Binance Hack: Was passiert ist, was jetzt zu tun ist und was Sie wirklich schützt

Wenn Sie Gelder auf Binance halten, beginnen Sie mit der einen Unterscheidung, die die Berichterstattung immer wieder verwischt. Nach Binances bisheriger Darstellung geschah der Diebstahl am 29. Oktober 2026 innerhalb seiner Systeme. Nach allem bisher Veröffentlichten spielte kein von Ihnen gewähltes Passwort, keine 2FA-Methode, keine Einstellung auf Ihrer Seite dabei irgendeine Rolle, und keine hätte ihn stoppen können: Nach Darstellung von Binance wurden die unautorisierten Abhebungen aus dem Inneren seiner Systeme heraus eingereicht. Die Gefahr für Sie beginnt nach dem Hack, und sie liegt auf Ihrer Seite: Rückerstattungsbetrug, gefälschte Support-Mitarbeiter, bösartige „Claim-Portale“ und trojanisierte Apps, die auf einen großen Einbruch oft folgen. Dieser Beitrag ordnet, was passiert ist, was noch unbekannt ist, und jeden Schutzschritt nach der Bedrohung, die er tatsächlich stoppt. Abhebungen sind zum Zeitpunkt der Erstellung dieses Textes pausiert, und Binance erwartet, sie innerhalb von 48 Stunden nach seinem Update von 04:36 UTC wieder aufzunehmen. Alles hier spiegelt den Stand von 06:40 UTC am 30. Oktober 2026 wider.

Was ist bei Binance tatsächlich passiert?

TRM Labs schätzt, dass rund 6,36 Milliarden US-Dollar Binance über zehn Blockchains verließen, wobei sich der größte Teil in etwa 20 Minuten ab 20:05 UTC am 29. Oktober bewegte, gefolgt von einer zweiten Welle gegen 23:05 UTC. Auf Ethereum entfielen rund 3,79 Milliarden US-Dollar und auf Bitcoin 18.270 BTC, rund 1,47 Milliarden US-Dollar. Chainalysis bezifferte die Summe zum Zeitpunkt des Diebstahls auf 5,912 Milliarden US-Dollar, und sein Mitgründer sprach später von rund 6,4 Milliarden US-Dollar und einer wahrscheinlichen Beteiligung von TraderTraitor. Nach TRMs Zählung ist das etwa das Vierfache des Bybit-Diebstahls von 1,5 Milliarden US-Dollar im Februar 2025.

Um 21:29 UTC erklärte Binance, man sei sich „Berichten über ein potenzielles Sicherheitsproblem bewusst“, und warnte Nutzer davor, inoffiziellen Links oder Anfragen nach Kontoinformationen zu vertrauen. Es setzte Abhebungen aus und erklärte in seiner Hauptmitteilung gegen 02:25 UTC am 30. Oktober, die geschätzten Gesamtauswirkungen lägen „bei rund 6,3 Milliarden US-Dollar“, mit bislang rund 3 Milliarden US-Dollar on-chain eingefroren. Laut Binance deutet seine erste Untersuchung darauf hin, dass der Vorfall möglicherweise den kompromittierten Laptop eines DevOps-Ingenieurs betrifft, der es einem Angreifer erlaubte, einen Service-Container zu erreichen und unautorisierte Abhebungstransaktionen einzureichen. Binance erklärt, man habe „keine Hinweise auf irgendein Leck privater Wallet-Schlüssel“ gefunden und der Vorfall „gehe auf mehrere Faktoren zurück“. Es hat einen umfassenden Bericht mit der Ursache zugesagt. Binance erklärt außerdem, nach Abschluss der Behebung einen aktualisierten Proof of Reserves zu veröffentlichen.

Laut TRM stammten die Gelder aus Hot Wallets, also den Wallets, die eine Börse mit dem Internet verbunden hält, damit Abhebungen schnell signiert werden können. TRMs Einschätzung ist, die „wahrscheinlichste Erklärung“ sei, dass der Angreifer Binances Signatursystem für Hot Wallets dazu brachte, Transaktionen zu signieren, nachdem er an Test-Wallets geprobt hatte. TRM schreibt den Angriff „mit hoher Zuversicht“ der nordkoreanischen Gruppe TraderTraitor zu, und auch der Mitgründer von Chainalysis verweist auf TraderTraitor. Beides sind Einschätzungen von Analysten. Das FBI schrieb den Bybit-Diebstahl derselben Gruppe zu, aber keine Regierung hat sich zu diesem Vorfall geäußert.

Binance erklärt, alle Verluste aus dem SAFU-Fonds und den Unternehmensmitteln zu decken, und dass „die Gelder der Nutzer sicher sind“. Das sind Binances Zusagen, von Binance erklärt. Zur Einordnung: CoinDesk berichtet, SAFU halte rund 1 Milliarde US-Dollar in Bitcoin und sei 2018 eingerichtet worden, und Binance habe vor dem Hack laut DefiLlama rund 144 Milliarden US-Dollar gehalten, womit der Diebstahl rund 4% der Vermögenswerte ausmachte. Binance.US war Berichten zufolge nicht betroffen, laut PTC News.

Was ist noch nicht bestätigt?

Ziemlich viel. Behandeln Sie das Folgende als offene Fragen, nicht als gesicherte Fakten.

• Die Ursache. Die Laptop-Erklärung ist Binances erste Vermutung, und Binance selbst erklärt, es seien mehrere Faktoren beteiligt gewesen. Ob ein einziger kompromittierter Computer das Signieren über zehn Chains hinweg erklärt, ist nicht erwiesen.
• Der endgültige Verlust. Die Zahlen von Binance, TRM und Chainalysis weichen voneinander ab und sind noch in Bewegung.
• Wie viel zurückkommt. Eingefroren bedeutet, dass ein Emittent wie Tether, oder in einem Fall der Sicherheitsrat einer Chain, gestohlene Token daran gehindert hat, sich on-chain zu bewegen; zurückgegeben bedeutet, das Geld ist wieder dort, wo es herkam, und eine Rückgabe wurde nicht gemeldet. TRM schätzt, dass Emittenten rund 2,67 Milliarden US-Dollar eingefroren haben, darunter rund 1,77 Milliarden USDT durch Tether und 825 Millionen USDC durch Circle. TRM schätzt aber auch, dass über 420.000 ETH und 18.270 BTC, rund 2,4 Milliarden US-Dollar, „außerhalb der Reichweite jedes Emittenten“ liegen. CoinDesk berichtet, die Bitcoin seien auf 19 Wallets aufgeteilt worden, die niemand einfrieren kann, von denen mit Stand 04:23 UTC keine Coins bewegt hatte. Selbst wenn jeder eingefrorene Token zurückkäme, blieben rund 3,3 Milliarden US-Dollar übrig, und SAFUs rund 1 Milliarde US-Dollar deckt weniger als ein Drittel davon, wobei Binance erklärt, Unternehmensmittel deckten den Rest.
• Zuschreibung. TRM und Chainalysis verweisen auf TraderTraitor; eine Regierungserklärung zu diesem Vorfall existiert nicht.
• Nutzer und Daten. Keine Binance-Mitteilung nennt eine Zahl betroffener Nutzer, sagt, dass Konten einzeln kompromittiert wurden, oder äußert sich in irgendeiner Richtung zu persönlichen Daten.
• Zeitplan. Binance erklärte um 04:36 UTC, es erwarte, dass Abhebungen „innerhalb von 48 Stunden wieder aufgenommen werden“, während eine Sicherheitsüberarbeitung des Abhebungsdienstes abgeschlossen wird.
• Einzahlungen. Es gibt einen klaren Widerspruch in Binances eigener Formulierung. Seine Mitteilungen von 00:13 UTC und gegen 02:25 UTC erklärten, Einzahlungen und Abhebungen seien vorübergehend ausgesetzt. Sein Update von 04:36 UTC erklärte: „Einzahlungen bleiben unberührt und laufen weiterhin normal.“ Binance hat den Unterschied nicht erklärt.

Was sollten Sie jetzt sofort tun, wenn Sie Binance nutzen?

Keiner dieser Schritte hätte den Hack verhindert. Alle verringern, was ein Angreifer oder Betrüger Ihnen von hier aus antun kann.

1. Nutzen Sie nur offizielle Kanäle. Binance hat Nutzer gebeten, sich für Updates ausschließlich auf offizielle Binance-Kanäle zu verlassen. Bevor Sie einem Link, einer E-Mail-Adresse, einer Telefonnummer oder einem Social-Media-Konto vertrauen, fügen Sie sie in Binance Verify ein. Binances Sicherheitstipps besagen, dass es Sie niemals anrufen oder über WhatsApp oder andere soziale Medien anschreiben wird. Richten Sie den Anti-Phishing-Code ein, damit echte Binance-E-Mails eine Phrase tragen, die nur Sie kennen.
2. Behandeln Sie jede Nachricht zu Rückerstattung, Anspruch oder Freischaltung als Betrug. Laut Binance kontaktiert es Nutzer nicht proaktiv über inoffizielle Kanäle, um Geschenkaktionen oder Wege zur Freischaltung eines Kontos anzubieten, und es wird niemals Gelder über private Kommunikation anfordern. Recovery-Dienste sind dieselbe Falle im Anzug. Wie Revoke.cash es formuliert: „Es gibt keinen legitimen Wiederherstellungsprozess, der Ihre Seed-Phrase erfordert.“ Zahlen Sie niemals eine Vorabgebühr an jemanden, der Wiederherstellung verspricht.
3. Prüfen Sie Ihre API-Schlüssel. Wenn Sie je einen Trading-Bot oder Portfolio-Tracker verbunden haben, überprüfen Sie die Schlüssel. Binances API-Leitfaden rät, bei allen Schlüsseln eine IP-Whitelist zu nutzen und zu vermeiden, alle Berechtigungen auf einem einzigen Schlüssel zu aktivieren. Ein Schlüssel ohne IP-Whitelist kann keine Abhebungen auslösen, und inaktive Schlüssel ohne Whitelist werden nach 30 Tagen gelöscht. Löschen Sie alles, was Sie nicht erkennen.
4. Aktivieren Sie die Abhebungs-Whitelist. Ist sie aktiviert, können Sie laut Binance nur an Adressen auf Ihrer Whitelist abheben, das Hinzufügen einer Adresse erfordert 2FA, und eine Änderung der Whitelist kann Abhebungen für 24, 48 oder 72 Stunden aussetzen. Das Whitelist Withdrawal Limit verzögert neu hinzugefügte Adressen zusätzlich. Diese Wartezeit ist der Punkt: Sie verschafft Ihnen Zeit, wenn jemand in Ihr Konto eindringt.
5. Prüfen Sie Ihre Geräte und Ihren Anmeldeverlauf. Binance führt ein Protokoll der Anmeldeversuche. Überprüfen Sie es und entfernen Sie jedes Gerät und jede Sitzung, die Sie nicht erkennen.
6. Passwörter und 2FA, ehrlich betrachtet. Binances Mitteilungen haben Nutzer nicht aufgefordert, Passwörter zu ändern, und sagen zu persönlichen Daten nichts, in keiner Richtung. Ändern Sie Ihres trotzdem, wenn Sie es auf einer anderen Website wiederverwenden, wenn Sie irgendeinen Link aus einer Nachricht über den Hack angeklickt haben oder wenn Sie je jemandem einen Code vorgelesen haben. Und rüsten Sie Ihren zweiten Faktor auf: Binance unterstützt einen Passkey oder eine Authenticator-App „als Alternative zur SMS-Verifizierung“. Sie sind nicht gleichwertig, wie unten erklärt.

Welche Betrugsmaschen folgen auf einen Hack wie diesen?

Die Stunden nach einem berühmten Einbruch sind eine geschäftige Zeit für Nachahmer, denn Angst bringt Menschen zum Klicken. Chainalysis berichtet, dass Impersonationsbetrug 2025 im Vergleich zu 2024 um mehr als 1400% gewachsen ist, wobei die durchschnittliche Betrugszahlung von 782 US-Dollar im Jahr 2024 auf 2.764 US-Dollar im Jahr 2025 stieg. Rechnen Sie mit diesen Mustern:

• Die Rückerstattungs-E-Mail. „Fordern Sie Ihre Entschädigung vor Ablauf der Frist an.“ Der Link führt zu einer gefälschten Anmeldeseite, die Ihr Passwort und Ihren 2FA-Code in Echtzeit abgreift.
• Der Support-Anruf. Jemand, der sich als Binance-Sicherheitsteam ausgibt, sagt, Ihr Konto sei gefährdet, und führt Sie durch eine „Verifizierung“. Binance erklärt, es werde Sie niemals anrufen.
• Der Recovery-Experte. Nachdem Sie Geld verloren haben, bietet ein hilfsbereiter Fremder an, es gegen Gebühr aufzuspüren, oder fragt nach Ihrer Seed-Phrase, um Ihre Wallet zu „synchronisieren“. Beide Anfragen enden gleich.
• Der Freischaltdienst. Solange Abhebungen pausiert sind, rechnen Sie mit Angeboten eines speziellen Kanals, um Ihre Gelder vorzeitig herauszubekommen. Binance erklärt, es biete keine Wege zur Freischaltung eines Kontos über inoffizielle Kanäle an.

Warum funktioniert Dringlichkeit? Weil, wie die FTC anmerkt, Zahlungen in Kryptowährung in der Regel nicht rückgängig zu machen sind und Sie wahrscheinlich feststellen werden, dass niemand einspringen kann, um Gelder aus einer gestohlenen Wallet wiederzubeschaffen. Ein Betrüger braucht eine signierte Transaktion, ein einziges Mal.

Wie sichern Sie Kryptowährungen generell ab?

Beginnen Sie mit der Abwägung. Coins auf einer Börse zu halten setzt Sie Einbrüchen auf Börsenseite wie diesem aus, und im Gegenzug kann die Plattform zusagen, Sie zu entschädigen, wie Binance es getan hat. Die eigenen Schlüssel zu halten nimmt die Börse vollständig aus der Gleichung und legt jedes verbleibende Risiko auf Sie. Chainalysis zählte 2025 158.000 einzelne Wallet-Kompromittierungen und 80.000 einzelne Opfer, mit 713 Millionen US-Dollar, die Privatpersonen gestohlen wurden, ein Rückgang gegenüber dem Höchststand von 1,5 Milliarden US-Dollar im Jahr 2024. Keine Zusage im Stil einer Börse deckt diese Verluste. Wir sagen Ihnen nicht, wo Sie Ihr Geld aufbewahren sollen; wir sagen Ihnen, dass das Risiko mitwandert.

Welche Mischung Sie auch wählen, diese Gewohnheiten bewähren sich:

• Wissen Sie, was eine Hardware-Wallet tatsächlich tut. Sie bewahrt die privaten Schlüssel auf einem separaten Gerät auf und signiert Transaktionen dort, sodass ein kompromittierter Computer sie nie besitzt, aber Sie müssen trotzdem auf ihrem Bildschirm lesen, was Sie genehmigen.
• Halten Sie Ihre Seed-Phrase offline. Auf Papier oder Metall geschrieben, nie fotografiert, nie in eine Website eingetippt, nie geteilt. Wer danach fragt, nimmt Ihnen Ihre Wallet, egal wie er den Vorgang nennt.
• Bevorzugen Sie Passkeys und Hardware-Schlüssel gegenüber Codes. Ein Passkey ist an die echte Website gebunden: Nach dem WebAuthn-Standard sind Zugangsdaten auf eine Relying Party beschränkt und können nicht von einer nachgeahmten Domain verwendet werden. Eine Authenticator-App ist gut, aber eine überzeugende Phishing-Seite kann ihre Codes live weiterleiten. SMS ist die schwächste Option: Die Leitlinien von NIST behandeln SMS- und Sprachverifizierung als eingeschränkt. Sie sagen auch klar: „Passwörter sind nicht phishing-resistent.“
• Setzen Sie Abhebungsadressen auf die Whitelist bei jeder Börse, die das unterstützt, damit gestohlene Zugangsdaten allein Ihre Coins nicht umleiten können.
• Widerrufen Sie alte Token-Freigaben. Wenn Sie DeFi nutzen: Freigaben „erteilen einem Smart Contract die Erlaubnis, Ihre Token in Ihrem Namen auszugeben“, und bleiben laut Revoke.cash unbegrenzt aktiv. Überprüfen Sie sie mit Revoke.cash oder der Token-Approvals-Seite von Etherscan und kappen Sie die, die Sie nicht mehr brauchen.
• Nutzen Sie eine separate E-Mail-Adresse für Börsenkonten, eine, die Sie nirgendwo sonst verwenden, damit ein Leck bei irgendeinem unbeteiligten Dienst Angreifern nicht Ihren Krypto-Login liefert.
• Laden Sie Wallet-Apps nur aus offiziellen Quellen herunter. Das ist für die von Analysten genannte Gruppe nicht hypothetisch. CISAs TraderTraitor-Advisory beschreibt Spearphishing-Nachrichten an Mitarbeiter von Kryptounternehmen, die „einen Rekrutierungsversuch nachahmen und hochbezahlte Jobs anbieten“ und Opfer dazu drängen, trojanisierte Kryptowährungsanwendungen für Windows oder macOS herunterzuladen. Dasselbe Drehbuch, auf Privatpersonen gerichtet, ist ein gefälschtes Wallet-Update.

Für die allgemeinen Grundlagen, von Passwort-Managern bis zur Update-Disziplin, lesen Sie unseren Online-Sicherheits-Hub und den Rückblick zur Cybersicherheitswoche Oktober 2026.

Welcher Schutz stoppt welche Bedrohung?

Dies ist die Tabelle, die es zu behalten lohnt. Lesen Sie zuerst die Spalte zum Einbruch auf Börsenseite.

Schauen Sie auf die Spalte zum Einbruch auf Börsenseite. Gegen einen Einbruch auf Börsenseite steht in fast jeder Zeile Nein, denn nach Binances bisheriger Darstellung lief der Angriff innerhalb seiner Systeme. Das einzige Ja ist, die Coins selbst zu halten, und diese Zeile trägt ihre eigenen Kosten: Die 158.000 Wallet-Kompromittierungen, die Chainalysis 2025 zählte, geschahen in persönlichen Wallets, nicht an Börsen. Es gibt keine Zeile, die jede Spalte gewinnt. Darum ist das Schichten der vernünftige Zug, nicht die Wahl einer einzigen Maßnahme.

Wo hilft ein VPN tatsächlich?

Ein VPN sitzt in einer Spalte dieser Tabelle und berührt eine zweite. Le VPN verschlüsselt den Datenverkehr zwischen Ihrem Gerät und dem VPN-Server, was bedeutet, dass jemand im selben Café- oder Flughafennetz Ihren Datenverkehr nicht lesen kann und Ihr Internetanbieter nicht sieht, welche Dienste Sie nutzen. Wenn Sie je außerhalb von zu Hause eine Börse oder eine Wallet prüfen, zählt das; siehe unseren Leitfaden zur Sicherheit in öffentlichem WLAN. Threat Protection (Block Online Threats unter Windows und Android), ein Schalter in aktuellen Apps, ergänzt DNS-basiertes Blockieren bekannter bösartiger Domains, was Sie davon abhalten kann, eine markierte Phishing-Seite zu erreichen, obwohl eine vor einer Stunde registrierte Seite möglicherweise noch auf keiner Liste steht. Der Data Breach Scanner, in einem aktiven Dienst enthalten, prüft die E-Mail-Adresse Ihres Le VPN-Kontos gegen bekannte Lecks und benachrichtigt Sie per E-Mail, wenn sie auftaucht.

Und hier ist, was ein VPN nicht tut. Es stoppt keine Malware, die sich bereits auf Ihrem Gerät befindet. Es kann keine Phishing-Seite blockieren, die niemand gemeldet hat. Es hätte diesen Einbruch in keiner Weise berührt, da er nach Binances Darstellung innerhalb der Systeme von Binance geschah. Es ändert weder die Nutzungsbedingungen einer Börse noch, welche Länder eine Börse bedient. Und die Verbindung von einer neuen IP-Adresse kann zusätzliche Sicherheitsprüfungen bei einer Börse auslösen, rechnen Sie also mit einer zusätzlichen Abfrage. Für ein vollständigeres Bild, wo das Werkzeug in ein Krypto-Setup passt, lesen Sie unseren Beitrag über VPNs und Kryptowährungssicherheit.

Bis Binance seinen Untersuchungsbericht veröffentlicht, stammen Fakten zu diesem Hack aus seinen offiziellen Konten und von namentlich genannten Analysten. Jeder andere, der Sie dazu kontaktiert, per E-Mail, Telefon, Direktnachricht oder Pop-up, will etwas von Ihnen.