Der 6,4-Milliarden-Dollar-Binance-Hack: DPRK, Stablecoin-Einfrierungen und was das für die Crypto-Buchhaltung bedeutet

Am 29. Oktober 2026 wurden innerhalb weniger Stunden Kryptoassets im Wert von 6,43 Milliarden Dollar über 11 Blockchains von Binance, der weltweit größten Kryptobörse, abgezogen. Elliptic hat den Angriff der nordkoreanischen Gruppe TraderTraitor zugeschrieben, die mit der Lazarus Group in Verbindung steht. Damit ist dies nicht nur der größte Krypto-Diebstahl aller Zeiten, sondern mit hoher Wahrscheinlichkeit auch der größte bekannte Diebstahl überhaupt. Für Wirtschaftsprüfungsgesellschaften, CFOs und Compliance-Fachleute mit Börsenengagement oder Beständen an digitalen Vermögenswerten wirft das Ereignis unmittelbare Fragen zur Werthaltigkeit von Vermögenswerten, zum Kontrahentenrisiko bei Stablecoins und zur Angemessenheit von Offenlegungen zu bei Börsen gehaltenen Verwahrbeständen auf.

Ausmaß und zeitlicher Ablauf des Angriffs

Der Diebstahl ereignete sich in zwei Wellen. Die erste begann am 29. Oktober um etwa 20:05 UTC, als fünf Binance-Wallets im XRP Ledger 233 Millionen XRP an eine einzige vom Angreifer kontrollierte Adresse sendeten. In den folgenden 30 Minuten wurden auch Hot Wallets auf Solana, NEAR, Base, Optimism, Bitcoin, Tron, Ethereum, Arbitrum und Avalanche geleert. Eine zweite Welle traf kurz nach 23:00 UTC Wallets auf Avalanche und Polygon.

Aufschlüsselung nach Chain und Asset

Ethereum machte den größten Anteil der Verluste aus. Der Angreifer entwendete allein auf dieser Chain 3,80 Milliarden Dollar über 186 verschiedene Token, darunter 1,9 Milliarden USDT und 823 Millionen USDC. Eine einzige Transaktion um 20:24 UTC bewegte 2,53 Milliarden Dollar, zwei Drittel des Ethereum-Gesamtbetrags. Auf Bitcoin wurden 18.270 BTC im Wert von etwa 1,48 Milliarden Dollar gestohlen. Tron steuerte weitere 612,7 Millionen USDT zum Gesamtbetrag bei. Vier Assets, USDT auf Ethereum, BTC, USDC und USDT auf Tron, machten wertmäßig 74 % des Diebstahls aus.

Elliptics Zahl von 6,43 Milliarden Dollar schließt weitere 169 Millionen Dollar aus, die Binance nach der Aussetzung der Auszahlungen verließen. Die On-Chain-Analyse deutet darauf hin, dass Binance hier eigene Mittel verschob und nicht der Angreifer aktiv war, da die Zieladressen seit Langem bestehen und nicht mit dem Diebstahl in Verbindung stehen.

Wie der Angriff ausgeführt wurde

Binances erste Untersuchung deutet auf den Laptop eines kompromittierten DevOps-Ingenieurs als Einstiegspunkt hin. Die Börse erklärt, dass keine privaten Schlüssel geleakt wurden. Stattdessen scheint der Angreifer Binances eigene Signaturinfrastruktur manipuliert zu haben, um Transaktionen in seinem Namen zu autorisieren.

EIP-7702-Ausnutzung auf Ethereum

Auf Ethereum nutzte der Angreifer EIP-7702 aus, eine im Pectra-Upgrade 2025 eingeführte Funktion, die es einem regulären Wallet ermöglicht, sein Verhalten an einen Smart Contract zu delegieren. Der Angreifer übermittelte 50 vorab signierte Autorisierungen, die jeweils einen anderen Nonce abdeckten, um sicherzustellen, dass zum Ausführungszeitpunkt mindestens eine gültig sein würde. Dadurch wurde die Kontrolle über ein Binance-Hot-Wallet an einen „Sweeper"-Contract delegiert, der das Wallet anschließend von 167.464 ETH und 1,6 Milliarden USDT leerte. Besonders kritisch: Die Delegation blieb nach dem ersten Abzug bestehen, sodass der Angreifer in den folgenden dreieinhalb Stunden mindestens sechs weitere Male neue Einzahlungen in dasselbe Wallet abziehen konnte.

Vorbereitung und Probelauf

Elliptics Analyse zeigt, dass der Angriff methodisch vorbereitet wurde. Am 28. Oktober erhielt ein vom Angreifer kontrolliertes Wallet kleine Abhebungen aus dem Tornado-Cash-Mixer. Am folgenden Tag wurde der Angriffscode an zwei Wallets getestet und an einem dritten etwa vier Stunden vor dem Einsatz gegen Binance geprobt. Ein zweites Binance-Hot-Wallet auf Ethereum signierte außerdem neun Überweisungen im Wert von 174 Millionen Dollar direkt an den Angreifer, was darauf hindeutet, dass der Angreifer direkten Zugriff auf die Signaturinfrastruktur der Börse hatte und nicht lediglich die Berechtigungen eines einzelnen Wallets manipulierte.

Das Muster ähnelt stark dem Bybit-Diebstahl vom Februar 2025, bei dem nordkoreanische Hacker den Rechner eines Entwicklers beim Wallet-Anbieter Safe{Wallet} kompromittierten und die Transaktion manipulierten, die die Signierer von Bybit genehmigten. In beiden Fällen wurden die kryptografischen Schlüssel selbst nicht gestohlen. Die Angriffsfläche war die menschliche und infrastrukturelle Ebene rund um diese Schlüssel.

Stablecoin-Einfrierungen: Was zurückgeholt wurde und was nicht

Stablecoins machten 3,46 Milliarden Dollar des gestohlenen Gesamtbetrags aus, und der Angreifer war langsam bei deren Umwandlung, was den Emittenten ein kurzes Handlungsfenster verschaffte. Tether fror das Haupt-Ethereum-Wallet des Angreifers 37 Minuten nach Eingang der gestohlenen USDT ein und sperrte damit 1,18 Milliarden USDT. Innerhalb von 17 Minuten nach dieser Maßnahme war Tether den Geldern gefolgt und hatte vier weitere Adressen des Angreifers eingefroren. Circle fror die 823 Millionen USDC im selben Wallet drei Minuten nach Tethers erster Maßnahme ein. Ripple, World Liberty Financial, Paxos und First Digital froren weitere Stablecoins ein. Tether fror auch tokenisiertes Gold ein, das der Angreifer hielt. Binance fror die von ihm ausgegebenen WBETH ein, und der Arbitrum Security Council ergriff Notmaßnahmen, um Vermögenswerte außerhalb der Reichweite des Angreifers zu bringen.

Verifizierte eingefrorene Beträge nach Chain

Elliptic hat 2,84 Milliarden Dollar eingefrorener Gelder On-Chain verifiziert, nahe an Binances eigener Schätzung von rund 3 Milliarden Dollar. Stablecoins machen 94 % des eingefrorenen Gesamtbetrags aus und konzentrieren sich fast vollständig auf Ethereum und Tron. Arbitrum ist die einzige Chain, auf der nahezu alle gestohlenen Vermögenswerte gesichert wurden. Nichts von dem, was auf Bitcoin, dem XRP Ledger, Solana oder NEAR gestohlen wurde, wurde eingefroren, da native Assets auf diesen Chains keinen Emittenten mit Einfrierbefugnis haben. Ripple kann beispielsweise RLUSD einfrieren, aber nicht XRP. Aave fror als Reaktion seine Märkte ein, was jedoch neue Aktivitäten einschränkte und keine der bestehenden Positionen des Angreifers beschlagnahmte. Elliptics Analyse identifiziert außerdem eine Aave-Position mit 59,9 Millionen Dollar an Sicherheiten gegen 44,4 Millionen Dollar an Verbindlichkeiten, die außerhalb des verifizierten eingefrorenen Gesamtbetrags liegt.

Bereits laufende Geldwäscheaktivitäten

Bevor die Einfrierungen der Emittenten wirksam wurden, hatte der Angreifer bereits etwa 786 Millionen Dollar an Stablecoins in ETH und TRX umgewandelt. Nachfolgende On-Chain-Aktivitäten zeigen weitere 434 Millionen USDT, die über Uniswap, 1inch und Request-for-Quote-Market-Maker in etwa 160.451 ETH getauscht wurden. Die Umwandlungsstrategie entspricht der nordkoreanischen Geldwäsche-Methodik: Stablecoins in native Assets überführen, die keine zentrale Partei einfrieren kann, und dann über dezentrale Protokolle schichten.

Zuschreibung an die DPRK und weiterer Kontext

Elliptic schreibt den Diebstahl anhand von On-Chain-Beweisen der DPRK zu, darunter der bestätigte Fluss einiger gestohlener Gelder an Adressen, die zuvor mit einem mutmaßlichen DPRK-Exploit bei Bitget in Verbindung gebracht wurden. Die Angriffsmethodik deckt sich mit TraderTraitor, einer Hackergruppe, die mit der Lazarus Group assoziiert und von US-Behörden beobachtet wird. Die US-Regierung hat Krypto-Diebstähle der DPRK öffentlich mit der Finanzierung der Waffenprogramme des Regimes in Verbindung gebracht. Sollte sich die Zuschreibung bestätigen, würde dieser einzelne Vorfall die Gesamtsumme der Kryptoassets, die das Regime in den vergangenen Jahren gestohlen haben soll, nahezu verdoppeln.

Zum Kontext der breiteren DPRK-Bedrohung für die Branche: Das US-Finanzministerium und OFAC haben bereits zuvor Personen und Netzwerke sanktioniert, die mit nordkoreanischen IT-Arbeiter-Programmen verbunden sind, welche Krypto-Erlöse nach Pjöngjang leiten. Unsere frühere Berichterstattung über Treasury-Sanktionen gegen das DPRK-IT-Arbeiter-Kryptoprogramm beschreibt die Sanktionslandschaft, die nun auch diesen Vorfall umfasst.

Buchhalterische und compliancebezogene Implikationen

Für Wirtschaftsprüfungsgesellschaften und CFOs mit Börsenengagement

Die unmittelbarste Frage für jedes Unternehmen, das Vermögenswerte bei Binance hält, ist, ob diese Vermögenswerte abgeschrieben oder wertgemindert werden sollten, bis die Börse ihre eigene Verlustdeckungszusage umsetzt. Binance hat erklärt, alle Verluste aus seinem SAFU-Fonds und aus Unternehmensmitteln zu decken, und dass keine Nutzergelder betroffen sein werden. Solange diese Zusage jedoch nicht förmlich dokumentiert und die finanzielle Fähigkeit der Börse, sie zu erfüllen, unabhängig verifiziert ist, stehen Prüfer vor einer Offenlegungsentscheidung. Unternehmen sollten von Binance eine schriftliche Bestätigung der Deckungszusage anfordern und bewerten, ob dies eine Eventualverbindlichkeit oder ein nachträgliches Ereignis darstellt, das nach IFRS oder US GAAP eine Anhangsangabe erfordert.

Auch die eingefrorenen Stablecoin-Beträge sind wesentlich. Wenn ein Mandant USDT, USDC oder andere Stablecoins über Binance hält, ist die Existenz von Einfriermechanismen auf Emittentenebene nun ein nachgewiesenes und kein theoretisches Risiko mehr. Stablecoin-Bestände, die grundsätzlich von einem Drittemittenten eingefroren werden könnten, erfordern je nach Sachlage und anwendbarem Standard möglicherweise eine Umklassifizierung weg von den Zahlungsmitteläquivalenten. Dies sollte proaktiv geprüft werden, statt darauf zu warten, dass ein Prüfer es anspricht.

Für Unternehmen, die eine Krypto-Buchhaltungssoftware zur Erfassung von Börsenständen nutzen, ist die Diskrepanz zwischen den gemeldeten Börsenständen und den verifizierbaren On-Chain-Beständen zu einem akuten Prüfungsthema geworden. Bestände, die nicht anhand von Block Explorern oder API-Snapshots der Börse bestätigt werden können, sollten als unbestätigt gekennzeichnet werden, bis Binance den normalen Betrieb wieder aufnimmt.

Für Compliance-Teams und AML-Beauftragte

Elliptic hat Blockchain-Adressen zugeordnet, die mit dem Diebstahl in Verbindung stehen, und ein Screening gegen diese Adressen ist für Plattformen, die Blockchain-Analysedienste abonnieren, bereits möglich. Jede Transaktion, die diese Adressen berührt, sei es direkt oder über nachfolgende Hops, birgt angesichts der DPRK-Zuschreibung nun ein hohes Sanktionsrisiko. Insbesondere Unternehmen, die der OFAC-Jurisdiktion unterliegen, sollten sicherstellen, dass ihr Transaktionsmonitoring die neuesten Adresssätze des Angreifers einbezieht.

Der in diesem Angriff genutzte EIP-7702-Delegationsmechanismus ist technisch neuartig und möglicherweise noch nicht von bestehenden Wallet-Risikomodellen abgedeckt. Compliance-Teams sollten dies bei ihren Blockchain-Analyseanbietern ansprechen, um zu bestätigen, ob die delegierte Smart-Contract-Kontrolle im Adressrisiko-Scoring berücksichtigt wird.

Die Aussetzung der Auszahlungen hat auch unmittelbare Auswirkungen auf die AML-Berichterstattung. Wenn ein reguliertes Unternehmen zum Zeitpunkt der Aussetzung ausstehende Abhebungen von Binance hatte, kann die Unfähigkeit, diese Gelder zu bewegen oder zu verifizieren, je nach Jurisdiktion interne Eskalationspflichten auslösen. Dies sollte mit Ihrem MLRO geprüft werden.

Unsere ausführliche Analyse der früheren Aussetzung der Binance-Auszahlungen und ihrer Compliance-Folgen finden Sie in unserem Beitrag zu den buchhalterischen Implikationen des Binance-Hacks und der Aussetzung der Auszahlungen, der die strukturellen Compliance-Fragen eingehender behandelt.

Der OFAC-Aspekt steht auch in direktem Zusammenhang mit der laufenden Durchsetzung der Nordkorea-Sanktionen. Unsere frühere Analyse der OFAC-Sanktionen gegen das Krypto-Betrugsnetzwerk nordkoreanischer IT-Arbeiter liefert relevanten Hintergrund dazu, wie US-Behörden das Durchsetzungsumfeld rund um regimeverbundene Krypto-Aktivitäten aufbauen.

Häufig gestellte Fragen

Deckt Binance die Verluste, und wirkt sich das auf meine buchhalterische Behandlung aus?

Binance hat öffentlich zugesagt, alle Verluste aus seinem SAFU-Fonds und aus Unternehmensmitteln zu decken, und erklärt, dass Nutzergelder nicht betroffen sein werden. Für Buchhaltungszwecke handelt es sich dabei um eine Vertretung der Geschäftsleitung. Prüfer sollten eine schriftliche Dokumentation dieser Zusage einholen und bewerten, ob ein Eventualvermögenswert oder eine Eventualverbindlichkeit besteht. Wenn die Börse geprüft wird, fordern Sie Einsicht in den aktuellen Stand des SAFU-Fonds und in eine etwaige Bestätigung seiner Angemessenheit durch Dritte. Bis diese Verifizierung abgeschlossen ist, kann eine Anhangsangabe angemessen sein.

Was bedeutet die Stablecoin-Einfrierung für die Klassifizierung unserer Stablecoin-Bestände?

Die bestätigten Einfrierungen von USDT und USDC zeigen, dass Stablecoin-Emittenten einzelne Adressen, einschließlich Hot Wallets von Börsen, schnell einfrieren können und dies auch tun. Wenn Ihr Unternehmen Stablecoins an einer Börse hält, spricht dieses Ereignis dafür, zu prüfen, ob diese Bestände die Definition von Zahlungsmitteläquivalenten nach Ihrem anwendbaren Standard erfüllen. Das Einfrierrisiko kann, sofern wesentlich, auch eine Offenlegung rechtfertigen, selbst wenn keine Einfrierung Ihre eigenen Bestände unmittelbar betroffen hat.

Wie sollten Unternehmen das Transaktionsscreening angesichts der DPRK-Zuschreibung handhaben?

Elliptic hat dem Angreifer On-Chain-Adressen zugeordnet, und diese Zuordnungen stehen für das Screening zur Verfügung. Unternehmen unter OFAC-Jurisdiktion sollten jede Transaktion, die diese Adressen berührt, als potenzielles Sanktionsrisiko behandeln und ihre üblichen OFAC-Eskalationsverfahren befolgen. Angesichts der DPRK-Zuschreibung gelten die einschlägigen SDN-Listeneinträge und Durchführungsverordnungen für nordkoreabezogene Transaktionen. Wenden Sie sich an Ihren Blockchain-Analyseanbieter, um die Adressabdeckung zu bestätigen.

Schafft EIP-7702 ein neues Prüfungsrisiko für Unternehmen mit Selbstverwahrungs-Wallets?

EIP-7702 ermöglicht es einem Standard-Ethereum-Wallet, die Transaktionssignaturbefugnis an einen Smart Contract zu delegieren. In diesem Angriff nutzte der Angreifer diesen Mechanismus, um die Kontrolle über ein Binance-Hot-Wallet zu erlangen, ohne dessen privaten Schlüssel zu stehlen. Für Unternehmen, die eine Ethereum-basierte Selbstverwahrung oder Hot-Wallet-Infrastruktur nutzen, ist dies Anlass zu prüfen, ob EIP-7702-Delegationen im Rahmen Ihrer Schlüsselverwaltungskontrollen überwacht werden. Ihr Verwahrungsanbieter oder Ihr internes Sicherheitsteam sollte bestätigen, ob Ereignisse delegierter Befugnisse protokolliert und gemeldet werden.

Welche steuerlichen Auswirkungen hat es, wenn bei Binance gehaltene Gelder vorübergehend nicht zugänglich sind?

Die steuerliche Behandlung nicht zugänglicher Börsengelder ist je nach Jurisdiktion unterschiedlich und hängt davon ab, ob ein Verlust als realisiert gilt. In den USA ist ein Verlust im Allgemeinen erst abzugsfähig, wenn er mit hinreichender Sicherheit feststeht und bestimmbar ist. Wenn Binance die Nutzer vollständig entschädigt, entsteht kein abzugsfähiger Verlust. Ist ein Teil letztlich nicht wiedererlangbar, hängt der Zeitpunkt der Abzugsfähigkeit davon ab, wann dies klar wird. Im Vereinigten Königreich kann das Verfahren von HMRC für Wertlosigkeitsansprüche für Token relevant sein, die dauerhaft unzugänglich werden. Bewahren Sie alle Aufzeichnungen über Bestände, die Deckungszusage der Börse und jede weitere Kommunikation auf.

Quelle: Elliptic