Die Kurzfassung
Binance verlor rund 6,3 Mrd. US-Dollar, weil Angreifer die Kontrolle darüber erlangten, was die Hot Wallet signiert – nicht, weil ein Tresor geknackt wurde. Erste Erkenntnisse deuten auf den kompromittierten Laptop eines Entwicklers, ein nie ablaufendes Token mit Vollzugriff und ein Signatursystem, das Delegationen an einen Contract des Angreifers freigab. Jedes Team, das Fintech-Software baut, die automatisiert Geld bewegt, hat dieselbe Schwachstelle.
Was ist bei Binance passiert?
Am 29. bzw. 30. Oktober 2026 – je nach Zeitzone – begannen Mittel aus Hot Wallets von Binance auf dem XRP Ledger, Ethereum, Bitcoin und weiteren Chains abzufließen. Laut Associated Press wurden rund 6,36 Mrd. US-Dollar in etwa 20 Minuten über zehn Blockchains bewegt. Binance setzte Ein- und Auszahlungen aus, bestätigte, dass nur Hot Wallets betroffen waren, während der Großteil der Vermögenswerte im Cold Storage liegt, und stellte Unternehmensmittel zur Deckung des Schadens bereit.
Die Blockchain-Analysefirmen TRM Labs und Chainalysis brachten den Diebstahl binnen eines Tages mit TraderTraitor in Verbindung, und das FBI ordnete ihn öffentlich derselben nordkoreanischen Gruppe zu. Die Vermögenswerte würden demnach überwiegend in Ether umgetauscht, weitere Geldwäsche sei wahrscheinlich. Tether und Circle froren rund 3 Mrd. US-Dollar in USDT und USDC ein – laut CNBC etwa die Hälfte der Beute. Binance erklärt, die übrigen Verluste nicht an Nutzer weiterzugeben.
Wie sind die Angreifer eingedrungen?
Die vollständige Post-mortem-Analyse ist nicht öffentlich; Details sind daher als Berichte zu verstehen. Laut AP war der erste Befund von Binance ein kompromittierter Laptop; spätere Untersuchungen deckten weitere Einfallstellen auf, und die Angreifer verfügten über „ein nie ablaufendes Token mit Vollzugriff“ auf eine Hot Wallet.
Die On-Chain-Analyse von TRM Labs ergänzt die Mechanik auf Ethereum. Der Angreifer reichte eine einzige Transaktion mit 50 EIP-7702-Autorisierungen ein, die jeweils vorab von der Binance-Hot-Wallet für aufeinanderfolgende Nonces signiert worden waren. Diese Delegationen verwiesen die Wallet auf einen vom Angreifer kontrollierten Sweeper-Contract, sodass das Guthaben und später eingehende Einzahlungen abflossen. TRM kommt zu dem Schluss, dass der Angreifer höchstwahrscheinlich das Signatursystem von Binance Transaktionen seiner Wahl signieren lassen konnte – eine Kompromittierung des Freigabepfads, nicht der Diebstahl eines einzelnen privaten Schlüssels.
Warum ist das über Krypto hinaus relevant?
Ersetzen Sie „Hot Wallet“ durch „Auszahlungsdienst“, und das Muster passt auf die meisten modernen Fintech-Stacks. Kartenausgabe, ACH in den USA bzw. SEPA-Lastschrift in Europa, Echtzeitzahlungen (Instant Payments) und Treasury-Tools haben alle eine Komponente, die einen API-Aufruf in eine Geldbewegung verwandelt – meist abgesichert durch ein Service-Token und eine Regel-Engine. Prüft diese Regel-Engine nur Beträge und Empfänger, braucht ein Angreifer, der Anfragen einreichen kann, die Schlüssel gar nicht.
Das Detail zu EIP-7702 ist insbesondere eine Warnung vor neuen Transaktionstypen. Eine Signaturrichtlinie, die vor einer Protokolländerung geschrieben wurde, kann eine Nachricht freigeben, deren Wirkung sie nicht versteht. Dasselbe Risiko entsteht immer dann, wenn ein Zahlungsnetz, eine Bank-API oder ein Kartensystem einen neuen Instruktionstyp einführt und der Freigabedienst nicht im Gleichschritt aktualisiert wird.
Was das für Softwareteams in DACH und der EU bedeutet
Für Fintechs in den USA gilt: Staatlich unterstützte Gruppen wie TraderTraitor nehmen Entwickler direkt ins Visier, oft mit gefälschten Jobangeboten oder manipulierten Tools, denn die Session eines einzigen Engineers kann das gesamte System öffnen. Behandeln Sie Entwickler-Laptops, die produktive Signatur- oder Auszahlungsdienste erreichen, als Teil des Perimeters für Karteninhaberdaten und Verwahrung, und testen Sie diese Grenze mit einem Penetrationstest und Sicherheitsaudit, das auch die CI/CD- und Secrets-Pfade umfasst – nicht nur die öffentliche Anwendung.
Für Teams in der EU trifft der Vorfall auf ein Umfeld, in dem die DORA-Vorgaben zu IKT-Risiken und Vorfallmeldungen für Finanzunternehmen gelten und MiCA Anbieter von Kryptowerte-Dienstleistungen regelt. Beide erwarten dokumentierte Zugriffskontrollen, getestete Wiederherstellung und eine schnelle Klassifizierung von Vorfällen. Ein nie ablaufendes Token für ein System, das Kundengelder bewegt, ist genau die Art von Befund, nach der ein Prüfer oder eine Aufsichtsbehörde fragen wird.
Was sollten Fintech-Teams jetzt tun?
- Langlebige Tokens abschaffen. Erfassen Sie jede Berechtigung, die eine Signatur oder Auszahlung anfordern kann; machen Sie sie kurzlebig, eng begrenzt und an eine Geräte- oder Workload-Identität gebunden.
- Den Signer verstehen lassen, was er signiert. Dekodieren Sie Transaktions- bzw. Instruktionstypen und führen Sie eine Allowlist; lehnen Sie Delegationen, Freigaben und Contract-Aufrufe ab, die die Richtlinie nicht ausdrücklich abdeckt.
- Abflussgeschwindigkeit begrenzen. Harte Limits pro Minute und pro Stunde für Hot Wallets und Auszahlungskonten hätten aus einem 20-minütigen Abfluss einen eingedämmten Vorfall gemacht.
- Vier-Augen-Prinzip für Richtlinienänderungen. Änderungen an Signaturregeln, Allowlists und Limits brauchen eine separate Freigabe und Alarmierung.
- Entwickler-Endgeräte härten. Verwaltete Geräte, phishing-resistente MFA und keine Produktions-Secrets auf Laptops.
- Das Einfrieren üben. Wissen Sie, wen Sie bei Stablecoin-Emittenten, Banken und Zahlungsdienstleistern anrufen und wie schnell Sie Abflüsse stoppen können.
Nichts davon ist Rechtsberatung. Die Richtung ist dennoch klar: Das wertvollste Ziel in einem System, das Geld bewegt, ist heute die Automatisierung, die Überweisungen freigibt – und sie verdient dieselbe Aufmerksamkeit wie die Schlüssel selbst. Wenn Sie Unterstützung suchen, nehmen Sie Kontakt auf oder lesen Sie mehr im Blog.
Häufig gestellte Fragen
Was ist beim Binance-Hack passiert?
Am 29./30. Oktober 2026 transferierten Angreifer laut Associated Press rund 6,3 Mrd. US-Dollar in Kryptowerten aus Hot Wallets von Binance über zehn Blockchains. Das FBI ordnete den Diebstahl TraderTraitor zu, einer nordkoreanischen Gruppe. Binance erklärte, die Verluste selbst zu tragen, und nahm am 1. November schrittweise die Auszahlungen wieder auf.
Wie sind die Angreifer in die Hot Wallet von Binance gelangt?
Die ersten Ermittlungen von Binance deuteten auf den kompromittierten Laptop eines Softwareentwicklers hin; laut AP verschafften sich die Angreifer ein nie ablaufendes Token mit Vollzugriff auf eine Hot Wallet. Das Blockchain-Analyseunternehmen TRM Labs hält es für die wahrscheinlichste Erklärung, dass der Angreifer das Hot-Wallet-Signatursystem von Binance Transaktionen seiner Wahl signieren lassen konnte – darunter 50 vorab signierte Ethereum-Delegationen nach EIP-7702.
Was ist EIP-7702 und warum spielte es hier eine Rolle?
EIP-7702 ist eine Ethereum-Funktion, die seit Mai 2025 live ist und es einem regulären Konto erlaubt, sein Verhalten an Smart-Contract-Code zu delegieren. Laut TRM Labs nutzte der Angreifer signierte Delegationen, um die Hot Wallet von Binance auf einen von ihm kontrollierten Sweeper-Contract zu verweisen, sodass auch später eingehende Mittel abgezogen werden konnten. Signaturrichtlinien, die nur Beträge und Empfänger prüfen, können eine solche Autorisierung übersehen.
Haben Binance-Kunden Geld verloren?
Laut Binance nicht. Die Börse erklärte, sie trage den finanziellen Schaden selbst und gebe Verluste nicht an Nutzer weiter. TechCrunch zufolge deckte Binance rund 95 % der gestohlenen Vermögenswerte ab, und Tether sowie Circle froren Stablecoins im Wert von rund 3 Mrd. US-Dollar ein, die mit dem Diebstahl in Verbindung stehen.
Was sollten Fintech-Teams außerhalb der Kryptobranche daraus lernen?
Behandeln Sie den Signaturdienst bzw. die Zahlungsfreigabe als Kronjuwel – nicht nur die Schlüssel. Entfernen Sie langlebige Tokens mit Vollzugriff, lassen Sie den Signer prüfen, was er signiert, begrenzen Sie die Abflussgeschwindigkeit von Hot Wallets und Auszahlungen und härten Sie Entwicklergeräte, die die Produktion erreichen. Diese Kontrollen gelten ebenso für Karten-, ACH- bzw. SEPA-Lastschrift- und Echtzeitzahlungsplattformen.
Quellen
Associated Press via PBS NewsHour — What to know about the $6.3B hack on Binance, likely the biggest-ever crypto theft (31. Oktober 2026)
CNBC — Binance hack: Investigators in a ‘cat and mouse game’ to recover $6.3 billion in stolen funds (30. Oktober 2026)
TechCrunch — Binance resumes withdrawals following $6.3 billion breach (1. November 2026)
TRM Labs — North Korea steals USD 6.36 billion from Binance in the largest hack in history (On-Chain-Analyse, 30. Oktober 2026)