KIungefiltert

· 4 Min. Lesezeit · Read in English

Binance-Diebstahl: FBI macht Nordkoreas TraderTraitor verantwortlich

Das FBI ordnet den Diebstahl von mehr als 6 Mrd. Dollar bei Binance der nordkoreanischen Gruppe TraderTraitor zu. Was bekannt ist, was sich seit dem Post geändert hat und was du tun solltest.

Sicherheit

Den Diebstahl bei Binance haben wir als Vorfall gemeldet. Jetzt gibt es einen Täter, und zwar einen staatlichen: Das FBI ordnet ihn offiziell der nordkoreanischen Gruppe TraderTraitor zu. Die Gruppe ist auch als Jade Sleet, Pressure Chollima, Slow Pisces und UNC4899 bekannt. Laut The Hacker News haben der US Secret Service und IRS-CI, die Ermittlungsabteilung der US-Steuerbehörde, an den Ermittlungen mitgearbeitet.

Was passiert ist

Der Diebstahl geschah am 29. Oktober 2026. Laut FBI wurden virtuelle Assets im Wert von mehr als 6 Milliarden US-Dollar gestohlen. Die genauen Zahlen gehen auseinander: The Hacker News nennt 6,43 Milliarden, heise beruft sich auf 6,36 Milliarden aus Analysen von TRM Labs, und Chainalysis kam laut Cointelegraph auf rund 5,9 Milliarden. Fest steht nur die Größenordnung: Das ist der größte bekannte Kryptodiebstahl. Den bisherigen Rekord hielt der Bybit-Hack vom Februar 2025 mit rund 1,46 Milliarden Dollar, ebenfalls TraderTraitor zugeschrieben.

Die Beute lag laut The Hacker News auf elf Blockchains, 82 Prozent davon auf Ethereum und Bitcoin. Laut heise haben die Angreifer den Großteil innerhalb von etwa 20 Minuten abgezogen.

Zum Einfallstor gibt es noch keine gesicherte Aussage. Binance nannte zunächst den kompromittierten Laptop eines DevOps-Engineers, also eines Mitarbeiters, der Infrastruktur und Deployments betreut. Inzwischen geht Binance laut heise von mehreren Einstiegspunkten und einem komplexen Angriff aus.

Was sich seit unserem Post geändert hat

  • Zuordnung offiziell: Zuerst hatten Analysefirmen wie TRM Labs, Chainalysis und Elliptic auf Nordkorea getippt. Das FBI hatte sich anfangs nur zu den Ermittlungen geäußert. Mit dem Hinweis vom 31. Oktober ist die Zuordnung jetzt behördlich.
  • Wallet-Liste: Das FBI hat laut SecurityWeek 628 Adressen veröffentlicht: 608 auf Ethereum, 19 auf Bitcoin und eine auf Solana. Börsen, DeFi-Dienste (dezentrale Finanzdienste ohne zentrale Betreiber), Bridges und Node-Betreiber sollen Transaktionen mit diesen Adressen blockieren. Das FBI rechnet damit, dass die Beute über DeFi und Instant-Swap-Dienste weiter gewaschen wird.
  • Eingefroren: Tether, Circle, Ripple, Arbitrum und Optimism haben laut Elliptic rund 2,85 Milliarden Dollar eingefroren. TRM Labs schätzt 2,7 Milliarden. Den Rest haben die Angreifer vor allem in Ether umgetauscht, und der lässt sich kaum einfrieren.
  • Binance trägt den Schaden: Laut heise sagt Binance, der Schaden treffe die Börse und nicht die Nutzer. Rund 90 Prozent seien bereits gedeckt. Auszahlungen laufen seit dem 1. November wieder, inzwischen auf allen 15 Netzwerken. Am ersten Tag flossen netto rund 3,64 Milliarden Dollar ab.

Warum das wichtig ist

Das ist kein Gelegenheitsdiebstahl. Hier hat ein Staat mit langem Atem eine der größten Börsen der Welt geplündert. Laut Elliptic verdoppelt dieser eine Vorfall fast die Summe, die Nordkorea bisher an Kryptowerten erbeutet hat. TraderTraitor ist seit mindestens 2020 aktiv. Der Gruppe werden auch die Angriffe auf DMM Bitcoin, Bybit, KelpDAO und Bitget zugeschrieben.

Ihre bekannten Methoden zielen auf Menschen und Entwickler-Werkzeuge. Dazu gehören gefälschte Recruiter, Scheinfirmen und Lockangebote zu Jobs. Laut Berichten von SentinelOne, Zscaler und Microsoft kommen auch manipulierte Terraform-Provider dazu. Terraform ist ein Werkzeug, mit dem Teams Infrastruktur als Code verwalten. Ein manipulierter Provider bringt Schadcode direkt in den Entwickler-Workflow. Ob genau diese Techniken bei Binance eingesetzt wurden, ist nicht belegt. Das Muster passt aber zum Hinweis auf den Laptop.

Was du tun solltest

Als Privatperson mit Krypto:

  • Lass nicht dein ganzes Vermögen auf einer Börse liegen. Was du nicht handelst, gehört in eine eigene Wallet, idealerweise eine Hardware-Wallet.
  • Schütze Börsenkonten mit Hardware-Sicherheitsschlüsseln (FIDO2/Passkeys) statt mit SMS-Codes.
  • Sei misstrauisch bei Jobangeboten, "Testaufgaben" und Dateien von Fremden, gerade wenn sie über LinkedIn, Telegram oder Discord kommen.
  • Achte auf Phishing: Nach großen Vorfällen kursieren gefälschte "Entschädigungs"-Seiten.

Als Unternehmen oder Entwicklerteam:

  • Nimm die Adressliste des FBI in dein Transaktions-Screening auf, wenn du mit Kryptowerten arbeitest.
  • Behandle Rechner von Admins und Entwicklern als besonders wertvolle Ziele. Trenne Arbeits- und Signierumgebungen und halte die Rechte so knapp wie möglich.
  • Prüfe, woher Terraform-Provider, Pakete und Skripte kommen, bevor sie in Pipelines landen.
  • Schule HR und Engineering zu gefälschten Recruitern. Der Einstieg passiert oft im Bewerbungsgespräch, nicht in der Firewall.

Meine Einordnung: Die beste Verteidigung gegen staatliche Angreifer ist nicht ein einzelnes Tool. Es kommt darauf an, dass ein einziger kompromittierter Laptop nicht reicht, um Milliarden zu bewegen.

Quellen