Binance Insider-Betrug
Der Binance-"Hack" war höchstwahrscheinlich ein Insider-Zugriff
Wesentliche Erkenntnisse
- Der Diebstahl im Wert von 6,3 Milliarden US-Dollar bei Binance wird als nordkoreanischer Hack abgetan — aber das wichtigste Detail deutet in eine andere Richtung.
- Binance bestätigte selbst, dass keine privaten Wallet-Schlüssel kompromittiert wurden. Der Angriff nutzte Zugriff auf die Infrastruktur zum Signieren — genau die Art von Zugriff, die ein Insider bereits hat.
- Die öffentlichen Aussagen von Binance schwankten zwischen „Die Nutzerfonds sind vollständig sicher“ und „Wir übernehmen alle Verluste“ – und die Geschichte vom „hackerangriff auf einen Laptop“ ist eigennützig und unbestätigt.
- Dies ist nicht Binsances erste Erfahrung. In CZs eigener Autobiografie wurde Insiderbestechung beim Hack von 2019 vermutet, und das Unternehmen bekannte sich 2023 schuldig, vorsätzlich Geldwäsche ermöglicht zu haben.
- Die Zuordnung mit „hoher Sicherheit“ zu Nordkorea basiert auf Mustererkennung, nicht auf Beweisen — und das Opfer kontrolliert die Erzählung.
Die offizielle Geschichte, zusammengefasst
Am späten Abend des 29. Oktober 2026 wurden rund 6,3 Milliarden US-Dollar aus den Hot Wallets von Binance über zehn Blockchains hinweg abgezogen – darunter Bitcoin, Ethereum, Tron, Solana und weitere – wobei der Großteil innerhalb von zwanzig Minuten verschoben wurde. Dies ist nach jedem Maßstab der größte Diebstahl in der Geschichte der Kryptowährungen: fast viermal so hoch wie der vorherige Rekord, der Verlust von 1,5 Milliarden US-Dollar bei Bybit im Februar 2025.
Innerhalb weniger Stunden schrieben die Blockchain-Intelligence-Unternehmen TRM Labs und Chainalysis den Angriff „mit hoher Wahrscheinlichkeit“ TraderTraitor zu, der nordkoreanischen Gruppe, die mit der Lazarus-Operation in Verbindung gebracht wird. Binances eigene Darstellung: Der Laptop eines DevOps-Ingenieurs wurde kompromittiert, der Angreifer nutzte ihn, um auf einen Service-Container zuzugreifen, und reichte von dort aus unbefugte Auszahlungsanträge ein. Rund 3 Milliarden US-Dollar wurden mit Hilfe von Tether, Circle und Ripple eingefroren. Binance sagt, dass es jeden Benutzer aus seinem SAFU-Versicherungsfonds und den Unternehmensrücklagen vollständig entschädigen wird.
Fall abgeschlossen, schien der Markt zu sagen. Bitcoin sank, BNB fiel, und die Geschichte nahm eine vertraute Form an: Ein weiterer Nationalstaat wurde getroffen, eine weitere Börse zahlt die Rechnung. Doch die bequeme Geschichte hat einen Riss, der genau durch sie hindurchgeht.
Das Indiz: Keine Private Keys wurden offengelegt
Der wichtigste Satz in der eigenen Offenlegung von Binance ist im Lärm untergegangen. Binance hat wiederholt erklärt, dass Ermittler keine Beweise dafür gefunden haben, dass der private Schlüssel eines Wallets geleakt wurde.
Halten Sie inne und überlegen Sie, was das bedeutet. Ein Dieb, der von außen einbricht, muss etwas mitnehmen: einen Schlüssel, einen Seed-Phrase, ein Passwort, ein Signing-Geheimnis. Das ist es, was "Hack" in der Krypto-Welt bedeutet. Aber hier wurde nichts entwendet. Stattdessen soll der Angreifer die Signing-Infrastruktur genutzt haben – den EIP-7702-Signiermechanismus auf Ethereum, vorautorisierte Transaktionen –, um Gelder zu bewegen. In einfachen Worten: Das Geld wurde bewegt, weil etwas innerhalb von Binance's eigener Signing-Pipeline dies autorisiert hat.
Das ist ein grundlegender Unterschied. Eine kompromittierte Signatur-Infrastruktur bedeutet nicht „Wir wurden beraubt.“ Sie bedeutet „Jemand mit legitimen Signaturzugriff hat das Geld bewegt.“ Und diejenigen, die legitimen Signaturzugriff besitzen, sind per Definition im Gebäude — oder wurden von jemandem hereingelassen, der es ist.
Ein externer staatlicher Akteur müsste enorm viel Aufwand betreiben, um diese Ebene unentdeckt zu erreichen. Ein Insider oder ein Insider, der mit einem externen Partner zusammenarbeitet, steht bereits darauf. Die Geschichte vom „gehackten Laptop“ ist bequem, genau weil sie den fehlenden gestohlenen Schlüssel erklärt — aber es ist Bineses eigenes nicht verifiziertes Konto, und es verdient die gleiche Skepsis wie der erste Entwurf der Ereignisse eines Opfers.
Eine widersprüchliche, eigennützige Erzählung
Schaut man sich die eigenen Kommunikationen von Binance an, wird man sehen, wie die Darstellung ins Wanken gerät. In der einen Mitteilung hieß es, die Kundengelder seien „völlig sicher“. In der nächsten würde das Unternehmen „alle Verluste tragen“. Diese beiden Aussagen können nicht beide als beiläufig abgetan werden. Das lateinamerikanische Konto des Unternehmens bestätigte eine Betroffenheit von „rund 6,3 Milliarden US-Dollar“, warnte jedoch gleichzeitig, die Zahl „könnte weiter steigen“. Die Mitteilungen kamen zuckend und unregelmäßig, teilweise widersprachen sie sich – was mehrere Medien bemerkten.
Nichts davon beweist ein Fehlverhalten. Unternehmen in der Krise kommunizieren oft schlecht. Aber wenn die Entität, die die Geschichte erzählt, auch diejenige ist, die die Untersuchung kontrolliert, erhält die Öffentlichkeit genau eine Version der Ereignisse – und diese Version hat einen eingebauten Anreiz, einen ausländischen Gegner zu beschuldigen, anstatt ein Loch im eigenen Haus.
Die Geschichte, die niemand erwähnen möchte
Hier endet die Insider-Theorie als Spekulation und wird zu einem Muster.
Zunächst 2019. Im Mai 2019 entzogen Hacker 7.000 Bitcoin – damals etwa 40 Millionen Dollar – aus dem Hot Wallet von Binance. In seinen eigenen Memoiren schreibt Gründer Changpeng Zhao, dass er stark den Verdacht hegte, es handle sich um die Lazarus-Gruppe aus Nordkorea, und dass die Angreifer möglicherweise einen Insider-Mitarbeiter bestochen haben könnten. Das ist keine Aussage eines externen Kritikers. Das ist der Gründer, der in Druckform zugibt, dass der Insider-Weg in Betracht gezogen wurde.
Zweitens, 2023. Binance und Zhao bekannten sich schuldig an bundesstaatlichen Anklagepunkten und zahlten eine Vergleichssumme von 4,3 Milliarden US-Dollar – die größte Unternehmensvergleichszahlung in der Geschichte der Finanzkriminalitätsdurchsetzung des US-Finanzministeriums. Das Justizministerium legte in kleinsten Details dar, wie Binance vorsätzlich versäumt hat, kriminelles Geld aufzuhalten: rund 106 Millionen US-Dollar in Bitcoin, die direkt vom Hydra-Darknet-Markt flossen, Hunderte von Millionen weitere über den Mixing-Dienst Bestmixer, und ein Schema, um US-Nutzer hinter einem „UNKWN“-Label zu verstecken, nachdem öffentlich behauptet worden war, man blockiere sie. Zhaos eigene Worte aus einem internen Chat: „Es ist besser, um Verzeihung zu bitten als um Erlaubnis.“
Drittens, das breitere Branchenmuster. Diebstähle an Börsen sind nicht immer extern. Im Jahr 2019 kam Südkoreas Bithumb zu dem Schluss, dass sein Verlust von 19 Millionen US-Dollar ein Insider-Tatbestand eines ehemaligen Mitarbeiters mit Zugang zu Hot-Wallets war. Der Punkt ist nicht, dass jeder Hack intern ist. Der Punkt ist, dass „Nation-State-Hacker“ die Standarderzählung ist, weil sie diejenige ist, mit der alle – einschließlich des Opfers – am bequemsten sind, und diejenige, die sich am einfachsten behaupten lässt.
Wenn ein Unternehmen eine dokumentierte Geschichte des Vertuschens seines Handelns hat, sollte seine nicht verifizierte Darstellung seines eigenen Sicherheitsvorfalls nicht ohne Weiteres akzeptiert werden. Das ist keine Verschwörungstheorie. Es ist grundlegende Sorgfaltspflicht.
Was würde es beenden
Die Frage nach dem Insider-Betrug ist beantwortbar, und die Antwort wird aus Beweisen stammen, die Binance kontrolliert – was genau das Problem ist. Eine glaubwürdige Klärung würde umfassen: einen unabhängigen, forensischen Bericht einer dritten Partei (keinen posthumen Bericht, der vom Unternehmen selbst verfasst wurde); die Identität und den Zugriffsumfang aller Unterzeichner, die im Zeitraum von zwanzig Minuten involviert waren; sowie eine öffentliche Aufschlüsselung, welche internen Systeme die Abhebungen autorisiert haben.
Solange diese Beweise nicht vorliegen, ist die ehrliche Position, dass dies höchstwahrscheinlich ein Insider-Job war – oder eine Insider-Hand, die eine externe steuert. Die Zuschreibung an Nordkorea ist kein Beweis; sie ist eine Schlussfolgerung, die aus Ähnlichkeiten mit vergangenen Vorfällen gezogen wird. Ähnlichkeiten sind keine Fingerabdrücke.
Die unangenehme Schlussfolgerung: Der größte Diebstahl in der Krypto-Geschichte war möglicherweise gar kein Einbruch. Es könnte eine Tür gewesen sein, die von innen geöffnet wurde. Und ein Unternehmen mit der Geschichte von Binance hat sich jede Menge der Aufmerksamkeit verdient, die darauf folgt.
FAQ
Wie viel wurde tatsächlich von Binance gestohlen? Rund 6,3 Milliarden US-Dollar wurden innerhalb von etwa zwanzig Minuten am 29. Oktober 2026 aus den Hot Wallets von Binance über zehn Blockchains abgezogen. Etwa 3 Milliarden US-Dollar wurden eingefroren; Binance gibt an, alle Kundenverluste aus seinem SAFU-Fonds und den Unternehmensreserven zu ersetzen.
Warum halten einige Leute es für einen Insider-Angriff? Weil Binance bestätigte, dass keine privaten Schlüssel der Wallets geleakt wurden. Die Mittel wurden über kompromittierte Signaturinfrastruktur bewegt – autorisierter Zugriff, keine gestohlenen Schlüssel. Diese Art von Zugriff hat ein Insider bereits, und Binance hat eine Historie, die seine Geschichte vom "gehackten Laptop" schwer glaubwürdig erscheinen lässt.
Auf welche Historie beziehen sie sich? In seiner Autobiografie sagte CZ, dass der Binance-Hack 2019 möglicherweise einen bestochenen Insider involvierte. 2023 bekannten sich Binance und CZ in Bundesverfahren schuldig und zahlten 4,3 Milliarden US-Dollar Strafe, weil sie vorsätzlich Geldwäsche ermöglicht und US-Benutzer vor Aufsichtsbehörden verborgen hatten.
Wird Nordkorea nicht offiziell beschuldigt? Ja – TRM Labs und Chainalysis haben den Angriff mit hoher Sicherheit der nordkoreanischen Gruppe „TraderTraitor“ zugeschrieben. Doch das ist eine Schlussfolgerung, die auf Ähnlichkeiten mit früheren Vorfällen basiert, kein Beweis. Das Opfer führt die Untersuchung, und es wurde kein unabhängiger forensischer Bericht veröffentlicht.
Welche Beweise würden die Angelegenheit klären? Ein unabhängiger forensischer Bericht einer dritten Partei, der vollständig darlegt, welche Unterzeichnerbefugnisse in Anspruch genommen wurden, sowie eine öffentliche Erklärung dazu, welche internen Systeme die Abhebungen autorisiert haben. Keines davon wurde veröffentlicht.