Am 29. Oktober 2026 war Binance Ziel des bislang größten Krypto-Diebstahls der Geschichte. Laut den vorliegenden Berichten wurden über 6,34 Milliarden US-Dollar an Kundengeldern von der nordkoreanischen Hackergruppe TraderTraitor erbeutet. Binance hat jedoch innerhalb von elf Tagen den Fehlbetrag vollständig aus Unternehmensmitteln, dem Secure Asset Fund for Users (SAFU) und dem Futures-Versicherungsfonds gedeckt. Parallel dazu veröffentlichte die Börse einen neuen Proof-of-Reserves-Snapshot, der 198 Token umfasst und eine Deckung von mindestens 1:1, darunter Bitcoin mit 100,05 %, belegt. Der Vorfall wirft jedoch zentrale Fragen zu Sicherheitsarchitekturen, der Wirksamkeit von Proof-of-Reserves und der Stabilität von Notfallfonds im Web-3-Umfeld auf.

Der Hack vom 29. Oktober 2026 – ein Überblick

• Schadenssumme: 6,34 Milliarden USD (Quelle S1).
• Verantwortlich: nordkoreanische Hackergruppe TraderTraitor (Quelle S2, S3).
• Technik: Nutzung von EIP-7702-Delegierungen auf Ethereum, die vorab signierte Autorisierungen (50 Stück) ermöglichten, Hot-Wallets autonom zu leeren.
• Social-Engineering-Phase: Monate zuvor wurden gefälschte Vorstellungsgespräche und manipulierte Entwickler-Tools eingesetzt, um Entwickler-Token zu kompromittieren (Info 1, title “Technischer Angriffsvektor …”).
• US-Justiz: Das Department of Justice erlangte gerichtliche Beschlagnahmung von über 1,2 Milliarden USD der gestohlenen Mittel (Quelle S3).

Technischer Angriffsvektor und Social-Engineering-Vorgeschichte

Monatelange Social-Engineering-Kampagne

Binance berichtete, dass die Angreifer zunächst über gefälschte Bewerbungsgespräche und manipulierte Entwickler-Pakete (z. B. über Homebrew) Schadcode auf Arbeitsgeräten von Entwicklern installierten. Dadurch konnten interne Wallet-Signing-Services kompromittiert werden. Dieser Vorstoß führte zu einer direkten Kompromittierung von Entwickler-Token, die für den späteren Diebstahl genutzt wurden.

• Gefälschte Vorstellungsgespräche mit Schadcode-Injection.
• Manipulierte Entwickler-Tools via Homebrew.
• Ergebnis: Zugriff auf interne Wallet-Signing-Services.

EIP-7702-Delegierungen als neue Bedrohung

Auf Ethereum setzten die Angreifer 50 vorab signierte EIP-7702-Autorisationen ein. Diese Delegierungen versehen reguläre Wallet-Adressen temporär mit Smart-Contract-Code, sodass Sweeper-Verträge automatisierte Transaktionen ausführen können, ohne dass eine Echtzeit-Signatur erforderlich ist. Selbst nachdem Binance die Standard-Auszahlungs-APIs deaktiviert hatte, konnten die Delegierungen weiter genutzt werden und der Token-Abfluss setzte sich fort.

• 50 vorab signierte EIP-7702-Autorisationen.
• Automatisierte Sweeper-Transaktionen direkt auf der Blockchain.
• Weiterer Geldabfluss trotz abgeschalteter Auszahlungs-APIs.

Finanzielle Gegenmaßnahmen von Binance

Vollständige Erstattung aus Unternehmensmitteln

Binance deckte den Fehlbetrag von über 6,34 Milliarden USD vollständig aus eigenen Mitteln, dem SAFU-Fonds und dem Futures-Versicherungsfonds. Damit sind alle Kundenguthaben wieder zu 100 % ausgeglichen, obwohl die gestohlenen Kryptowährungen noch nicht zurückgeflossen sind.

Proof of Reserves Snapshot

Am 12. November 2026 veröffentlichte Binance einen Proof-of-Reserves-Snapshot, der 198 Token umfasst. Jeder Token wird mit einer Deckungsquote von mindestens 1:1 angezeigt. Besonderes Augenmerk liegt auf den größten Beständen:

• Bitcoin: 688.284 BTC on-chain vs. 687.912 BTC Net-User-Balances → 100,05 % Deckung, Überschuss ca. 372 BTC.
• Solana: 105,86 % Deckung, Überschuss ca. 1,45 Mio SOL.
• XRP: 102,15 % Deckung, Überschuss ca. 52,4 Mio XRP.
• WBETH: höchste Ratio mit 115,24 %.

Die Berechnung nutzt Merkle-Bäume und wird durch einen Zero-Knowledge-Proof (ZK-Proof) verifiziert. Die Generierung dauert jedoch 40-50 Stunden, wodurch Nutzer aktuell auf das tabellarische Ergebnis vertrauen müssen.

Eingefrorene und gerichtlich gesicherte Gelder

• 2,85 Milliarden USD wurden unmittelbar eingefroren – vor allem Stablecoins bei Emittenten wie Tether und Circle (Info 1, title “Status der eingefrorenen Gelder …”).
• US-Justiz beschlagnahmte über 1,2 Milliarden USD (Quelle S3).

Die eingefrorenen Vermögenswerte resultierten aus Kooperationen mit Token-Emittenten, dem Arbitrum Security Council und anderen Krypto-Partnern.

Status des SAFU-Fonds und zukünftige Ziele

Nach Abschluss der Rückzahlung hat Binance den SAFU-Fonds stark beansprucht. Die Börse hat öffentlich zugesagt, den Fonds wieder auf das vorherige Zielvolumen von einer Milliarde USD aufzustocken (Quelle S5). Dieser Schritt soll sicherstellen, dass ein zukünftiger Sicherheitsvorfall nicht das Notfallreservoir übermäßig erschöpft.

• Aktuelles SAFU-Ziel nach Wiederauffüllung: 1,0 Milliarde USD (Info 1, metric SAFU-Zielkapitalisierung).
• Der Fonds bleibt ein zentraler Schutzmechanismus für Kunden bei weiteren Vorfällen.

Kritische Analyse der Proof-of-Reserves-Methodik

• Kein vollständiges Bilanzaudit: Der Snapshot misst nur On-Chain-Bestände zu einem fixen Stichtag. Verbindlichkeiten gegenüber Drittgläubigern, Betriebskostenkredite oder steuerliche Risiken bleiben unberücksichtigt (Counterpointsorrisks point 1).
• Lange Latenz bei ZK-Proof-Generierung: Mit 40-50 Stunden Verzögerung müssen Nutzer dem Snapshot für mehrere Tage vertrauen, bevor die kryptografische Bestätigung vorliegt (Counterpointsorrisks point 2).
• Schmale Bitcoin-Reserve: Trotz 100,05 % Deckung beträgt der Überschuss nur etwa 372 BTC, was bei großen Marktschwankungen wenig Spielraum lässt (Counterpointsorrisks point 3).

Häufig gestellte Fragen (FAQ)

Wie gelang den Angreifern der Zugriff auf die Hot-Wallets?Laut Binances Vorfallbericht nutzte die nordkoreanische Hackergruppe TraderTraitor monatelanges Social Engineering, darunter gefälschte Bewerbungsgespräche mit Schadcode im Testprojekt, um Berechtigungen für interne Wallet-Signing-Services zu erbeuten.Was bedeutet die EIP-7702-Delegation technisch für den Diebstahl?Mit EIP-7702 wurden reguläre Wallet-Adressen temporär mit Smart-Contract-Code versehen. Dadurch konnten die Angreifer über vorab signierte Autorisierungen automatisierte Sweeper-Transaktionen direkt auf der Blockchain ausführen, selbst nachdem Binance die Standard-Auszahlungsmechanismen gestoppt hatte.Erhalten Binance-Kunden die gerichtlich beschlagnahmten 1,2 Milliarden USD?Nein, nicht direkt. Da Binance die Kundenguthaben bereits zu 100 % aus eigenen Mitteln ausgeglichen hat, fließen eventuell erfolgreich zurückgeführte Gelder künftig in die Kassen von Binance zurück, um den Verlust der Börse abzufedern.

Fazit

Der Hack vom 29. Oktober 2026 hat die größten Schwachstellen im Zusammenspiel von interner IT-Hygiene und neuartigen Blockchain-Standards offenbart. Binance reagierte mit einer beispiellosen finanziellen Gegenmaßnahme: Vollständige Rückzahlung aus Unternehmensmitteln, Wiederauffüllung des SAFU-Fonds und Veröffentlichung eines umfangreichen Proof-of-Reserves-Snapshots. Trotz dieser Schritte bleiben kritische Punkte bestehen: Der Snapshot bietet keinen vollständigen Bilanzüberblick, die Generation von Zero-Knowledge-Proofs ist zeitintensiv und die Bitcoin-Reserve ist äußerst knapp. Darüber hinaus verdeutlicht das Vorgehen der nordkoreanischen Gruppe TraderTraitor, dass Social Engineering und neuartige EIP-7702-Delegierungen ernsthafte Bedrohungen für die Sicherheit von Krypto-Börsen darstellen. Die Kombination aus staatlich gelenkten Cyberangriffen und technischen Schwachstellen unterstreicht die Notwendigkeit verstärkter Sicherheitsprotokolle, transparenter Audits und robustere Notfallfonds, um das Vertrauen in das Web-3-Ökosystem nachhaltig zu sichern.