Der Binance-Coup: Wie Nordkorea die Krypto-Branche austricksen konnte

Pro Artikel

Der Binance-Coup: Wie Nordkorea die Krypto-Branche austricksen konnte

Nordkorea bildet exzellente Hacker aus. Die haben nun 6,3 Milliarden Dollar von der Krypto-Börse Binance gestohlen und damit ihren eigenen Raubrekord übertrumpft.

Martin Kölling, Tokio02.11.2026, 15.40 Uhr

5 Leseminuten

Nordkoreas Hacker haben sich wieder einmal selbst übertroffen. Binnen zwanzig Minuten zogen die Angreifer am 29. Oktober Kryptowährungen im Wert von rund 6,3 Milliarden Dollar von der weltgrössten Krypto-Börse Binance ab. Das ist mehr als viermal so viel wie beim bisherigen Rekordraub: Im Februar 2025 hatten Hacker der Börse Bybit 1,5 Milliarden Dollar entwendet.

Optimieren Sie Ihre Browsereinstellungen

NZZ.ch benötigt JavaScript für wichtige Funktionen. Ihr Browser oder Adblocker verhindert dies momentan.

Bitte passen Sie die Einstellungen an.

Die US-Bundespolizei FBI und Blockchain-Analysefirmen machen die nordkoreanische Hackergruppe TraderTraitor für den Raub verantwortlich. Sie zählt zur nordkoreanischen Hackerelite und wird für mehrere gelungene Diebstähle verantwortlich gemacht.

Damit unterstreicht Nordkorea einmal mehr die besondere Rolle seiner Staatshacker. Seit mehr als einem Jahrzehnt gehen sie im Auftrag des Regimes digital auf Beutezug, um Devisen zu beschaffen – für die Atomwaffen- und Raketenprogramme des Landes ebenso wie für andere Aufgaben. Trotz der gestiegenen Wachsamkeit der Branche haben sie immer wieder Erfolg. Die bisher bekannten Details zeugen von einer exzellenten Ausbildung der Hacker.

Was ist passiert?

Der virtuelle Raubzug begann am 29. Oktober gegen 21 Uhr 20 deutscher Zeit. Die Kryptowährungen flossen aus sogenannten Hot Wallets ab, Krypto-Konten, die mit dem Internet verbunden sind. Um ihre Spur zu verwischen, verteilten die Hacker die Beute auf zehn Blockchains, darunter Ethereum, Bitcoin und Tron. Sie machten das in zahlreichen kleineren Transaktionen und automatisierten den Prozess.

Laut Chainalysis tauschten die Angreifer binnen knapp zwanzig Minuten Stablecoins – meist an den Dollar gekoppelte Kryptowährungen – im Wert von 325 Millionen Dollar gegen Ether im Wert von 285 Millionen Dollar. Sie nahmen dafür einen Abschlag von mehr als zehn Prozent in Kauf.

Die Eile hat einen Grund: Stablecoins können von ihren Herausgebern gesperrt werden. Die Hacker mussten also damit rechnen, dass Kontosperrungen sie bald ausbremsen würden. Tatsächlich gelang es den Verteidigern – einer Ad-hoc-Allianz aus Börse, Stablecoin-Emittenten wie Tether und Circle, Behörden und Analysefirmen wie Chainalysis – weniger als eine Stunde nach den ersten Abflüssen, Teile der Beute einzufrieren.

Nach Angaben von Chainalysis und Binance sind zwischen 2,8 und 3 Milliarden Dollar blockiert. Ein grosser Teil der Beute steckt allerdings in Bitcoin und Ether, die sich nicht einfrieren lassen. Laut TRM Labs kontrollieren die Angreifer noch mehr als 420 000 Ether und 18 270 Bitcoins im Wert von rund 2,4 Milliarden Dollar.

Gemäss Binance begann der Angriff vermutlich mit einem kompromittierten Laptop, über den sich die Täter Zugang zu einem internen Servicesystem verschafften und die Auszahlungen auslösten. Hinzu kommen weitere, nicht näher benannte Einfallstore. Laut Binance-Co-Chef Richard Teng setzten die Angreifer zudem ein Schadprogramm ein, das seine eigenen Spuren löschte.

Unklar ist, wie die Hacker Zugriff auf den Laptop und die übrigen Einfallstore erlangten. Möglicherweise kompromittierten sie die Rechner per Social Engineering, also durch gezielte Täuschung von Mitarbeitern, oder per Phishing mit betrügerischen E-Mails.

Wie geht es weiter?

Binance hat zugesichert, sämtliche Verluste selbst zu tragen. Bis Sonntag hatte die Börse nach eigenen Angaben rund 95 Prozent der gestohlenen Werte ersetzt. Dafür setzt Binance unter anderem seinen bereits 2018 eingerichteten Notfallfonds ein, den Secure Asset Fund for Users (Safu).

Darüber hinaus greift das Unternehmen auf eigene Finanzpolster im Wert von mehreren Milliarden Dollar zurück. Den Nettoschaden könnte zudem mindern, dass knapp die Hälfte der Beute eingefroren ist. Ob und wann diese Mittel an Binance zurückfliessen, ist allerdings offen.

Bereits am Sonntag nahm Binance die Auszahlungen schrittweise wieder auf, zunächst für Bitcoin. Das FBI warnte derweil in einer gemeinsamen Erklärung mit dem Secret Service und der Ermittlungsabteilung der amerikanischen Steuerbehörde (IRS-CI) vor Versuchen, die Beute in Umlauf zu bringen. Die Behörden veröffentlichten eine Liste von Adressen, die Nordkoreas Hackern zugeschrieben werden.

Nach Beobachtung der Behörden tauschen die Täter die gestohlenen Vermögenswerte vorwiegend in Ether um. «Es ist zu erwarten, dass diese Vermögenswerte anschliessend weiter gewaschen werden», heisst es in der Erklärung. Die Ermittler rechnen damit, dass die Hacker dezentrale Finanzplattformen und Sofort-Tauschdienste nutzen würden, um die Krypto-Gelder für weitere Stufen der Geldwäsche vorzubereiten.

Wer sind die Hacker?

Die beschuldigte Gruppe TraderTraitor ist seit Jahren aktiv. Die Sicherheitsfirma Mandiant, inzwischen Teil des Google-Konzerns, identifizierte sie im Jahr 2023 als Teil der Gruppe UNC4899, eines Akteurs Nordkoreas. UNC4899 soll schon zuvor Unternehmen aus dem Krypto-Sektor ins Visier genommen haben.

Mandiant ging damals mit hoher Sicherheit davon aus, dass UNC4899 eine auf Kryptowährungen spezialisierte Einheit des nordkoreanischen Geheimdienstes ist. Die Gruppe ist Teil eines grösseren Netzwerks zur Devisenbeschaffung, das auf Hackerangriffe sowie die Unterwanderung von Unternehmen durch IT-Kräfte und Tarnfirmen setzt. Die Grenze zwischen IT-Kräften und Hackergruppen verschwimmt zunehmend. Laut Chainalysis schleusen nordkoreanische Gruppen IT-Kräfte gezielt in Krypto-Firmen ein, um sich privilegierte Zugänge zu verschaffen.

Daneben gibt es unter anderem Gruppen wie APT38 alias BlueNoroff, die sich auf Bankraub und Betrug über das internationale Bankennetzwerk Swift konzentrieren, Andariel für Erpressungssoftware (Ransomware) und Kimsuky für Spionage bei Unternehmen und Denkfabriken.

Eine weitere sprudelnde Geldquelle sind Tausende nordkoreanische IT-Kräfte, die sich von China, Russland oder anderen Ländern aus unter falscher Identität als Softwareentwickler Jobs bei westlichen Unternehmen erschlichen haben. Allein 2024 soll Nordkorea mit diesem System nach amerikanischen Angaben knapp 800 Millionen Dollar eingenommen haben. Dabei konzentrieren sie sich auf Banken, Krypto-Börsen und Konzerne jenseits der Grenzen befreundeter Nationen wie China, Russland und Iran.

Auch wenn es vorrangig um Geld geht: Die Gefahr ist gross, dass die Einfallswege der Nordkoreaner im Krisenfall auch für Attacken genutzt werden.

Warum sind die Hacker so gut?

Die Bevölkerung in Nordkorea hat zwar keinen Zugang zum globalen Internet. Doch die Hacker werden von Kindesbeinen an so gezielt ausgewählt wie einst Sportler in der Sowjetunion. Wer gut in Mathematik ist, wird früh entdeckt, gefördert und im Programmieren geschult.

In Wettbewerben werden dann die besten Programmierer ermittelt. Die Besten dieser jahrelangen Auslese studieren an den besten Universitäten des Landes und steigen damit in die Führungsschicht Nordkoreas auf. Die angehenden Hacker lernen in dem Prozess nicht nur den Umgang mit Computern, sondern vor allem, komplexe Probleme mit minimalen Mitteln zu lösen.

Das ist ein Grund, warum sie als Meister des Social Engineering und des Phishings gelten. Dabei hilft ihnen inzwischen künstliche Intelligenz (KI). Mit ihr verfassen sie überzeugendere Anschreiben und Bewerbungen als früher und ködern so ihre Opfer.

Mit dem Boom der Internet-Finanzdienstleistungen konzentrierten sich Nordkoreas IT-Spezialisten zunächst auf Banken. Als dieses Geschäft zu riskant wurde, nahmen sie die Krypto-Welt ins Visier – und, wie der Binance-Coup zeigt, mit wachsendem Erfolg.

Passend zum Artikel