Nach dem Binance-Hack mit einem Schaden von rund 6.3 Mrd. USD können Kunden ihre Guthaben schrittweise wieder abheben. Die Nettoabflüsse beziffert Binance bisher auf 3.64 Mrd. USD, das entspricht 2.1% der verwahrten Vermögen.
Binance ist als zentralisierte Börse Handelsplatz und Verwahrer zugleich. Kunden lassen ihre Guthaben bei der Plattform liegen, Abflüsse gelten daher als Gradmesser für ihr Vertrauen. Die Börse zählt 335 Mio. registrierte Nutzer und wies im Proof of Reserves zuletzt Vermögen von 171 Mrd. USD aus. Ende Oktober floss der Grossteil der gestohlenen Gelder innerhalb von rund 20 Minuten ab. Binance setzte Ein- und Auszahlungen deshalb vorübergehend aus. Das FBI schreibt den Angriff der nordkoreanischen Einheit TraderTraitor zu, Binance selbst spricht vom grössten Krypto-Diebstahl aller Zeiten. Zwischen 06:00 und 15:30 UTC am Tag der Wiedereröffnung standen Abhebungen von 4.65 Mrd. USD Einzahlungen von 1.01 Mrd. USD gegenüber.
Abonnieren Sie unseren Newsletter
Die besten Artikel der Woche direkt in ihre Mailbox geliefert.
Binance öffnet die Abhebungen in Phasen
Binance gibt die Abhebungen seit Anfang November in mehreren Phasen frei. Zunächst öffnete die Börse Token wie Bitcoin, Ether und Dogecoin sowie Teile der Stablecoins USDC und USDT. Auf X schrieb das Unternehmen: „Wir verfolgen einen phasenweisen Ansatz und priorisieren Token anhand der Nachfragedaten der letzten Woche." Weniger gefragte Token kommen folglich später an die Reihe.
Abzüglich der Einzahlungen bleibt aus dem Messfenster ein Nettoabfluss von 3.64 Mrd. USD. Gemessen an den 171 Mrd. USD aus dem Proof of Reserves vom 28.10.2026 sind das 2.1%. Der Grossteil floss in den ersten Stunden ab. Später stabilisierten sich die Abhebungen nach Angaben der Börse, während die Einzahlungen „substanziell" blieben.
Binance-Gründer Changpeng Zhao schrieb dazu auf X: „98% entscheiden sich fürs Bleiben!" Rechnerisch entspricht das dem Anteil, der nach einem Nettoabfluss von 2.1% übrig bleibt. Offen bleibt allerdings, ob Zhao Nutzer oder Guthaben meint. Ausserdem handelt es sich um eine Selbstauskunft ohne unabhängige Prüfung.
DefiLlama misst höhere Abflüsse als Binance
Der Analyseanbieter DefiLlama, der die Wallets von Börsen auf der Blockchain verfolgt, weist höhere Abflüsse aus. Seine Übersicht zeigt inzwischen 5.81 Mrd. USD, zuvor waren es 4.36 Mrd. USD. Zur Angabe der Börse ergibt sich also eine Differenz von rund 2.2 Mrd. USD.
Ein Binance-Sprecher hält die DefiLlama-Zahl für ungenau. Der Wahrheit am nächsten komme der jüngste Beitrag der Börse auf X. Die Auswertung berücksichtige die Einzahlungen auf eine eigene, neu eingerichtete Hot Wallet nicht. Erfasst eine On-Chain-Auswertung eine neue Börsen-Wallet nicht als solche, erscheinen Umbuchungen dorthin als Abfluss, obwohl die Mittel bei der Börse bleiben. Ob das hier zutrifft, lässt sich von aussen jedoch nicht prüfen. Zudem beruhen beide Zahlen auf verschiedenen Grundlagen und Stichtagen, ein direkter Vergleich ist deshalb nur begrenzt möglich.
Einen Massstab liefert der Dezember 2022. Damals zogen Kunden binnen 24 Stunden über 3 Mrd. USD von Binance ab, innerhalb einer Woche rund 3.7 Mrd. USD. Der aktuelle Nettoabfluss liegt in einer vergleichbaren Grössenordnung, wenngleich 2022 Brutto-Abhebungen über einen ganzen Tag zählten. Die neue Angabe der Börse ist ein Nettowert aus rund neuneinhalb Stunden. Prozentual sind die Werte hingegen nicht vergleichbar, weil die Börse damals einen anderen Vermögensbestand verwaltete.
Binance deckt 95% der gestohlenen Assets selbst
Binance hat nach eigenen Angaben 95% der gestohlenen Assets ersetzt. Zuvor hatte die Börse eine Quote von 90% gemeldet. Für den Ersatz kaufte das Unternehmen Token im Wert von rund 6 Mrd. USD zu. Die restlichen 5% entfallen auf weniger liquide Token, ihr Ersatz dauert daher länger. Die Restlücke beträgt damit rund 300 Mio. USD. Gemessen an den 171 Mrd. USD Vermögen ist das mit weniger als 0.2% vergleichsweise wenig.
Die Verluste gibt Binance nach eigener Darstellung nicht an die Nutzer weiter, sondern greift auf den Schutzfonds SAFU und auf Firmenmittel zurück. Einen Teil der Beute hat Circle blockiert. Der Stablecoin-Emittent meldet, er habe mehr als 1.1 Mrd. USD in USDC eingefroren, die mit dem Vorfall in Verbindung stehen. Offen ist weiterhin der genaue Hergang des Angriffs. Einen ausführlichen Bericht will Binance nach Abschluss der Untersuchung vorlegen.
Für Kunden zählt letztlich die Zusage, dass die Börse den gesamten Schaden trägt. Jay Koh, Vizepräsident der Asia Web3 AI Association, hielt den Grossteil seiner Mittel in einer Cold Wallet, die vom Hack nicht betroffen war. Deswegen zog er nichts ab. Koh würde nach eigenen Worten „nicht unbedingt alles von Binance abziehen". Gleichzeitig hält er es für ratsam, „das Engagement zu überprüfen, die Verwahrung breiter aufzustellen und auf keiner einzelnen Plattform mehr Vermögen zu halten als nötig".
ETF-Abflüsse und Liquidationen folgen auf den Hack
Zum Binance-Hack sagte Ari Redbord von TRM Labs: „Ich verstehe, warum das für konservative institutionelle Investoren beunruhigend ist." Bei einem Finanzinstitut bedeute ein Hack gestohlene Benutzernamen und Passwörter. Ein Hack bei einer Kryptobörse sei dagegen „ein Banküberfall in Internetgeschwindigkeit, der für alle, die fremdes Kapital verantworten, ein instabiles Risikoprofil schafft".
Am Freitag nach dem Hack verzeichneten Spot-Bitcoin-ETFs Abflüsse von 643 Mio. USD, den grössten Tagesabfluss im Oktober. Die Liquidationen gehebelter Positionen bezifferte Redbord auf mehr als 1.3 Mrd. USD. Beide Zahlen betreffen den Gesamtmarkt, nicht Binance allein.
Ausserdem messen die beiden Grössen Verschiedenes. ETF-Abflüsse entstehen, wenn Anleger Anteile an börsengehandelten Fonds zurückgeben. Liquidationen sind hingegen erzwungene Schliessungen von Positionen auf Kredit und damit kein Kapitalabfluss. Mit den Abhebungen bei Binance lassen sich die Werte somit nicht direkt vergleichen. Belegt ist vor allem die zeitliche Nähe zum Hack. Eine ursächliche Verbindung lässt sich aus den Zahlen allein nicht ableiten.
FBI schreibt den Binance-Hack TraderTraitor zu
Das FBI machte am Wochenende die nordkoreanische, staatlich unterstützte Einheit TraderTraitor für den Angriff verantwortlich. Am Freitag hatte die Behörde lediglich mitgeteilt, sie arbeite mit öffentlichen und privaten Partnern zusammen. Die Ermittler beobachteten, wie die Gruppe die Beute vor allem in Ether tauschte, und rechnen mit weiterer Geldwäsche. TRM Labs ordnete den Angriff vorab „mit hoher Sicherheit" der Gruppe zu. Die Muster ähneln früheren Angriffen, für die Analysten Nordkorea verantwortlich machen. Rafe Pilling vom Sicherheitsunternehmen Sophos erkennt ebenfalls „alle Merkmale" von TraderTraitor.
Politisch fällt die Zuschreibung jedoch weniger eindeutig aus. US-Präsident Donald Trump sagte am Samstag: „Wir wissen nicht, ob es Nordkorea ist, aber falls ja, werden wir mit Nordkorea darüber sprechen." Pjöngjang bestreitet seit Jahren staatlich gelenkte Cyberoperationen. Auf Medienanfragen reagierten Nordkoreas Vertretung in Genf und die Botschaft in China nicht.
Mit 6.3 Mrd. USD übertrifft der Fall alle bisherigen Krypto-Diebstähle. Den Bybit-Hack im Februar 2025 mit rund 1.5 Mrd. USD schrieb das FBI ebenfalls TraderTraitor zu. Der aktuelle Schaden fällt folglich rund 4.2-mal so gross aus. Er übersteigt zudem das Doppelte aller Krypto-Diebstähle des Jahres 2025, für die Schätzungen zwischen 2.7 und 2.9 Mrd. USD vorliegen. Ferner schätzen US-Geheimdienste, dass Nordkorea jährlich mindestens 1 Mrd. USD durch Krypto-Hacks und andere Finanzdelikte einnimmt.
