FBI ordnet Binance-Hack Nordkorea zu und listet über 600 Adressen

Das FBI hat den Diebstahl von mehr als 6 Milliarden Dollar bei Binance am Samstag offiziell Nordkorea zugeschrieben, genauer der Hackergruppe TraderTraitor. Zusammen mit dem Secret Service und der Steuerfahndung IRS-CI fordert die Behörde Börsen, DeFi-Dienste und Knotenbetreiber auf, Transaktionen von 608 Ethereum-Adressen, knapp 20 Bitcoin-Adressen und einer Solana-Adresse zu blockieren.

Bislang hatten nur Analysefirmen wie Chainalysis den Angriff vom 29. Oktober der nordkoreanischen Gruppe zugeordnet, gestützt auf Spuren in der Blockchain. Mit der Warnung vom 31. Oktober bestätigt nun eine US-Behörde, was am Tag des Hacks als Verdacht galt. “The FBI refers to this specific North Korean malicious cyber activity as ‘TraderTraitor'”, heißt es darin. Unter diesem Namen führt das FBI die Gruppe seit Jahren.

Nach den Beobachtungen der Ermittler haben die Angreifer die Beute vor allem in Ether getauscht. Für die nächsten Schritte erwartet das FBI, dass sie über DeFi-Protokolle und Sofort-Tauschdienste weiter gewaschen wird.

Dieselbe Gruppe stahl 2025 schon 1,5 Milliarden bei Bybit

TraderTraitor ist für das FBI kein unbekannter Name. Im Februar 2025 schrieb die Behörde der Gruppe den Diebstahl von rund 1,5 Milliarden Dollar bei Bybit zu, im Mai 2024 den von 308 Millionen Dollar bei der japanischen Börse DMM Bitcoin. Der Fall Binance ist mehr als viermal so groß wie der bei Bybit.

Die Liste der Adressen richtet sich an alle, über die das Geld laufen könnte: Betreiber von THORChain-Knoten und RPC-Knoten, Sofort-Tauschbörsen, DeFi-Dienste, Analysefirmen und andere Krypto-Dienstleister. Sie sollen Transaktionen sperren, die von diesen Adressen kommen oder aus ihnen stammen.

Die Liste wird kaum reichen.

Chainalysis-Chef Jonathan Levin sagte CoinDesk, die Angreifer hätten bereits Tausende Adressen genutzt: “We anticipate this will become tens of thousands over the coming weeks.” Er rechnet also mit Zehntausenden in den kommenden Wochen.

THORChain stoppte Tauschgeschäfte aus einem anderen Grund

Die Betreiber von THORChain-Knoten stehen in der Warnung an erster Stelle. Das Protokoll tauscht ohne zentrale Stelle Coins zwischen verschiedenen Blockchains, etwa Ether in Bitcoin. Nach Angaben von Chainalysis hat THORChain seine Tauschfunktion auf den meisten Netzen angehalten, allerdings wegen einer doppelt ausgezahlten Rückerstattung nach einer Umordnung von Ethereum-Blöcken. Die Pause traf damit auch die Angreifer, war aber keine gezielte Sperre.

Mitgründer Chad Barraford verwies auf X darauf, dass die Knotenbetreiber nur sähen, was ohnehin öffentlich in der Blockchain stehe: “No subpoenas required, a best case scenario for investigations”, also ohne richterliche Anordnung, für Ermittler der günstigste Fall. Im September hatte THORChain es nach Angaben von CryptoSlate abgelehnt, Gelder aus dem Bitget-Hack zu blockieren.

Eingefroren sind nach Angaben von Chainalysis rund 2,8 Milliarden Dollar, vor allem durch die Sperren von Tether und Circle kurz nach dem Angriff.

Für Binance-Kunden ändert die Zuordnung wenig

Den Schaden trägt nach Angaben der Börse Binance selbst, gedeckt sind inzwischen 95 Prozent. Seit Sonntagmorgen laufen die ersten Auszahlungen wieder.

Betreffen kann die Liste dagegen Nutzer, die Coins aus unbekannten Quellen über Sofort-Tauschdienste erhalten. Folgen Börsen der Aufforderung, können Einzahlungen hängen bleiben, deren Spur auf eine der gelisteten Adressen zurückführt.

US-Präsident Donald Trump sagte auf die Frage nach dem Hack, man lerne gerade darüber, und kündigte an, seine Regierung werde mit Nordkorea darüber sprechen. Die Ermittlungen führen FBI, Secret Service und IRS-CI gemeinsam, Hinweise nimmt das FBI über seine Außenstellen und das Meldeportal ic3.gov entgegen.