Wie Nordkorea die 6,4 Milliarden Dollar aus dem Binance-Diebstahl wäscht

Die am 29. Oktober von Binance gestohlenen Gelder werden mit Maschinengeschwindigkeit gewaschen, und jedes Unternehmen, das mit Exchange-Zahlungsströmen zu tun hat, benötigt jetzt Krypto-Buchhaltungssoftware, die Gegenparteien nachverfolgen, Engagements kennzeichnen und einen Prüfpfad führen kann. Das Blockchain-Analyseunternehmen Elliptic berichtet, dass der Angreifer in weniger als vier Tagen etwa 12.000 Wallets über 11 Blockchains und mehr als 40.000 Transaktionen nutzte. Etwa 3,24 Milliarden Dollar liegen noch immer in mit dem Diebstahl verbundenen Adressen, sodass das Expositionsfenster für Finanzteams weit offen steht.

Was passiert ist und wo das Geld jetzt ist

Am 29. Oktober wurden Krypto-Assets im Wert von 6,43 Milliarden Dollar von Binance, einer der größten Börsen der Welt, gestohlen. Die Gelder befanden sich auf 11 verschiedenen Blockchains. Binance hat erklärt, dass der Angriff mit dem Laptop eines kompromittierten Ingenieurs begann. Der Diebstahl selbst lief von 20:05 bis 23:56 UTC. Das FBI schrieb ihn später TraderTraitor zu und veröffentlichte die Adressen des Angreifers. Elliptics Update wurde zuletzt am 2. November 2026 aktualisiert und warnt, dass sich das Bild schnell verändert und unvollständig sein kann.

Die wichtigsten Zahlen

Elliptics Zahlen bieten einen nützlichen Überblick über die Lage zum Zeitpunkt der neuesten On-Chain-Daten:

Elliptic gibt an, dass bisher wahrscheinlich nur ein vernachlässigbarer Betrag in Fiatgeld umgewandelt wurde. Die Gelder, die nicht bewegt wurden, befinden sich sehr wahrscheinlich noch im Besitz Nordkoreas. Diejenigen, die gewaschen werden, könnten sich bereits bei chinesischen Geldwäschenetzwerken befinden, die Nordkorea bereits zuvor genutzt hat.

Warum die Stablecoins zuerst wichtig waren

Da 54 % der Beute in Stablecoins wie USDT und USDC bestanden und Emittenten wie Tether und Circle diese einfrieren können, war es für den Angreifer vorrangig, in nicht einfrierbare Vermögenswerte wie ETH und TRX zu tauschen. Auf Ethereum fror Tether die gestohlenen USDT 37 Minuten nach deren Eingang ein. Zuvor tauschte der Angreifer 434 Millionen USDT auf dezentralen Börsen wie Uniswap gegen ETH und lieh sich 19.762 ETH auf Aave gegen weitere 59,9 Millionen USDT. Auf Tron tauschte er 234 Millionen USDT auf SunSwap gegen TRX, bevor Tether den Rest einfror. Circle fror alle 823 Millionen gestohlene USDC ein, bevor irgendein Teil davon getauscht werden konnte.

Wie die Geldwäsche ablief

Elliptic beschreibt eine stufenweise Operation. Keine der einzelnen Techniken ist neu, aber in Kombination machen sie die Nachverfolgung erheblich schwieriger.

Tron: Aufteilung und Bridging

Nach der ersten Stunde bewegte sich auf Tron etwa fünf Stunden lang fast nichts. Dann begann am 30. Oktober um 02:19 UTC ein einzelnes Verteilungswallet, 684,6 Millionen TRX in kleinen Beträgen an Hunderte neuer Adressen zu senden. Die Gelder verteilten sich auf etwa 7.700 Adressen. Innerhalb von zweieinhalb Stunden tätigte der Angreifer seine ersten Transfers über sechs verschiedene Cross-Chain-Bridges, überwiegend in Testgrößen. Fast alle TRX wurden als ETH auf Ethereum ausgezahlt, und mindestens 147 Millionen Dollar wurden bisher aus Tron herausgebridged.

Am 31. Oktober fügte der Angreifer weitere Routen hinzu. Ab 03:36 UTC wurden einige TRX gegen USDD getauscht, einen Stablecoin, der sich als zensurresistent vermarktet. Ab 05:18 UTC leitete eine Adresse 128 Millionen TRX durch einen JustLend-Lending-Vault, wobei sie von einer Adresse einzahlte und an 16 neue Adressen auszahlte, ohne dass eine direkte Transaktion sie verband. Das Verteilungswallet beschleunigte sich ebenfalls und erreichte bis zu 37 Millionen TRX pro Stunde. Seine letzte Transaktion erfolgte am 1. November um 05:33 UTC nach 1.113 Transfers in 51 Stunden.

Ethereum, Bitcoin und andere Chains

Auf Ethereum wurden eingehende ETH an neu erstellte Adressen weitergeleitet, die dann inaktiv blieben. Etwa 68.700 ETH sind jetzt auf rund 850 kleinere Adressen verteilt, die meisten halten zwischen 10 und 100 ETH. Die neun größten Adressen halten 89 % der ETH des Angreifers und haben sich seit dem 30. Oktober nicht bewegt. Die 18.270 gestohlenen BTC wurden auf 19 Adressen aufgeteilt und haben sich seitdem nicht bewegt.

Seit dem 1. November haben sich auch andere Chains in Bewegung gesetzt. NEAR wurde ab 07:00 UTC auf neue Konten verschoben. Einige geparkte ETH begannen sich wieder in Tranchen von etwa 10 ETH zu bewegen. Etwa die Hälfte der SOL ging an eine neue Adresse. Am 2. November wurden alle 233 Millionen XRP an sechs neue Adressen gesendet, wo sie sich noch befinden.

Die erste Vermischung

Zum ersten Mal wurden einige der gestohlenen Gelder vermischt. Ab 05:55 UTC am 1. November gingen Bitcoin aus den Tron-Geldern in Coinjoins unter Verwendung von WabiSabi, dem Protokoll hinter Wasabi Wallet und ähnlichen Tools. Bis 06:02 UTC am 2. November wurden etwa 28 BTC (2,2 Millionen Dollar) durch 18 Coinjoins geleitet, jeder mit zwischen 101 und 491 Inputs. Ein Coinjoin kombiniert das Bitcoin vieler Nutzer in einer Transaktion, was die sichtbare Verbindung zwischen eingehenden und ausgehenden Coins durchbricht. Elliptic erwartet basierend auf dem Bybit-Fall, dass der Angreifer ETH gegen Bitcoin tauschen und dann versuchen wird, über OTC-Broker und Börsen auszucashen.

Automatisierung, nicht unbedingt KI

Die Geschwindigkeit hat Spekulationen ausgelöst, dass KI-Agenten die Gelder bewegen. Elliptics Lesart ist, dass die Beweise auf konventionelle Automatisierung hindeuten: feste Zeitabläufe, festgelegte Beträge, blinde Wiederholungsversuche und neue Taktiken, die in Schritten von Stunden eingeführt wurden. Es gab auch Pausen, die menschlichen Arbeitsmustern ähneln. Für Praktiker ist der praktische Punkt in beiden Fällen derselbe: Allein der Umfang deutet auf Software hin, und manuelle Nachverfolgung wird nicht Schritt halten können.

Was das für Unternehmen und CFOs bedeutet

Für einen B2B-Leser ist das Hauptrisiko die indirekte Exponierung. Die Aufteilung der Gelder auf Tausende von Adressen bedeutet, dass kleine, gewöhnlich aussehende Einzahlungen auf den Diebstahl zurückverfolgt werden können. Elliptic merkt an, dass kleinere Beträge bei Börsen, die eingehende Gelder prüfen, weniger auffallen und in Chargen in einem vom Angreifer gewählten Tempo gewaschen werden können. Ein Kunde, eine Gegenpartei oder ein OTC-Schreibtisch könnte belastete Gelder ohne offensichtliche Warnsignale erhalten.

Auswirkungen auf Buchhaltung und Prüfung

Gute Buchhaltungssoftware für digitale Assets und Krypto-Buchhaltungssoftware sollte es einem Team ermöglichen, vier Dinge schnell zu erledigen:

• Die On-Chain-Quelle jeder eingehenden Überweisung aufzeichnen, mit Wallet-Adressen und Transaktions-Hashes, die mit Buchungseinträgen verknüpft sind.
• Historische Eingänge erneut gegen neu veröffentlichte Adresslisten prüfen, da die Attribution und die Adressgruppen ständig wachsen.
• Die Entscheidung dokumentieren, wenn ein gekennzeichneter Eingang zurückgehalten, zurückgegeben oder gemeldet wird, damit ein Prüfer die Begründung nachvollziehen kann.
• Betroffene Salden für Offenlegungszwecke trennen, wenn Vermögenswerte einer Gegenpartei eingefroren oder ihre Abhebungen eingeschränkt werden.

Wenn Ihr Unternehmen Guthaben bei einem betroffenen Handelsplatz hält oder an einen solchen verleiht, liegt die Frage nach Wertminderung, Einschränkung und Offenlegung bei Ihnen und Ihrem Prüfer. Dieser Artikel legt keine Behandlung fest, da diese von Fakten und Rahmenwerken abhängt, die die Quelle nicht abdeckt. Was die Quelle jedoch stützt, ist die Notwendigkeit sauberer, zeitgestempelter Aufzeichnungen jeder Position und Überweisung, was genau das ist, was Krypto-Buchhaltungssoftware leisten soll.

AML- und steuerliche Aspekte

Aus AML-Sicht verkürzt die Geschwindigkeit der Geldwäsche die Zeit, die Unternehmen zur Reaktion haben. Unsere verwandte Berichterstattung beschreibt was Unternehmen jetzt nach der TraderTraitor-Zuschreibung tun müssen und wie automatisierte Geldwäsche die Erwartungen an die Überwachung verändert. Unternehmen sollten prüfen, ob ihre Screening-Verfahren Adressen auf allen 11 beteiligten Chains abdecken, nicht nur Ethereum und Bitcoin, und ob Bridge- und Lending-Vault-Hops verfolgt werden, anstatt sie als Sackgassen zu behandeln.

Auf der steuerlichen Seite sollte ein Berater, der einen Mandanten berät, der Gelder erhalten hat, die später mit dem Diebstahl in Verbindung gebracht wurden, dokumentieren, wie und wann die Gelder eingegangen sind, die Gegenpartei und alle Maßnahmen, die ergriffen wurden, sobald die Verbindung bekannt war. Ob solche Eingänge die Berichterstattung des Mandanten beeinflussen, ist eine Frage der Regeln der zuständigen Steuerbehörde und der Rechtsberatung, und die Quelle geht nicht darauf ein.

Was einzelne Steuerpflichtige tun sollten

Wenn Sie als Privatperson Krypto an einer großen Börse halten, haben Sie dies nicht verursacht, und es gibt nichts in der Quelle, was darauf hindeutet, dass reguläre Kunden wegen dieses Vorfalls ihre Steuererklärungen ändern müssen. Die praktischen Schritte betreffen die Aufzeichnungen.

Führen Sie Ihre eigenen Aufzeichnungen

• Exportieren Sie Ihre Transaktionshistorie von jeder Börse und jedem Wallet, das Sie nutzen, und speichern Sie sie an einem Ort, den Sie kontrollieren.
• Notieren Sie die Daten aller Einzahlungen, Auszahlungen oder Trades, die Sie im Zusammenhang mit dem Vorfall getätigt haben, insbesondere wenn Auszahlungen verzögert wurden.
• Seien Sie vorsichtig beim Empfang von Krypto aus unbekannten Quellen, einschließlich OTC-Käufern. Gelder, die mit einem bekannten Diebstahl in Verbindung gebracht werden, können von der Plattform gekennzeichnet werden, bei der Sie sie einzahlen.

Gute Buchführung macht es viel einfacher, die Herkunft Ihrer Coins nachzuweisen, falls eine Plattform jemals danach fragt. Wenn Sie ein Tool zur Verfolgung nutzen, prüfen Sie, ob es die On-Chain-Quelle jeder Überweisung aufzeichnet, nicht nur Betrag und Datum.

Praktische nächste Schritte diese Woche

Für Unternehmen

Laden Sie die vom FBI veröffentlichten Adressen und alle Blocklisten von Anbietern in Ihr Screening. Unsere Berichterstattung über die kostenlose Binance-Exploit-Blocklist ist ein Ausgangspunkt. Führen Sie kürzlich eingegangene Zahlungen erneut gegen die Listen aus, bestätigen Sie Ihre Richtlinie zum Halten und Eskalieren gekennzeichneter Gelder und weisen Sie das Engagement-Team ein, wer die Freigabe erteilt. Da Elliptic angibt, dass sich die Situation weiterentwickelt und ihre Beschreibung unvollständig sein kann, planen Sie, das Screening zu wiederholen, sobald neue Adressen veröffentlicht werden.

Für Privatpersonen

Sichern Sie Ihre Aufzeichnungen, beschränken Sie Einzahlungen auf Quellen, die Sie identifizieren können, und vermeiden Sie es, bei Fremden nach Rabatten auf Coins zu suchen. Wenn eine Börse nach der Herkunft von Geldern fragt, antworten Sie mit Dokumenten statt mit Vermutungen.

Häufig gestellte Fragen

Wie viel des gestohlenen Binance-Geldes wurde zurückgewonnen?

Elliptic berichtet, dass 2,85 Milliarden Dollar eingefroren oder beschlagnahmt wurden. Etwa 3,24 Milliarden Dollar verbleiben in mit dem Diebstahl verbundenen Adressen, überwiegend ETH und BTC, und ein vernachlässigbarer Betrag wurde wahrscheinlich in Fiatgeld umgewandelt.

Warum tauschte der Angreifer zuerst Stablecoins?

Emittenten wie Tether und Circle können Stablecoins einfrieren. Von den 6,43 Milliarden Dollar, die genommen wurden, waren 54 % in Stablecoins, daher wechselte der Angreifer schnell in Assets wie ETH und TRX, die nicht eingefroren werden können.

Wird die Geldwäsche von KI durchgeführt?

Elliptic sagt, die Beweise deuten auf konventionelle Automatisierung hin, wie feste Zeitabläufe, festgelegte Beträge und blinde Wiederholungsversuche, plus Pausen, die menschlichen Arbeitsmustern ähneln. Es wird nicht der Schluss gezogen, dass KI-Agenten beteiligt sind.

Wie kann Krypto-Buchhaltungssoftware bei dieser Art von Ereignis helfen?

Sie kann jede eingehende Überweisung mit ihrer On-Chain-Quelle verknüpfen, die erneute Prüfung gegen aktualisierte Adresslisten unterstützen und einen dokumentierten Entscheidungsweg für Prüfer führen. Sie unterstützt Ihr Urteilsvermögen, ersetzt jedoch nicht die Compliance-Prüfung.

Müssen normale Börsennutzer ihre Steuererklärungen ändern?

Die Quelle sagt das nicht. Privatpersonen sollten vollständige Transaktionsaufzeichnungen führen und die Regeln ihrer eigenen Jurisdiktion prüfen oder einen qualifizierten Berater fragen, wenn sie spezifische Bedenken haben.

Wie es für Sie weitergeht

Der nächste Schritt, wenn Elliptics Bybit-Vergleich zutrifft, ist die Umwandlung in Bitcoin und das Auscashen über OTC-Broker und Börsen. Dort werden Unternehmen und Privatpersonen am ehesten auf die Gelder treffen, daher sind die Aufzeichnungen, die Sie jetzt führen, wichtig. Für weiteren Kontext siehe unsere Hauptseite zur Krypto-Compliance-Berichterstattung.

Quelle: Elliptic