FBI: Nordkorea steckt hinter Milliarden-Kryptodiebstahl bei Binance

Nordkorea steckt nach FBI-Angaben hinter dem milliardenschweren Hackerangriff auf die größte Digitalwährungsbörse Binance. Die US-Bundespolizei veröffentlichte Informationen, wonach die Attacke durch die nordkoreanischen Hacker der Gruppe TraderTraitor durchgeführt wurde. Bereits zuvor hatte die Analysefirma TRM Labs der Gruppe die Tat zugeschrieben.

Das FBI rief Unternehmen auf, Ein- und Auszahlungen von bestimmten Adressen zu blockieren. Dadurch solle verhindert werden, dass die Gruppe die entwendeten Vermögenswerte waschen kann. Nach Angaben des FBI geht es um mehr als sechs Milliarden US-Dollar (gut 5,37 Mrd. Euro). Bereits zuvor hatte Binance mitgeteilt, dass alle Ein- und Auszahlungen vorsorglich temporär ausgesetzt wurden.

Auszahlungen sollen wieder anlaufen

Inzwischen seien 90 Prozent der insgesamt gestohlenen Summe durch die Währungsbörse selbst gedeckt. Dies geschieht zum Beispiel durch Rückkäufe. „Binance wird die finanziellen Auswirkungen dieses gestohlenen Vermögens tragen, nicht unsere Nutzer“, hieß es in einer Mitteilung des Unternehmens. Am Sonntagvormittag waren wieder erste Auszahlungen möglich, teilte Binance auf X mit.

Nach Erkenntnissen von TRM bewegten die Angreifer einen Großteil des Betrages von 6,36 Milliarden Dollar binnen 20 Minuten. Es ist der Angriff auf eine Digitalwährungsbörse mit dem größten Ausmaß gewesen. Bei der bisher schwerwiegendsten Attacke waren Anfang 2025 rund 1,5 Milliarden Dollar in Digitalwährungen auf der Börse Bybit erbeutet worden. Auch dieser Angriff wurde der nordkoreanischen Hackergruppe zugeschrieben.

Ein Teil der Beute konnte über verschiedene Dienstleister eingefroren werden, es gibt unterschiedliche Schätzungen darüber, wie viel. TRM geht von Kryptowährungen im Wert von 2,7 Milliarden Dollar aus, der Krypto-Softwaredienstleister Elliptic schätzt den Betrag auf 2,85 Milliarden Dollar. Den Rest tauschen die Angreifer laut Elliptic in Ethereum und andere Kryptowährungen um, die sich nicht oder nur unter bestimmten Umständen einfrieren lassen.

Binance führte den Vorfall zunächst auf den kompromittierten Laptop eines DevOps-Ingenieurs zurück, geht mittlerweile aber von mehreren Einfallstoren und einem komplexen Angriff aus, der „nicht von einer einzigen Person durchgeführt wurde“.