Nordkorea bestreitet, hinter dem Krypto-Diebstahl von 6.3 Mrd. USD bei Binance zu stehen, und nennt die Zuschreibung des FBI „absurde Rhetorik". Die Börse meldet gleichzeitig, die Abflüsse ihrer Kunden hätten sich normalisiert.
Binance ist die weltgrösste Kryptobörse und verwahrt Guthaben, die Kunden jederzeit abheben können. Diese Abhebbarkeit ist das eigentliche Kapital einer Börse. Setzt eine Börse sie aus, entsteht Abzugsdruck. Das FBI ist die Bundespolizei der USA und schreibt grosse Cyberangriffe mitunter öffentlich staatlichen Tätern zu. Binance meldete den Diebstahl am 29. Oktober 2026 und fror die Abhebungen zunächst für mehr als zwei Tage ein. Den technischen Hergang haben Analysefirmen inzwischen weitgehend rekonstruiert. Als Präzedenzfall gilt der Hack bei Bybit vom Februar 2025 über 1.5 Mrd. USD, den das FBI ebenfalls Nordkorea zuschrieb. Der Fall Binance ist somit rund viermal so gross. Bis zum 2. November zogen Kunden netto 4.72 Mrd. USD von der Plattform ab. Die Antwort aus Pjöngjang auf die Zuschreibung des FBI vom Wochenende folgte am Dienstag.
Abonnieren Sie unseren Newsletter
Die besten Artikel der Woche direkt in ihre Mailbox geliefert.
Pjöngjang nennt die FBI-Zuschreibung absurde Rhetorik
Das FBI erklärte am Wochenende, Nordkorea sei für den Diebstahl von mehr als 6 Mrd. USD an Krypto-Assets verantwortlich. Zuvor hatte bereits die Analysefirma TRM Labs die Tat mit hoher Konfidenz Nordkorea zugeschrieben. Pjöngjang antwortete über die Staatsagentur KCNA. Kim Yo Jong, die einflussreiche Schwester von Machthaber Kim Jong Un und Funktionärin der Partei, nannte die US-Behauptung „absurde Rhetorik und nichts Neues". Nach ihrer Darstellung will das FBI die DVRK als „Cyber-Verbrecherstaat" abstempeln, gestützt auf die Information, eine von der DVRK „unterstützte" Hackergruppe sei beteiligt gewesen.
"Es ist eine schwere politische Provokation gegen die DVRK, dass die USA die internationale Öffentlichkeit in die Irre führen, als seien alle Cyberverbrechen in verschiedenen Teilen der Welt unsere Taten." - Kim Yo Jong
Weiterhin habe Nordkorea angesichts der US-Feindseligkeit „Dinge zu überdenken", sagte Kim Yo Jong, ohne dies zu präzisieren. Auf Angebote von Präsident Donald Trump aus diesem Jahr, die Gipfeldiplomatie wieder aufzunehmen, hat Pjöngjang bisher nicht reagiert. Ebenso bestreitet das Land grundsätzlich jede Verbindung zu Krypto-Diebstahl und anderer Cyberkriminalität. Analysten in Seoul fiel allerdings das Tempo der Antwort auf. Die ungewöhnlich schnelle Reaktion spiegle wohl die Sorge, die Zuschreibung könne schärfere Massnahmen gegen mutmassliche Einnahmequellen des Regimes nach sich ziehen. Vorerst steht somit eine Behördenzuschreibung gegen ein staatliches Dementi.
Binance sieht die Abflüsse nach 24 Stunden normalisiert
Co-CEO Richard Teng äusserte sich an der Hong Kong Fintech Week zur Lage der Börse. In den ersten 24 Stunden habe es einen sprunghaften Anstieg der Abhebungen gegeben, danach habe sich die Lage „so ziemlich normalisiert". Insgesamt sei Binance in „sehr starker finanzieller Verfassung", sagte Teng. Nach seinen Angaben sind zudem 95% der betroffenen Token wieder aufgefüllt. „Das können wir abdecken. Wir sind dazu in der Lage", sagte der Manager.
Neben dem kumulierten Netto-Abfluss von 4.72 Mrd. USD nennt die Börse eine relative Grösse. Seit der Wiederaufnahme der Abhebungen entsprach der Netto-Abfluss jedoch nur rund 3% der Plattform-Assets. Analysten werten das als relativ moderat und als Zeichen, dass das Kundenvertrauen weitgehend gehalten hat. Zuvor hatte Binance die Abhebungen für mehr als zwei Tage eingefroren und ab dem 1. November schrittweise wieder zugelassen. In einer Mitteilung auf X meldete die Börse später, die stündlichen Einzahlungen überstiegen inzwischen die Abhebungen. Das spiegle bessere Nutzeraktivität und stabilisierte Flüsse. Maksym Repa, Head of DeFi beim Bitcoin-Finanzprotokoll Lombard, wertet die begrenzte Preisreaktion ebenfalls als Zeichen von Reife. Anleger unterschieden nach seiner Einschätzung zwischen dem Sicherheitsversagen einer zentralisierten Börse und einem Problem des Bitcoin-Netzwerks.
Auffällig ist, dass Binance parallel zur Meldung stabiler Flüsse finanzielle Anreize setzt. Seit Anfang November läuft eine „Community Appreciation Campaign" mit Gebührenrabatten und Belohnungen für Nutzer ab 10'000 USD kumuliertem Handelsvolumen. Hinzu kommen Renditen von bis zu 10% APR auf bestimmte Yield-Produkte. Die Aktion endet am 21. November 2026. Die Normalisierung bleibt allerdings eine Selbstauskunft der Börse. Anfang November schloss Binance zwar einen kryptografischen Reservenachweis (Proof of Reserves) für zehn Assets ab, den Kunden selbst nachprüfen können. Sein Stichtag ist jedoch der 31. Oktober, die Abflüsse nach der Wiederaufnahme der Abhebungen erfasst er also nicht. Ein Audit durch Dritte ersetzt er nicht.
Wie Krypto-Diebstahl Nordkoreas Waffenprogramme finanziert
Analysten sehen im Krypto-Diebstahl eine Schlüsselquelle zur Finanzierung der nordkoreanischen Waffenprogramme. Zudem gehören die Hacker des Landes nach Einschätzung von Cybersecurity-Experten zu den produktivsten Krypto-Dieben weltweit. Die Analysefirma Elliptic schätzt ihre Beute für 2026 auf 7.6 Mrd. USD, mehr als in jedem früheren Jahr. Südkoreas Zentralbank beziffert Nordkoreas Bruttoinlandprodukt für 2025 auf 47.18 Bio. Won (35.09 Mrd. USD). Allein der Diebstahl bei Binance entspräche folglich rund einem Sechstel der Wirtschaftsleistung.
Chainalysis zeichnet die Entwicklung über fünf Jahre nach. Im Jahr 2026 sind demnach 89% aller Verluste aus Krypto-Hacks mit Nordkorea verknüpft, 2021 waren es noch 15%. Gleichzeitig stieg der durchschnittlich gemeldete Verlust pro Hack von 50.65 Mio. USD auf 185.65 Mio. USD, also auf mehr als das 3.6-Fache. Alec Zebrick, Senior Manager Asia-Pacific Global Services bei Chainalysis, spricht von einer Jagd auf Grosswild. Die Angreifer nähmen grössere Börsen ins Visier, die mehr Zeit und Komplexität erforderten, deren Beute dafür relativ gross ausfallen könne.
Lim Eul-chul, Professor am Institute for Far Eastern Studies der Kyungnam University, ordnet die Zahlen in die Sanktionslage ein. Unter den bestehenden Sanktionen sei Krypto-Diebstahl zu einem der zentralen Kanäle für Regimeerhalt und Waffenentwicklung geworden. Zusätzliche US-Massnahmen gegen Wallets, Geldwäschenetzwerke und Börsen könnten deshalb eine wichtige Einnahmequelle abschneiden. Neben der Krypto-Beute fliessen ausserdem Erlöse aus Aktivitäten, die Resolutionen des UNO-Sicherheitsrats verbieten, in Raketen- und Atomprogramme. Die Verbindung dieser Einnahmequelle zum schnellen Dementi ist eine Deutung der Analysten in Seoul, belegt ist sie nicht.
Täterschaft und Verbleib der Beute bleiben offen
Die Täterschaft Nordkoreas stützt sich auf die Zuschreibung des FBI und die eigene Forensik von TRM Labs. Pjöngjang setzt dem hingegen ein pauschales Dementi entgegen. Offen bleibt, was hinter der Ankündigung steht, Nordkorea habe „Dinge zu überdenken". Kim Yo Jong liess den Satz ohne Präzisierung stehen.
Einen Untersuchungsbericht zum Hack hat Teng angekündigt, veröffentlicht ist er bisher nicht. Für eine Rückholung ist vor allem der Teil der Beute schwierig, den kein Emittent sperren kann. Diesen bezifferte TRM Ende Oktober auf rund 2.4 Mrd. USD in Bitcoin und Ether. Als nächste Stationen der Geldwäsche erwartete die Analysefirma ausserdem Cross-Chain-Bridges, Swap-Dienste und OTC-Händler.
