Wie viel wurde gestohlen?
Hacker haben Coins aus den Wallets von Binance abgezogen. Binance ist die größte Kryptobörse der Welt.
Das sind 6.300 Millionen Dollar. Mehr als viermal so viel wie beim bisherigen Rekord, dem Hack der Börse Bybit im Februar 2025 mit $1,5 Milliarden.
Wie groß ist das für Binance?
Vor dem Hack verwaltete Binance rund $144 Milliarden. Gestohlen wurden also etwa 4 Prozent.
Stell Dir Binance als Pizza mit 25 Stücken vor: Die Hacker haben ein Stück geklaut.
- Chat-Schätzungen sammeln, bevor Du auflöst. Wer am nächsten dran ist, darf die nächste Frage stellen (Sprech-Anreiz).
- Brücke für Schüler mit Lücken: Prozente über die Pizza, wie in den Kids-Folien. 1 von 25 Stücken = 4 %.
- Quelle der $144 Mrd: DefiLlama, zitiert von Trending Topics. Die Schätzungen der Analysefirmen liegen zwischen $5,9 und $6,4 Mrd.
Was ist wann passiert?
Uhrzeiten in UTC. In Montenegro und Deutschland ist es im Winter eine Stunde später.
- 28. OktmorgensDie Angreifer bereiten sich vor. Laut TRM Labs mindestens 36 Stunden vor dem Raub.
- 29. Okt20:05Die Coins fließen ab. Das meiste ist nach etwa 20 Minuten weg, verteilt auf 10 Blockchains.Raub
- 29. Okt21:01 bis 21:25Tether und Circle frieren gestohlene Stablecoins ein (USDT und USDC). Das passiert sogar, bevor Binance selbst etwas sagt.Gegenwehr
- 29. Okt21:24Binance meldet ein „mögliches Sicherheitsproblem“.
- 29. Okt23:05Eine zweite Welle trifft Wallets auf Avalanche und Polygon.Raub
- 30. Okt00:13Binance stoppt die Auszahlungen und verspricht: Wir übernehmen alle Verluste.
- 30. OkttagsüberBinance nennt die Summe von $6,3 Mrd, rund $3 Mrd sind eingefroren. Analysefirmen vermuten Hacker aus Nordkorea. Binance legt über $6,34 Mrd aus eigenem Geld zur Seite und beginnt mit der Erstattung.Gegenwehr
- 1. Novab 06:00Auszahlungen laufen schrittweise wieder an. Am ersten Tag ziehen Kunden $4,65 Mrd ab, eingezahlt werden $1,01 Mrd.
- 2. NovBinance veröffentlicht einen neuen Proof of Reserves (Nachweis, dass die Kundengelder gedeckt sind).
- Zeichne einen langen Pfeil (Zeitstrahl). Oben in Pink die „Raub“-Ereignisse, unten in Türkis die „Gegenwehr“. So sieht man: Die Gegenwehr kam schnell, aber nach 20 Minuten war das meiste schon weg.
- Chat-Frage: „Du hast Coins auf Binance und hörst nachts von dem Hack. Was machst Du als Erstes?“ Danach auflösen: Auszahlungen waren ohnehin gestoppt, und genau jetzt kommen Fake-Links.
- Die Abflüsse am 1. November sind ein Bank Run im Kleinen. Das sind laut Binance nur rund 2 % der Kundengelder.
Wie funktioniert eine Blockchain?
Für Level 0 und zum Wiederholen. Mit diesem Wissen verstehst Du die Kapitel 3 und 4 viel besser.
Block heißt Block und Chain heißt Kette. Eine Blockchain ist also eine Kette aus Blöcken. Alles ist digital.
In jedem Block stehen Transaktionen (T1, T2, T3 …). Ist ein Block voll, wird er abgeschlossen und der nächste hängt sich an. Die Blöcke sind fest miteinander verbunden. Was einmal drinsteht, bleibt für immer und jeder kann es sehen.
Transaktion im Leben
Mia kauft 1 kg Äpfel für 2,50 €. Sie gibt Geld und bekommt dafür eine Ware.
Transaktion auf der Blockchain
Anna sendet 1 BTC an Ben. Diese Transaktion wird in einen Block geschrieben.
A In meinem Wallet · B In der Blockchain
B ist richtig. Die Coins verlassen die Blockchain nie. In Deinem Wallet liegt nur der Schlüssel, mit dem Du auf Deine Coins zugreifen kannst.
Public Key
Wie die Adresse Deines Briefkastens. Die darfst Du weitergeben, damit Dir jemand etwas schicken kann.
Private Key
Wie der Briefkastenschlüssel. Den gibst Du niemals her, sonst kann jeder Deine Post rausholen.
Nach der Transaktion
Anna: 2,5 BTC → 1,5 BTC · Ben: 0,1 BTC → 1,1 BTC
Jede Blockchain braucht ihr eigenes Wallet: Bitcoin hat eine eigene Blockchain, Ethereum auch, Solana auch.
- Würfel als Blöcke aufs Board, T1 bis T3 hineinschreiben, mit Strichen verketten. Zwei Wallet-Kreise mit je zwei Schlüsseln, Pfeil dazwischen = Transaktion. Kontostand vorher und nachher daneben schreiben.
- Namen live durch die anwesenden Schüler ersetzen, das hat gestern gut funktioniert.
- Brücke für Schüler mit Lücken: Kauf in der Kinderkryptobörse. „Ich kaufe BTC für $100“ bedeutet: minus $100 im Geldbeutel, plus ein kleiner Teil eines Bitcoin.
- Für schnelle Schüler: „Warum kann man eine Transaktion nicht einfach rückgängig machen?“ im Chat beantworten lassen.
- Der Abschluss eines Blocks (Mining) kommt später im Schuljahr. Heute nur: Block voll, nächster Block.
Wie konnte das passieren?
Erst mal: Wo liegen Coins an einer Börse?
Hot Wallet
Wie das Portemonnaie in der Hosentasche. Immer online, damit Auszahlungen schnell gehen. Praktisch, aber angreifbar.
Cold Wallet
Wie der Tresor im Keller. Offline, sehr sicher, aber langsam. Hier liegt der Großteil.
Die Hacker haben die Hot Wallets geleert.
A Ja, sie haben den geheimen Schlüssel geklaut · B Nein, sie haben es anders geschafft
B ist richtig. Laut Binance gibt es keinen Hinweis, dass ein Private Key gestohlen wurde. So lief es nach dem bisherigen Stand ab:
- 💻Ein LaptopDer Laptop eines Technik-Mitarbeiters (DevOps) wurde gehackt.
- 🚪Ein Weg hineinDarüber kamen die Angreifer an einen internen Dienst, der Auszahlungen beantragt.
- 📝Falsche AufträgeDort schickten sie Auszahlungsaufträge an ihre eigenen Wallets.
- ✍️Binance unterschreibtDie Systeme von Binance haben die Aufträge selbst signiert und ausgeführt.
Die Analogie
Der Dieb hat nicht den Tresorschlüssel geklaut. Er hat sich als Kollege ausgegeben und dem Kassierer gesagt: „Zahl das bitte aus.“ Und der Kassierer hat gezahlt. Der Schlüssel war sicher, das Geld trotzdem weg.
Binance sagt außerdem, dass es noch weitere Einfallstore gab. Der genaue technische Bericht steht noch aus.
Wer steckt dahinter?
Die Analysefirmen TRM Labs, Chainalysis und Elliptic vermuten die nordkoreanische Hackergruppe TraderTraitor. Am Wochenende nach dem Hack hat auch das FBI erklärt, dass Nordkorea verantwortlich ist. Dieselbe Gruppe steckte laut FBI schon hinter dem Bybit-Hack.
Einfrierbar
Stablecoins wie USDT und USDC. Sie sind immer etwa 1 Dollar wert. Hinter ihnen steht eine Firma (Tether, Circle), die Coins sperren kann.
Nicht einfrierbar
Bitcoin und Ether. Hier gibt es keine Firma, die eingreifen kann. Das ist Dezentralisierung.
Auf der Ethereum-Blockchain wurden laut TRM Labs Coins im Wert von rund $3,8 Mrd gestohlen, darunter 167.464 ETH und 1,6 Mrd USDT. Dazu kamen 18.270 BTC (rund $1,5 Mrd).
Zusatzwissen für Profis: Was genau passierte auf Ethereum?
Auf Ethereum nutzten die Angreifer laut TRM Labs eine neue Funktion namens EIP-7702. Damit kann eine normale Wallet für kurze Zeit wie ein Smart Contract arbeiten. Die Hacker brachten die Binance-Systeme dazu, 50 solcher Erlaubnisse zu signieren. Danach räumte ein Programm der Hacker die Wallet komplett leer.
Forscherfrage für Dich: Warum ist „Der Key ist sicher“ nicht dasselbe wie „Das Geld ist sicher“?
- Starke Brücke zu Block 1 (Dezentralisierung): „Ist es gut, dass Tether Geld einfrieren kann?“ Chat-Abstimmung 👍 / 👎, dann zwei Freiwillige begründen lassen. Hier gibt es keine falsche Antwort: Einfrieren hilft gegen Diebe, bedeutet aber auch Kontrolle durch eine Firma.
- Für schnelle Schüler (z. B. Enno): Zusatzwissen EIP-7702 aufklappen lassen und die Forscherfrage im Chat beantworten.
- Brücke für Schüler mit Lücken: Private Key = Passwort, das Transaktionen unterschreibt. Rückgriff auf die Kryptografie-Folien.
- Wie der Laptop gehackt wurde, ist noch nicht öffentlich. Bitte nicht spekulieren, Bericht von Binance steht aus.
Wohin sind die Coins verschwunden?
Betroffen waren Coins auf 10 Blockchains:
Man kann die Coins sehen
Die Blockchain ist öffentlich, wie ein riesiges Kassenbuch. Analysefirmen wie Chainalysis und Elliptic verfolgen jeden Schritt. Das FBI hat eine Liste mit 608 Ethereum-, 19 Bitcoin- und 1 Solana-Adresse der Hacker verschickt.
Aber eine Adresse ist kein Name
Wie ein Briefkasten ohne Namensschild. Wer dahintersteckt, sieht man nicht. Und selbst wenn man es weiß: Hacker in Nordkorea kann niemand festnehmen.
Spuren verwischen: die 4 Tricks der Hacker
Aufteilen
Auf Tron verteilten sie die Beute auf rund 200 Wallets. Die schickten das Geld meist nach etwa 2 Minuten weiter. Wie 200 Räuber, die in 200 Richtungen rennen.
Umtauschen
Stablecoins kann man einfrieren, Ether nicht. Also tauschten sie schnell: $325 Mio Stablecoins wurden in 20 Minuten zu $285 Mio in ETH. Den Verlust nahmen sie in Kauf. Wie markierte Geldscheine, die man sofort in Gold tauscht.
Über Brücken
Dienste wie THORChain tauschen Coins von einer Blockchain auf eine andere. Wie eine Flucht über die Grenze in ein anderes Land. Das FBI bat THORChain, die Hacker-Adressen zu blockieren.
Mixer
Viele Leute werfen gleiche Münzen in einen großen Topf, es wird umgerührt, jeder nimmt gleich viel wieder raus. Danach weiß niemand mehr, welche Münze von wem kam. Der bekannteste Mixer heißt Tornado Cash.
Mixer bei diesem Hack
Laut TRM Labs und Chainalysis haben die Hacker schon vor dem Raub ihr eigenes Start-Wallet über Tornado Cash aufgeladen. So konnte niemand sehen, woher dieses Wallet kam. Für die Beute selbst nutzen sie bisher vor allem Aufteilen, Umtauschen und Brücken.
Geldwäsche per Autopilot
Das Verschleiern von gestohlenem Geld heißt Geldwäsche (Money Laundering). Laut Elliptic macht das hier ein Programm: rund um die Uhr, über 31 Stunden lang jede Stunde neue Überweisungen. Bis zum 3. November waren laut Chainalysis rund $2,8 Mrd eingefroren. Der Rest wird weiter bewegt.
Zusatzwissen für Profis: Warum gibt es Mixer überhaupt?
Auf einer Blockchain kann jeder sehen, wie viel auf einer Adresse liegt und wohin Geld fließt. Wer seine Privatsphäre schützen will, nutzt deshalb manchmal einen Mixer. Dasselbe Werkzeug hilft aber auch Dieben.
Forscherfrage für Dich: Sollten Mixer verboten werden? Schreib Deine Meinung mit einer Begründung in den Chat.
- Präzisierung zu gestern (Level 1): Mixer machen die Spur viel schwerer, sie verschwindet aber nicht ganz. Analysefirmen folgen weiter jedem Schritt. Das Problem ist eher, dass eine Adresse keinen Namen trägt und die Täter außer Reichweite sind.
- Rollen: 1 Hacker, 2 bis 3 Detektive (Analysefirma), 1 Brückenwächter. Der Hacker schreibt seinen Zug in den Chat („Ich teile auf 5 Wallets auf“), die Detektive antworten, wie sie folgen. Der Brückenwächter entscheidet, ob er blockiert.
- Freeform: Hacker-Wallet in die Mitte, Pfeile zu vielen kleinen Wallets, eine Brücke zu einer zweiten Blockchain, daneben ein Topf mit drei bunten Münzen hinein und drei grauen hinaus (Mixer).
- Anknüpfung: Trading-Bots kennen manche schon. Hier arbeitet auch ein Programm, nur für Geldwäsche.
- Level 0: Rätsel, die zwei Karten oben und den Mixer-Topf reichen. Zusatzwissen nur für schnelle Schüler.
Die größten Krypto-Hacks
Werte in US Dollar zum Zeitpunkt des Diebstahls. Bei Poly Network gaben die Hacker fast alles zurück. Bei Mt. Gox wurden rund 850.000 BTC gestohlen; damals waren das knapp $500 Mio, zu heutigen Preisen wäre es ein Vielfaches.
Binance wurde schon einmal gehackt
Im Mai 2019 verlor Binance 7.000 BTC (damals rund $41 Mio) aus einer Hot Wallet. Auch damals zahlte Binance den Schaden aus dem SAFU-Notfallfonds (Secure Asset Fund for Users).
- Lösung: C, A, E, D, B. Wer die meisten Positionen richtig hat, gewinnt.
- Mt. Gox als Kontrast: Die Börse ging pleite, Kunden verloren ihr Geld. Binance kann zahlen, weil es so groß ist. Frage: „Kann das jede Börse?“
- Bitget (Sept. 2026, rund $350 bis 390 Mio) taucht im Diagramm als aktueller Vergleich auf. Laut Chainalysis landete Geld aus beiden Hacks bei denselben Adressen.
Was lernen wir daraus?
Not your keys, not your coins
Coins auf einer Börse gehören Dir nur auf dem Papier. Die Keys hat die Börse. Wie bei einer Bank musst Du ihr vertrauen.
Nach dem Hack kommen die Betrüger
Fake-Links für „Erstattung“ oder „schnelle Auszahlung“ tauchen sofort auf. Binance warnte: Nur offizielle Kanäle nutzen. Niemand Echtes fragt nach Passwort oder Recovery Phrase.
Der Mensch ist die Schwachstelle
Nicht die Blockchain wurde geknackt, sondern ein Laptop. Sicherheit heißt auch: aufpassen, was man anklickt und installiert.
Zentral oder dezentral?
Stablecoins konnten eingefroren werden, Bitcoin nicht. Kontrolle schützt manchmal, Freiheit bedeutet auch Verantwortung.
- Rollen: 1 Sicherheitschef/in, 1 Chef/in der Börse, 2 bis 3 Kund/innen, 1 Reporter/in. Alle antworten im Chat mit Rollenkürzel, z. B. „[Kunde]“.
- Einstieg: „Es ist 21:30 Uhr. Aus unseren Hot Wallets sind gerade Milliarden verschwunden. Die Kunden werden nervös.“
- Leitfragen: Was tut die Börse in den ersten 10 Minuten? Was wollen die Kunden jetzt wissen? Was schreibt der Reporter als Schlagzeile?
- Freeform danach: Drei Spalten „Börse“, „Kunden“, „Betrüger“ und die Antworten eintragen. Dann mit der echten Zeitleiste vergleichen.
- Keine Anlageberatung: Ob man Binance nutzt oder nicht, bleibt die Entscheidung jedes Einzelnen. Wir schauen auf Fakten und Risiken.
- Freiwillige Beobachtung: „Schaut mal, ob Binance in den nächsten Tagen den technischen Bericht veröffentlicht. Kein Muss, aber spannend!“
Quellen
Stand der Recherche: 4. November 2026. Viele Zahlen sind noch vorläufig.
- Elliptic: Geldwäsche per Autopilot (Aufteilen auf Tron, THORChain)
- Chainalysis: Tornado Cash, Umtausch in ETH, $2,8 Mrd eingefroren
- BigGo Finance: FBI-Adressliste und Bitte an THORChain
- Korea Times: FBI macht Nordkorea verantwortlich
- Stingrai: Zeitleiste, Ablauf und Zahlen (fasst Binance, TRM Labs, Chainalysis, Elliptic zusammen)
- Al Jazeera: Binance meldet $6,3 Mrd Schaden
- Trending Topics: Einordnung, $144 Mrd verwaltetes Vermögen
- Khaleej Times / Reuters: Rangliste der größten Hacks
- Cryptopolitan: Auszahlungen ab 1. November
- CryptoTicker: Proof of Reserves und $6,34 Mrd Reserve