Kurz gesagt: Am Abend des 29.10.2026 flossen ohne Erlaubnis Kryptowerte aus Wallets der Handelsplattform Binance ab. Binance beziffert den geschätzten Gesamtschaden auf rund 6,3 Mrd. US-Dollar. Nach der ersten Untersuchung von Binance begann der Angriff mit dem kompromittierten Laptop eines DevOps-Ingenieurs. Stand 30.10.2026: Wie der Laptop befallen wurde, ist nicht veröffentlicht. Für Firmen in Deutschland zeigt der Fall, dass ein einzelnes Gerät eines Mitarbeiters reichen kann.

Was passiert ist

Binance ist eine der größten Handelsplattformen für Kryptowährungen. Ab 20:05 Uhr UTC am 29.10.2026, also 21:05 Uhr deutscher Zeit, gab es unautorisierte Abflüsse aus Binance-Wallets. Eine Wallet ist ein digitales Konto für Kryptowerte. Laut dem Analysehaus TRM Labs lief der größte Teil binnen rund 20 Minuten über zehn verschiedene Blockchains ab, also über zehn getrennte Netze, in denen Kryptowerte verbucht werden (The Next Web).

Binance beziffert den „total estimated impact“, den geschätzten Gesamtschaden, auf rund 6,3 Mrd. US-Dollar. Das ist mehr als viermal so viel wie beim Diebstahl bei Bybit im Februar 2025 mit 1,5 Mrd. US-Dollar. Rund 3 Mrd. US-Dollar sind on-chain eingefroren, also direkt auf der Blockchain gesperrt und damit für die Täter vorerst nicht nutzbar. Ein- und Auszahlungen waren zeitweise ausgesetzt. Binance will nach eigener Aussage alle Verluste der Kunden decken (Euronews, 30.10.2026).

So titelten die Medien: Axios am 29.10.2026 „Binance halts trading after biggest-ever crypto hack“, CoinDesk am 29.10.2026 „Binance loses over $6 billion in the largest crypto hack to date“ und Forbes am 30.10.2026 „Binance’s $6.3 Billion Hack Started With One Engineer’s Laptop“.

Wie die Angreifer hineinkamen

Nach der ersten Untersuchung von Binance war der Ausgangspunkt „a compromised laptop belonging to a 'DevOps engineer'“, also der befallene Laptop eines Mitarbeiters, der Server und Software-Betrieb betreut. Über diesen Laptop erhielten die Angreifer Zugriff auf einen Service-Container. Ein Container ist ein abgeschlossenes Software-Paket, in dem ein einzelner Dienst auf dem Server läuft. Von dort lösten sie unautorisierte Auszahlungen aus. Hinweise darauf, dass private Wallet-Schlüssel abgeflossen sind, gibt es laut Binance nicht (Euronews).

Später meldete Binance „additional points of breach“, also weitere Einbruchsstellen, der Vorfall gehe auf mehrere Faktoren zurück (The Next Web). Wie der Laptop befallen wurde, hat Binance bisher nicht veröffentlicht (Stand 30.10.2026). Ob eine Mail, ein Anhang, eine Webseite oder etwas anderes der Weg war, ist offen.

Wer dahinterstecken soll

TRM Labs nennt den Fall „the largest crypto theft on record“, den größten bekannten Kryptodiebstahl. TRM Labs schreibt ihn „with high confidence“, also mit hoher Sicherheit, der nordkoreanischen Gruppe TraderTraitor zu. Das Analysehaus Chainalysis stimmt dieser Einschätzung zu. Binance und Behörden haben die Zuschreibung bisher nicht bestätigt (The Next Web, CNN, Stand 30.10.2026).

Was der Binance-Gründer rät

Der Gründer von Binance hatte schon am 28.10.2026 auf X sinngemäß gewarnt: keine Links in E-Mails anklicken und keine Anhänge herunterladen, auch nicht von Menschen, denen man vertraut, denn auch deren Rechner kann unbemerkt befallen sein. In einer Antwort schrieb er sinngemäß, der Binance-Hack sei komplexer, fast alle Hacks hätten aber irgendwo ein kompromittiertes Gerät.

Was der Fall für Firmen in Deutschland zeigt

Die meisten Firmen verwalten keine Kryptowerte. Das Muster passt trotzdem auf jede Firma: Ein einzelnes Gerät eines Mitarbeiters mit weitreichenden Rechten kann der Einstieg in zentrale Systeme sein. Bei Binance waren es Zugänge zu Servern und Auszahlungen. In einem Mittelständler können es Zugänge zur Buchhaltung, zum Online-Banking, zum Kundenportal oder zur Cloud sein. Je mehr Rechte ein Gerät hat, desto größer ist der mögliche Schaden.

Was Firmen tun können

  1. Links und Anhänge prüfen. Auch Mails von bekannten Absendern können von einem befallenen Rechner kommen. Unerwartete Anhänge und Links erst öffnen, wenn klar ist, dass sie echt sind. Regelmäßige Schulungen und Phishing-Simulationen, also echt wirkende Übungs-Mails, machen das zur Gewohnheit.
  2. Rückruf über einen zweiten Weg. Bitten um Zahlungen, Zugangsdaten oder Software-Installationen über eine bekannte Telefonnummer bestätigen, nicht über die Kontaktdaten aus der Nachricht selbst.
  3. Geräte härten. Updates zeitnah einspielen, Festplatten verschlüsseln, nur freigegebene Software zulassen und Schutzsoftware einsetzen, die verdächtiges Verhalten auf dem Gerät meldet (EDR, Endpoint Detection and Response).
  4. Rechte trennen. Admin-Zugänge nur auf eigenen, besonders geschützten Geräten nutzen, nicht auf dem Laptop für Mail und Web. Kritische Schritte wie große Zahlungen oder Änderungen an Servern brauchen eine zweite Freigabe und eine Anmeldung mit zweitem Faktor.
  5. Überwachen. Ungewöhnliche Anmeldungen, Zugriffe zu ungewohnten Zeiten und große Datenabflüsse fallen nur auf, wenn jemand Protokolle auswertet. Bei Binance lief der größte Teil binnen rund 20 Minuten ab. Wer früh erkennt, kann früh eingreifen.

Wie GermanAI Defense unterstützt

Unsere Cybersecurity Services setzen genau an diesen Punkten an: Phishing-Simulation und Awareness-Training für Ihre Mitarbeiter, die Prüfung von Geräten und Rechten sowie SOC-Überwachung rund um die Uhr, Service- und Reaktionszeiten laut Vertrag. Sie erhalten eine kurze Übersicht, wo ein einzelnes Gerät bei Ihnen heute zu viel Zugriff hat und was Sie dagegen tun können.

→ Mehr zu unseren Cybersecurity Services: Cybersecurity Services ansehen

Unser Kurzvideo zum Fall: Reel auf Instagram ansehen · Weitere aktuelle Fälle: PHP2Shell und Node2Shell

Quellen: The Next Web nach TRM Labs, 30.10.2026 · Euronews, 30.10.2026 · CNN, 30.10.2026 · Axios, 29.10.2026 · CoinDesk, 29.10.2026 · Forbes, 30.10.2026