DER GRÖSSTE RAUB DER MENSCHHEITSGESCHICHTE: WER HAT ES GESTOHLEN?

The Ledgers Recherchedossier — 1. November 2026

Ein Staatshaushalt in zwanzig Minuten

Donnerstagnacht, 29. Oktober. Aus den Wallets von Binance, der größten Kryptobörse der Welt, begann Geld abzufließen. Erst aus einer Wallet, dann aus einer weiteren. Nach Berechnungen des Blockchain-Analyseunternehmens TRM Labs entzog der Angreifer Binance über zehn verschiedene Blockchains rund 6,36 Milliarden Dollar. Der größte Teil davon geschah innerhalb von etwa zwanzig Minuten.

Zur Einordnung der Zahl: Im gesamten Jahr 2025 beliefen sich sämtliche Kryptodiebstähle weltweit auf insgesamt 2,87 Milliarden Dollar. In einer Nacht verschwand mehr als das Doppelte. Der bisherige Rekord war der Bybit-Raub im Februar 2025: 1,5 Milliarden Dollar. Auch er hatte als „größter Raub der Geschichte“ Schlagzeilen gemacht. Binance vervierfachte diese Summe.

Am Freitagmorgen setzte Binance Ein- und Auszahlungen aus. Der Kryptomarkt wurde erschüttert: Bitcoin fiel auf ein Sechswochentief von 76.368 Dollar; Ethereum verlor mehr als 3 Prozent und sank auf 2.178 Dollar. Die Coinbase-Aktie gab um 4,8 Prozent nach; das Unternehmen musste erklären: „Das hat nichts mit uns zu tun.“

Wie konnte das geschehen? Noch weiß es niemand genau

Die erste Erklärung von Binance war vorsichtig: Der Vorfall könnte mit „einem kompromittierten Laptop“ zusammenhängen. Laut Al Jazeera handelte es sich um den Computer eines Ingenieurs. Später erklärte das Unternehmen, im Verlauf der Untersuchung seien auch „weitere Zugangspunkte“ gefunden worden. An einem Punkt hält es jedoch fest: „Es gibt keine Belege dafür, dass der private Schlüssel irgendeiner Wallet abgeflossen ist.“

Nicht alle sind davon überzeugt. Der frühere Mt.-Gox-Chef Mark Karpelès sagte Reuters, die Angreifer hätten „höchstwahrscheinlich Zugang zu den Schlüsseln von mindestens zwei Binance-Wallets erlangt“. Die Einschätzung von Kok Tin Gan, dem Gründer des Cybersicherheitsunternehmens NyxLab, ist noch beunruhigender: „Eine einzige Signatur scheint dem Angreifer einen uneingeschränkten Zugangsschlüssel zu einer Binance-Hot-Wallet gegeben zu haben, der niemals abläuft.“

Binance-Co-CEO Richard Teng erklärte in einem fünfminütigen Video auf X, der Angriff habe auf die unternehmenseigene Hot Wallet gezielt, die „überwiegende Mehrheit“ der Vermögenswerte befinde sich „in Cold Wallets“, und dies sei keine Tat eines Einzelnen gewesen. Er nannte auch ein interessantes Detail: Die Angreifer hätten einen „Selbstzerstörungsmechanismus“ eingesetzt, der die Spurensuche erschwere.

Kurz gesagt: Die offizielle Darstellung lautet: „Der Computer wurde kompromittiert, der Schlüssel ist nicht abgeflossen.“ Externe Fachleute sagen: „Ohne Schlüssel geht das nicht.“ Beides kann nicht gleichzeitig stimmen. Diese Frage ist noch offen.

„Ihr Geld ist sicher“

Changpeng Zhao, auch CZ genannt, ist weiterhin ein großer Anteilseigner von Binance. Seine erste Nachricht auf X bestand aus drei Wörtern: „Nutzergelder sind sicher!“ Danach fügte er hinzu: „Das sieht nach einem Hack gegen Binance aus. Als Anteilseigner erwarte ich, dass sämtliche Nutzergelder vollständig gedeckt werden.“

Der Notfallfonds SAFU, den Binance 2018 eingerichtet hat, ist eine Milliarde Dollar groß und wird vollständig in Bitcoin gehalten. Die gestohlene Summe ist mehr als sechsmal so hoch. Das Unternehmen erklärte, es werde die Lücke aus der eigenen Kasse schließen; laut AP stellte Binance dafür mehr als 6,34 Milliarden Dollar an Unternehmensmitteln bereit. Es teilte mit, bis Samstag seien rund 90 Prozent der gestohlenen Vermögenswerte ersetzt worden, und man strebe an, Auszahlungen am Sonntag wieder aufzunehmen.

Unterdessen wurden rund 3 Milliarden Dollar des Geldes eingefroren. Laut Reuters froren die Stablecoin-Emittenten Tether und Circle davon mehr als 2,3 Milliarden Dollar ein; die USDT und USDC in den Händen der Diebe wurden damit auf einen Schlag zu wertlosem Papier. Was mit den übrigen 3,3 Milliarden Dollar geschehen ist, hat Binance bislang nicht erklärt.

Pjöngjangs Fingerabdruck

Wenige Stunden nach dem Raub veröffentlichte TRM Labs einen Blogbeitrag und schrieb den Angriff Nordkoreas Elite-Hackereinheit TraderTraitor zu. Die Formulierung war deutlich: „Wir treffen diese Einschätzung mit hoher Sicherheit.“ Die Begründung war der „Fingerabdruck“ des Angriffs: Die Art, wie die Binance-Wallets in vom Angreifer kontrollierte Wallets geleert wurden, war eine exakte Kopie des Bybit-Raubs.

Auch Chainalysis-Gründer Jonathan Levin kam zu demselben Ergebnis; er schrieb, der Angriff sei „höchstwahrscheinlich“ das Werk von TraderTraitor.

TraderTraitor ist ein Ableger der Lazarus-Gruppe, die das US-Finanzministerium 2019 auf seine Sanktionsliste setzte und Nordkoreas wichtigstem Geheimdienstbüro zuordnete. Ihre Vorgeschichte reicht vom Angriff auf Sony Pictures 2014 bis zum Bybit-Raub 2025.

Am Samstag schaltete sich auch das FBI ein. In einer gemeinsam mit dem US Secret Service und der Steuerfahndung IRS Criminal Investigation verfassten Mitteilung erklärte das FBI, es „gehe davon aus“, dass Nordkorea hinter dem Raub vom 29. Oktober stehe. Die Angreifer hätten die gestohlenen Vermögenswerte überwiegend in Ethereum umgewandelt und würden dies über DeFi-Protokolle und Soforttauschdienste fortsetzen. Es rief die gesamte Branche, von THORNode-Betreibern über RPC-Knoten bis hin zu Sofortbörsen und Blockchain-Analyseunternehmen, dazu auf, keine Transaktionen mit den aufgeführten Adressen durchzuführen.

Im Weißen Haus wurde Trump nach einer Beteiligung Nordkoreas gefragt. Seine Antwort: „Wir sehen uns das an.“

Binance selbst hat hingegen niemanden beschuldigt. Mit Tengs Worten: „Unsere Untersuchung hat keiner einzelnen Person die Verantwortung zugeschrieben.“

Geld für Raketen?

Hier beginnt der wirklich beängstigende Teil. Warum stiehlt Nordkorea Kryptowährungen? Für ein Land unter Sanktionen, dessen Außenhandel beinahe auf null geschrumpft ist, ist Kryptodiebstahl der lukrativste Weg, Devisen zu verdienen. Westliche Geheimdienste und Fachleute erklären seit Jahren, dass dieses Geld Pjöngjangs Atom- und ballistische Raketenprogramme finanziere.

Ein paar Zahlen zur Größenordnung. Der südkoreanische Geheimdienst schätzte 2022, Nordkorea habe innerhalb von fünf Jahren Kryptowährungen im Wert von 1,1 Milliarden Dollar gestohlen. Laut CertiK gingen 2025 mehr als 2 Milliarden Dollar der weltweiten Kryptoverluste von insgesamt 3,4 Milliarden Dollar, also rund 60 Prozent, allein auf das Konto von Akteuren mit Verbindungen zu Nordkorea. Nordkoreas jährliche Verteidigungsausgaben werden unterdessen auf rund 6 Milliarden Dollar geschätzt, allerdings mit großer Unsicherheit.

Wenn die Zuschreibung zutrifft, hat Kim Jong Uns Regime also in einer einzigen Nacht einer einzigen Börse eine Summe entzogen, die seinem eigenen jährlichen Militärhaushalt entspricht. Mit den Worten von TRMs Leiter für politische Fragen, Ari Redbord: „Das ist nicht mehr nur ein Kryptodiebstahl, sondern eine Frage der globalen Sicherheit.“

Hier muss man jedoch ehrlich sein. Der Satz „Das gestohlene Geld fließt in Raketen“ ist eine Experteneinschätzung und eine geheimdienstliche Schlussfolgerung; ein Dokument, das zeigt, in welche Rakete oder welches Programm dieses Geld fließt, liegt nicht vor. Die Logik ist stark, die Belege sind indirekt.

Was ist sicher, was eine Behauptung?

Was sicher ist: Am 29. Oktober flossen rund 6,3 Milliarden Dollar aus Binance-Wallets ab. Die Hot Wallet des Unternehmens war betroffen. Rund 3 Milliarden Dollar wurden eingefroren. Binance setzte Transaktionen aus, erklärte, die Lücke aus eigenen Mitteln zu schließen, und stellte dafür 6,34 Milliarden Dollar bereit.

Starke, aber nicht offizielle Einschätzungen: Die Zuschreibung an Nordkorea durch TRM und Chainalysis ist eine Analyse privater Unternehmen. Die „Einschätzung“ des FBI ist eine Beurteilung einer Strafverfolgungsbehörde, kein Gerichtsurteil. Kein Gericht hat irgendjemanden verurteilt, Binance hat niemanden beschuldigt, und Nordkorea weist wie immer alles zurück.

Was noch nicht offengelegt wurde: Der tatsächliche technische Ablauf des Angriffs. Ob ein Schlüssel abgeflossen ist oder nicht. Wo sich die nicht eingefrorenen 3,3 Milliarden Dollar befinden. Ob der SAFU-Fonds eingesetzt wurde. Die genaue Uhrzeit des Raubs. Die vollständige Adressliste des FBI.

Warum ist das wichtig?

Dieses Dossier erzählt zwei Dinge zugleich. Erstens: Die größte Kryptobörse der Welt verlor über den Computer eines einzigen Mitarbeiters in zwanzig Minuten so viel Geld wie ein Staatshaushalt. Selbst wenn der Satz „Nutzergelder sind sicher“ stimmt, bedeutet eine Absicherung durch einen Scheck der Anteilseigner über 6 Milliarden Dollar nicht, dass das System selbst sicher ist.

Zweitens: Wenn in einer Welt, in der Sanktionen angeblich wirken, ein sanktioniertes Regime dem globalen Finanzsystem in einer einzigen Nacht 6 Milliarden Dollar entziehen kann, müssen die Sanktionen selbst hinterfragt werden. Das Geld mag aus der Kasse von Binance stammen; die eigentliche Frage ist jedoch, wo seine Reise endet.

The Ledgers wird dieses Dossier weiterverfolgen. Was aus den eingefrorenen 3 Milliarden Dollar wird, der technische Untersuchungsbericht von Binance und die Geldspur anhand der FBI-Adressliste werden Thema des nächsten Teils sein.

Quellen

• Al Jazeera — Binance meldet Diebstahl von 6,3 Milliarden Dollar beim größten Kryptoraub der Geschichte: Was wir wissen
• CBS News — 6,3-Milliarden-Dollar-Hack bei Binance war laut Blockchain-Analysefirmen wahrscheinlich das Werk Nordkoreas
• PBS NewsHour / AP — Was über den 6,3-Milliarden-Dollar-Hack bei Binance bekannt ist
• NPR — Blockchain-Analysefirmen bringen Nordkorea mit dem 6,3-Milliarden-Dollar-Hack bei Binance in Verbindung
• Anadolu Ajansı — FBI macht Nordkorea für Kryptodiebstahl von 6,3 Milliarden Dollar verantwortlich
• Cointelegraph TR — FBI macht Nordkorea für den Angriff auf Binance verantwortlich
• Yahoo Finance — Berichten zufolge steckt wahrscheinlich Nordkoreas Lazarus-Gruppe hinter dem Binance-Hack