Binance-Hack: Wie Nordkorea Milliarden wäscht

Fünf Tage nach dem Angriff auf Binance

Fünf Tage nach dem Angriff auf Binance wird das Ausmaß der Geldwäsche sichtbar. Laut der Blockchain-Analysefirma Elliptic befinden sich noch rund 3,2 Milliarden US-Dollar in Wallets, die mit dem Diebstahl verknüpft sind. Der Rest bewegt sich bereits durch ein Netz aus Tausenden Adressen, dezentralen Börsen und Cross-Chain-Bridges.

Was sind Cross-Chain-Bridges?

Protokolle, die den Transfer von Kryptowerten zwischen verschiedenen Blockchains ermöglichen. Sie werden zunehmend auch zur Verschleierung gestohlener Mittel genutzt.

TRON als erste Fluchtroute

Das FBI hat den Angriff vom 29. Oktober der nordkoreanischen Gruppe TraderTraitor zugeschrieben. Die Angreifer hatten Hot Wallets von Binance – also online verbundene Wallets, die für schnelle Auszahlungen genutzt werden – über zehn Blockchains gleichzeitig geleert. Ihre erste Priorität danach: den Zugriff der Stablecoin-Emittenten unterlaufen.

Innerhalb weniger Stunden tauschten die Angreifer laut Elliptic 234 Millionen USDT über die dezentrale Börse SunSwap in TRX, den nativen Token des TRON-Netzwerks. Der Swap trieb den Token kurzzeitig von 0,328 auf 0,365 US-Dollar. Erst danach fror Tether die verbliebenen USDT auf TRON ein.

Die Angreifer verteilten die Mittel innerhalb von 51 Stunden über rund 7.700 TRON-Adressen. Insgesamt verließen etwa 147 Millionen US-Dollar das TRON-Netzwerk, überwiegend als ETH auf Ethereum. Ab dem 1. November verlagerte sich die Aktivität auf Ethereum, Solana und weitere Netzwerke. Am 2. November wurden alle 233 Millionen gestohlenen XRP auf sechs neue Adressen verschoben.

Nordkorea bestreitet Beteiligung, Chainalysis widerspricht

Kim Yo Jong, Schwester des nordkoreanischen Machthabers, wies die FBI-Vorwürfe am 2. November über die staatliche Nachrichtenagentur KCNA zurück. Chainalysis hält dagegen: Die Analysefirma erklärte, dass On-Chain-Daten die Binance-Mittel mit Erlösen aus dem Bitget-Exploit vom September verknüpfen, der ebenfalls Nordkorea zugeordnet wurde. Grundlage dafür ist sogenanntes Commingling – die Vermischung von Mitteln aus verschiedenen Quellen in denselben Wallets, die in der Blockchain-Forensik als Indikator zur Zuordnung verschiedener Angriffe an denselben Akteur dient. Die nordkoreanische Stellungnahme ging auf diese Beweislage nicht ein.

Binance selbst meldete, rund 3 Milliarden US-Dollar der betroffenen Mittel gemeinsam mit Tether, Circle und Ripple direkt auf den Blockchains eingefroren zu haben. Zusätzlich deckte die Börse den Fehlbetrag laut eigenem Update mit über 6,3 Milliarden US-Dollar aus Eigenmitteln ab – bestehend aus dem SAFU-Sicherheitsfonds, dem Futures-Versicherungsfonds und einbehaltenen Gewinnen. Ein Proof-of-Reserves-Bericht vom 31. Oktober bestätigt laut Binance eine Deckung aller zehn meistgehandelten Assets oberhalb von 100 Prozent.

Warum das jetzt zählt

Der Binance-Hack legt offen, wie effizient staatliche Akteure dezentrale Infrastruktur für Geldwäsche nutzen können. Dezentrale Bridges und Liquiditätsaggregatoren erweisen sich als primäre Werkzeuge zur Verschleierung. Laut Elliptic wurde bislang nur ein geringer Anteil der Mittel tatsächlich in Fiatwährung umgewandelt, was ein Zeitfenster für weitere Sperrmaßnahmen durch Börsen und Infrastrukturbetreiber lässt.

Einordnung und Ausblick

Die Rückverfolgung läuft, doch die Herausforderungen wachsen mit jeder Stunde. Über 12.000 Wallets, mindestens zehn Blockchains und der Einsatz von Privacy-Tools erschweren die Arbeit der Ermittler. Das FBI hat Krypto-Unternehmen aufgefordert, Transaktionen mit den identifizierten Adressen zu blockieren – eine formale OFAC-Sanktionsdesignation steht allerdings bislang noch aus. Ohne sie bleibt die rechtliche Grundlage für dauerhafte Sperrungen begrenzt.

Ob die verbleibenden 3,2 Milliarden US-Dollar gesichert oder schrittweise liquidiert werden, dürfte die kommenden Wochen bestimmen. Sollte ein Großteil eingefroren werden können, wäre das ein Signal für die Wirksamkeit zentralisierter Kontrollpunkte in einem dezentralen Ökosystem. Gelingt die Liquidierung dennoch, stellt sich für die gesamte Branche die Frage, wie viel Compliance dezentrale Protokolle leisten müssen, wenn sie nachweislich als Geldwäsche-Infrastruktur dienen.

Hinweis: Keine Anlageberatung. Dieser Artikel dient ausschließlich zu Informationszwecken und stellt keine Aufforderung zum Kauf oder Verkauf von Finanzinstrumenten dar.