte getauscht
Die Angreifer nutzten dezentrale Börsen, um gestohlene Stablecoins in Vermögenswerte umzutauschen, die von den Herausgebern nicht eingefroren werden können, darunter Ether. Elliptic schätzt, dass rund 786 Millionen US-Dollar an Stablecoins bereits umgetauscht waren, bevor Emittenten wie Tether und Circle die noch verbliebenen Bestände einfrieren konnten.
Chainalysis zufolge begannen mit Nordkorea verbundene Akteure eine neue Phase der Geldwäsche, nachdem sie mehr als 500 Millionen US-Dollar über Zwischen-Wallets auf Tron bewegt hatten. Die Gelder verteilten sich auch auf weitere Blockchains, darunter Solana. Elliptic hat zudem erste Anzeichen für Bitcoin-Mixing festgestellt: Bis Montagmorgen waren rund 28 BTC im Wert von etwa 2,2 Millionen US-Dollar über 18 Mixing-Transaktionen gelaufen. Mixing kann die Nachverfolgung erschweren. Die bislang veröffentlichten Informationen deuten jedoch nicht darauf hin, dass diese Vermögenswerte bereits in Fiatgeld umgewandelt wurden.
44 Prozent der Beute eingefroren oder zurückgeholt
Ausgehend von einem Diebstahlvolumen von 6,43 Milliarden US-Dollar beziffert Elliptic die eingefrorenen oder zurückgeholten Mittel auf rund 2,85 Milliarden US-Dollar – etwa 44 Prozent der Beute. Etwa 3,24 Milliarden US-Dollar liegen demnach noch in mit dem Angriff verbundenen Wallets, überwiegend in Bitcoin und Ether. Nur ein sehr kleiner Teil sei offenbar bislang ausgezahlt worden; bei den meisten beobachteten Aktivitäten handle es sich um Transfers oder Umtausch zwischen Kryptowährungen.
Die Gelder bewegten sich langsamer als nach dem Bybit-Angriff im Februar 2025, bei dem nordkoreanische Hacker innerhalb von zehn Tagen sämtliche gestohlenen Ether transferierten, erklärte Elliptic. Das Unternehmen hält es für möglich, dass die verbliebenen Binance-Gelder über mehrere Monate schrittweise in Bitcoin umgetauscht werden. Denkbare spätere Auszahlungswege seien außerbörsliche Broker oder Kryptobörsen. Dabei handelt es sich um eine Einschätzung möglicher künftiger Wege, nicht um bereits beobachtete Geldflüsse.
Binance nimmt Auszahlungen schrittweise wieder auf
Binance teilte mit, Auszahlungen schrittweise wieder freizuschalten, und warnte vor Betrügern, die behaupten, Transaktionen beschleunigen oder bei Entschädigungen helfen zu können. Die Börse erklärte außerdem, rund 95 Prozent des betroffenen Betrags abgedeckt zu haben. Bei den verbleibenden fünf Prozent handelt es sich um weniger liquide Token, deren Beschaffung länger dauert. Binance arbeite mit Partnern aus der Branche daran, diese Vermögenswerte zu beschaffen.
Für Nutzer stehen damit vor allem das Tempo der wieder aufgenommenen Auszahlungen und die Beschaffung der noch fehlenden Token im Vordergrund. Für Analyseunternehmen erschweren die Transfers über mehrere Blockchains und die Umwandlungen die Rückverfolgung. Die von Binance genannte Deckungsquote beschreibt die Reaktion der Börse; die Schätzungen der Analysefirmen beziehen sich auf den On-Chain-Status der gestohlenen Gelder. Es handelt sich um unterschiedliche Kennzahlen, die nicht gleichgesetzt werden sollten.