An einem Abend wurden zwei Plattformen in einem Abstand von drei Stunden angegriffen. Polymarket verlor etwa $2,65M. Binance verlor etwa $6,3Mrd.
Binance ist nun der größte jemals verzeichnete Krypto-Hack. Die Frage, die sich jeder stellt, ist einfach: Wenn die Welt es innerhalb einer Stunde wusste, warum floss das Geld dann weiter ab?
Hier ist das, was bestätigt ist, was nicht und was es für deine Mittel bedeutet. Aktualisiert am 2. November 2026. Die Geschichte entwickelt sich noch immer weiter.
Was hat sich seit dem 30. Oktober geändert
- Zuordnung: Das FBI bestätigte am 31. Oktober, dass Nordkorea verantwortlich war. Es nennt die Aktivität TraderTraitor und veröffentlichte die beteiligten Adressen.
- Auszahlungen: wurden ab 06:00 UTC am 1. November phasenweise wieder geöffnet. Alle 15 Netzwerke der ersten Phase waren bis 12:36 UTC live. Andere Netzwerke und Assets werden noch getestet.
- Abflüsse: Binance berichtete über $4,65Mrd. Abfluss und $1,01Mrd. Zufluss in den ersten 9,5 Stunden, ein Netto-Abfluss von $3,64Mrd. Unsere On-Chain-Zählung zeigt, dass in den ersten 26 Stunden $6,96Mrd. abflossen.
- Deckung: Binance gibt an, etwa 95 % der betroffenen Mittel ersetzt zu haben. Der Rest sind weniger liquide Token, die länger zu kaufen sind.
- Einfrierungen: Circle teilte CNBC mit, dass es mehr als $1,1Mrd. an USDC eingefroren hat.
- Polymarket: es berichtete über vollständige Rückerstattungen an 689 von 726 betroffenen Wallets, während die anderen 37 ausgezahlt werden, sobald sie verifiziert sind. Es zahlt zudem $1,19M an etwa 5.500 Wallets für Verluste während der Handelsunterbrechung aus.
Die 60-Sekunden-Version
- Polymarket: etwa $2.65M wurden von rund 700 bis 995 Konten abgezogen (abhängig von der Quelle). Ursache: bösartiges JavaScript, das über ein Monitoring-Skript eines Drittanbieters geliefert wurde. Kein Smart-Contract-Fehler. Rückerstattungen sind im Gange.
- Binance: etwa $6.3B wurden in etwa 20 Minuten von Hot Wallets auf 10 Blockchains abgehoben. Binance verweist auf den Laptop eines kompromittierten DevOps-Engineers. Etwa $3B sind eingefroren. Binance sagt, dass es alle Verluste decken wird.
- Verdächtige: das FBI sagt, Nordkorea sei verantwortlich und nennt die Aktivität „TraderTraitor“. TRM Labs und Chainalysis hatten bereits auf dieselbe Gruppe hingewiesen.
- Verknüpft? Es gibt keine Beweise dafür, dass Polymarket und Binance von demselben Akteur angegriffen wurden. Es gibt einen On-Chain-Link zwischen den Binance-Geldern und dem Bitget-Hack im September.
- Binance-Status: Einzahlungen funktionieren, Abhebungen wurden am 1. November in Phasen auf 15 Netzwerken wieder geöffnet, und andere Netzwerke werden noch getestet.
Polymarket-Hack: Ein Monitoring-Skript wurde zum Drainer
Die internationale Seite von Polymarket lud ein echtes Benutzer-Monitoring-Skript von DebugBear, einem britischen Unternehmen, das die Seitengeschwindigkeit misst. Dieses Skript wurde durch einen Wallet-Drainer ausgetauscht.
Laut Analysen von DefiPrime und Hudson Rock las der Code Sitzungsdaten aus dem Browser, fand den Orderbuch-Client innerhalb der Seite und verkaufte die Positionen der Nutzer oder bewegte deren Outcome-Token. Bei Nutzern, die mit E-Mail-Wallets angemeldet waren, erschien kein Signatur-Prompt. Die Erlöse wurden in POL getauscht und an eine Adresse gesendet.
Wichtige Zahlen:
- Zeitfenster: etwa 17:10 bis 18:03 UTC am 29. Oktober
- Angreifer-Adresse (Polygon):
0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18 - Gestohlen: 28.6M POL, etwa $2.65M
- Opfer: 700+ (Bubblemaps), etwa 710 (CNBC), 737 (Bitquery), etwa 995 (Conor Grogan). Polymarket gab später an, dass 726 Wallets betroffen waren.
- Größte Einzelverluste: etwa $341K und $307K
Wie Polymarket reagierte: Ein „Cancel-only“-Modus und eine Pause der Relayer um 18:05 UTC, ein Fix und die Wiederaufnahme des Handels etwa eine Stunde später. Das Unternehmen gab an, dass ein Drittanbieter kompromittiert wurde, verwies den Fall an die Strafverfolgungsbehörden und versprach, dass die betroffenen Nutzer entschädigt würden. Die Smart Contracts wurden nicht angefasst. Polymarket US sei nicht betroffen gewesen, so CNBC.
Zwei Vorbehalte sind für die Genauigkeit wichtig.
→ Polymarket nannte DebugBear nicht. Reuters und CNBC nannten es unter Berufung auf eine Quelle. DebugBear selbst bestätigte einen Sicherheitsvorfall auf X und wies Kunden an, seinen Code zu entfernen.
→ Ein Trader, der einen Verlust von $800K behauptete, wurde von Bubblemaps herausgefordert, die sagten, dass der Drain nicht dem Muster anderer Opfer entsprach. Behandle diese Behauptung als umstritten.
Dies ist nicht der erste Vorfall mit einem Drittanbieter bei Polymarket in diesem Jahr. Ein bösartiges Skript eines nicht genannten Anbieters traf Nutzer ebenfalls im Juni.
Binance-Hack: 20 Minuten, 10 Netzwerke, $6.3B
Der erste Drain begann um 20:05 UTC (21:05 CET). TRM Labs verfolgte zuerst 233,46M XRP, dann Solana, Optimism, Tron, Bitcoin und Ethereum. Der Großteil des Geldes bewegte sich innerhalb von etwa 20 Minuten.
Binances eigene Schätzung liegt bei etwa $6.3B. TRM setzt sie bei etwa $6.36B zu den Preisen des Augenblicks an. Chainalysis gab zuerst $5.9B an, dann etwa $6.4B. Unterschiedliche Zahlen, gleiche Größenordnung. Das ist normal, während die Preise schwanken und das Tracking fortgesetzt wird.
Wie es funktionierte
Auf Ethereum nutzte der Angreifer EIP-7702, eine Funktion, die es einer normalen Wallet erlaubt, vorübergehend Smart-Contract-Code auszuführen. Eine Transaktion enthielt 50 vorab signierte Autorisierungen für die Binance 14 Hot Wallet. Eine landete. Minuten später wurde die Wallet geleert: 167.464 ETH und 63 andere Token, darunter etwa $1.6B in USDT.
Auf den anderen neun Netzwerken sendete der Angreifer einfach signierte Transfers.
Der wichtige Punkt: EIP-7702 war das Werkzeug, nicht die Ursache. Analysten von TRM, SlowMist und Blockaid beschreiben alle eine Kompromittierung der Signatur-Infrastruktur. Einfach ausgedrückt: Der Angreifer konnte das eigene System von Binance dazu bringen, Abhebungen zu genehmigen.
Binances vorläufiger Befund, der um 02:25 UTC am 30. Oktober veröffentlicht wurde: Der Laptop eines kompromittierten DevOps-Engineers ermöglichte den Zugriff auf einen Service-Container, der für die Einreichung unbefugter Abhebungen genutzt wurde. Binance gibt an, keine Beweise für das Abfließen von Private Keys gefunden zu haben. Dies ist ein vorläufiger Befund. Eine vollständige Post-Mortem-Analyse ist versprochen.
Wer steckt dahinter
TRM Labs schreibt den Angriff mit hoher Sicherheit TraderTraitor zu und führt dabei Vorbereitungsmuster an: kleine Tornado-Cash-Abhebungen für Gas am 28. Oktober, Tests und eine Generalprobe am 29. Oktober. Chainalysis weist ebenfalls auf TraderTraitor hin. ZachXBT sagt „wahrscheinlich Lazarus“ und zeigt, dass Gelder von Binance und der Bitget-Exploit im September an derselben Adresse gemischt wurden, nachdem sie über THORChain geleitet worden waren.
Die offizielle Zuordnung erfolgte am 31. Oktober. Das FBI gab an, dass Nordkorea für den Diebstahl von mehr als $6B verantwortlich war und dass die Akteure die gestohlenen Assets hauptsächlich in ETH umwandelten. Es forderte DeFi-Dienste, Node-Betreiber und andere Anbieter auf, die aufgeführten Adressen zu sperren.
Warum das Geld weiter abfloss, obwohl alle Bescheid wussten
Dies ist die Frage hinter den meisten Suchanfragen. Vier Dinge geschahen gleichzeitig.
1. Binance pausierte die Abhebungen spät und schrittweise.
Erster Drain: 20:05 UTC. Erste offizielle Stellungnahme: 21:24 UTC. Abhebungen auf Teilen der Netzwerke pausiert: 22:15 UTC. Vollständige Suspendierung von Einzahlungen und Abhebungen: 00:04 bis 00:13 UTC. Über Stunden konnten normale Nutzer noch einige Assets in einigen Netzwerken abheben.
2. Die gehackte Wallet erhielt weiterhin Gelder.
Die EIP-7702-Delegation auf Binance 14 blieb aktiv. Jede neue Einzahlung, die an diese Wallet geleitet wurde, wurde vom Angreifer abgegriffen. TRM protokollierte Abgriffe um 20:41, 20:59, 21:04, 21:44, 22:39 und 23:56 UTC. Analyst Wazz markierte live, dass eine $200M USDT-Einzahlung innerhalb von sechs Blöcken abgegriffen wurde. Die Delegation wurde erst gegen 00:42 UTC widerrufen. Von allem, was in dieser Nacht geschah, sieht dies nach der kostspieligsten operativen Lücke aus.
3. Der Angreifer war schneller als die Sperrungen.
Tether sperrte die Haupt-Wallet etwa 37 Minuten nach dem großen Sweep. In diesem Zeitfenster verkaufte der Angreifer etwa $325M an USDT an Market Maker über Intent-basierte Swaps zu einem Aufschlag von über 10 %, zahlte USDT bei Aave ein, schickte Gelder an JustLend, teilte Bitcoin über eine Peel-Chain auf und verkaufte einen Teil der RLUSD, bevor Ripple den Rest sperrte.
4. Nur einige Assets können gesperrt werden.
Tether, Circle, Ripple und World Liberty können ihre Stablecoins sperren. Niemand kann ETH, BTC, XRP oder SOL sperren. TRM gibt an, dass mehr als 420.000 ETH und 18.270 BTC, etwa $2,4B, beim Angreifer verblieben.
Gab es einen Bank Run der Kunden? Einige institutionelle Abflüsse wurden gemeldet. Harte Daten über die Größe der Kundenabhebungen während des Zeitfensters existieren in öffentlichen Quellen noch nicht. Behandle „alle sind zum Ausgang gerannt“ als unbewiesen.
Was ist gesperrt und wer deckt den Verlust?
- Gesperrt (Binance, verifiziert am 30. Oktober): etwa $3B, wovon etwa $2,3B in USDT und USDC sind
- Tether: etwa 1,77B USDT
- Circle: mehr als $1,1B in USDC bis zum 2. November, ein Anstieg von etwa 825M
- Ripple: 40,5M RLUSD on-chain bestätigt
- World Liberty Financial: 27,8M USD1
- Arbitrum Security Council: etwa 8.425 ETH und 74,6M ARB
Binance gibt an, dass es alle Verluste aus dem SAFU-Fonds und Unternehmensmitteln decken wird und dass die Nutzergelder sicher sind. SAFU hält etwa 15.000 BTC, was etwa $1,16B entspricht. Das ist nur ein Bruchteil des Verlusts, daher muss der Großteil der Deckung aus der eigenen Bilanz von Binance kommen. Bis zum 1. November gab Binance an, etwa 95 % der betroffenen Mittel ersetzt zu haben, unter Verwendung von SAFU, Unternehmensmitteln und seinem Futures-Versicherungsfonds. Das ist eine Unternehmensmitteilung, keine Prüfung.
DefiLlama-Daten deuten darauf hin, dass Binance vor dem Angriff etwa $144B an Assets hielt, sodass der Diebstahl etwa 4 % ausmacht. Abzüglich der Sperrungen schätzte ein DefiLlama-Contributor die offene Lücke auf fast $1B. CZ sagte, sie könne etwas höher sein, aber sie werde gedeckt.
Sind die Polymarket- und Binance-Hacks miteinander verbunden?
Es gibt keine Beweise dafür.
- Verschiedene Vektoren: Browser-Skript vs. Signier-Infrastruktur
- Verschiedene Chains und Assets: POL auf Polygon vs. ETH, BTC und andere auf 10 Netzwerken
- Unterschiedliche Größenordnung: etwa 2.400-mal auseinander
- Keine Blockchain-Analytics-Firma hat einen On-Chain-Zusammenhang gemeldet
Was die Vorfälle gemeinsam haben, ist ein Muster, kein Autor. Polymarket, Predict.fun (ca. $400K, 27. Oktober), Bitget (ca. $388M, September) und Binance begannen alle mit einer vertrauenswürdigen mittleren Schicht: ein Vendor-Skript, eine Dokumentationsseite, ein Sicherheitsprodukt, ein Mitarbeiter-Laptop. Kein Smart-Contract-Bug.
Andere Börsen: Bestätigt vs. Gerücht
Gerüchte verbreiteten sich in jener Nacht schnell. Hier ist die sortierte Liste.
- Bestätigt: Predict.fun, ca. $400K USDT, 27. Oktober, Drittanbieter-Dokumentationsseite, Rückerstattungen versprochen
- Bestätigt, früher: Bitget, ca. $388M, 24. September, von ZachXBT On-Chain mit den Binance-Geldern verknüpft
- Falsch: Bybit wurde zur gleichen Zeit gehackt. Bybit gab an, nicht betroffen zu sein und die Auszahlungen blieben offen
- Laut offiziellen Statements nicht betroffen: Coinbase, KuCoin, Binance.US
- Keine glaubwürdigen Berichte: OKX, Kraken
- Kein neuer Hack: Ledger. Ein Supply-Chain-Problem über einen Wiederverkäufer ist real und stammt aus Anfang Oktober. Es ist nicht das Binance-Ereignis
- Unverifizierte Spekulation: „KI-Agenten haben es getan“ und „ein Akteur hinter allem“
- Spam und Phishing: gefälschte Rückerstattungsformulare, „Support“-DMs, „fordere deine Entschädigung“-Links. Ignoriere sie alle
Was ist mit dem Markt passiert
- BTC: von etwa $80.3K auf unter $77K
- BNB: von $738.90 auf $692.32 in Minuten, kein BNB wurde gestohlen
- Liquidationen: etwa $1.53B in 24 Stunden, hauptsächlich Longs
- Fear & Greed: von 51 auf 30
- Gewinner: HYPE und TRX stiegen. Die Märkte belohnten Nicht-Exchange-Alternativen
Die Reaktion war milder, als die Größe des Diebstahls vermuten lässt. Der Markt setzte darauf, dass Binance den Verlust deckt. Die Auszahlungen wurden am 1. November wieder geöffnet. Der nächste Test ist ein frischer Reservennachweis.
Ist Binance sicher? Was ist jetzt zu tun
Niemand kann etwas versprechen, aber hier ist eine praktische Checkliste.
→ Vertraue keinen DMs, „Rückerstattungs“-Links oder „Entschädigungs“-Formularen. Nutze nur offizielle Kanäle.
→ Unterschreibe nichts, das du nicht selbst gestartet hast. Dazu gehören Batch-Transfers und EIP-7702-Autorisierungen.
→ Wenn du Polymarket nutzt, schließe alte Tabs und lade die Seite neu. Verschiebe größere Bestände auf eine Wallet, die eine manuelle Bestätigung verlangt, idealerweise eine Hardware-Wallet.
→ Streue dein Risiko über verschiedene Plattformen. Eine Exchange, ein Point of Failure.
→ Vermeide Leverage während Vorfällen. Etwa $628M wurden in der ersten Stunde liquidiert. Dieser Verlust entstand durch Leverage, nicht durch den Hack.
→ Builder: Isoliere Drittanbieter-Skripte, überwache EIP-7702-Delegationen auf Treasury-Wallets und übe den Widerruf von Delegationen.
FAQ
Wurde Binance gehackt?
Ja. Binance und CZ haben es bestätigt. Geschätzter Schaden: etwa $6.3B.
Wie viel wurde von Binance gestohlen?
Etwa $6.3B nach Schätzung von Binance. TRM gibt zum Zeitpunkt des Diebstahls $6.36B an. Chainalysis nennt bis zu $6.4B.
Ist mein Geld auf Binance sicher?
Binance sagt, dass die Nutzergelder sicher sind und dass sie alle Verluste decken wird. Das ist eine Unternehmenserklärung. Abhebungen in 15 Netzwerken wurden am 1. November wieder geöffnet. Achte auf das Post-Mortem und den neuen Reservennachweis.
Haben die Abhebungen bei Binance wieder begonnen?
Ja, in Phasen ab 06:00 UTC am 1. November. Alle 15 Netzwerke der ersten Phase waren bis 12:36 UTC live, und andere Netzwerke sowie Assets werden noch getestet.
Wie viel verließ Binance, nachdem die Abhebungen wieder geöffnet wurden?
Binance meldete einen Netto-Betrag von $3.64B für die ersten 9,5 Stunden. Unsere On-Chain-Zählung zeigt $6.96B an Brutto-Abhebungen in den ersten 26 Stunden.
Wer hat Binance gehackt?
Das FBI sagt Nordkorea, unter dem Namen TraderTraitor. TRM Labs und Chainalysis kamen zum gleichen Schluss, und ZachXBT deutete auf Lazarus hin.
War der Binance-Hack größer als der von Bybit?
Ja. TRM bezeichnet ihn als den größten Krypto-Diebstahl der Geschichte, etwa viermal so groß wie der Bybit-Hack von 2025.
Was ist SAFU?
Binances Notfall-Versicherungsfonds. Er hält etwa 15.000 BTC, rund $1.16B, was nicht ausreicht, um den Verlust allein zu decken.
Wurde Polymarket gehackt?
Ja, seine internationale Seite, durch ein kompromittiertes Drittanbieter-Monitoring-Skript. Etwa $2.65M, kein Smart-Contract-Bug.
Hat Polymarket die Nutzer erstattet?
Polymarket sagt, dass es 689 von 726 betroffenen Wallets vollständig erstattet hat, während die anderen 37 ausgezahlt werden, sobald sie verifiziert sind. Es zahlt außerdem $1.19M an etwa 5.500 Wallets für Verluste während der Handelsunterbrechung.
Wurden Bybit, Coinbase, OKX oder Kraken auch gehackt?
Keine glaubwürdigen Beweise. Bybit und Coinbase sagten, dass sie nicht betroffen waren.
Quellen: FBI · Binance and CZ on X · TRM Labs · Chainalysis · ZachXBT · WazzCrypto · Bubblemaps · DefiPrime · Hudson Rock · CoinDesk · Cointelegraph · Bloomberg · Reuters · CNBC · Axios · Bleeping Computer · The Block · DefiLlama.
Informationen Stand 2. November 2026. Die Untersuchung ist laufend und die Zahlen können sich ändern. Dieser Artikel beschreibt Ereignisse und stellt keine Finanz- oder Rechtsberatung dar.
Referral-Offenlegung: Die Polymarket-Links in diesem Artikel sind Referral-Links. W3Match kann eine Belohnung erhalten, wenn du dich über diese anmeldest. Dies ist keine Empfehlung zum Handeln, und die Verfügbarkeit hängt von deinem Land ab, also prüfe zuerst die Bedingungen von Polymarket.