Nach Darstellung von Binance deutet die erste Untersuchung darauf hin, dass der Vorfall mit dem kompromittierten Laptop eines DevOps-Ingenieurs zusammenhängen könnte. Darüber habe ein Angreifer Zugriff auf einen Service-Container erlangt und nicht autorisierte Auszahlungstransaktionen eingereicht. Hinweise auf ein Leck privater Wallet-Schlüssel gebe es nicht. Sämtliche Verluste will das Unternehmen über den Secure Asset Fund for Users (SAFU) sowie aus eigenen Mitteln decken.
Vorsorglich hat Binance mehrere Schritte eingeleitet:
- vorübergehende Aussetzung von Ein- und Auszahlungen, bis die Sicherheitsprüfungen abgeschlossen sind
- Widerruf der Autorisierung der betroffenen Adresse
- Einbindung von Strafverfolgungsbehörden und Blockchain-Analysepartnern, um Mittel zu verfolgen und zurückzuholen
„Wir arbeiten eng mit unseren Partnern in der Strafverfolgung zusammen, um die Identität dieser Kriminellen festzustellen und sie vor Gericht zu bringen", teilte Binance mit. In einer weiteren Aktualisierung hieß es, Auszahlungen sollten binnen 48 Stunden wieder möglich sein, sobald das Team „eine Sicherheitsüberarbeitung des Auszahlungsdienstes und der zugehörigen Adressen abgeschlossen" habe.
Tether und Circle erklärten, mehr als 1,567 Milliarden USDT beziehungsweise 800 Millionen USDT im Zusammenhang mit dem Vorfall eingefroren zu haben. Der Arbitrum Security Council führte den Angaben zufolge eine Transaktion aus, mit der rund 30,5 Millionen Dollar aus dem Binance-Exploit eingefroren wurden. Insgesamt haben Tether, Circle, Ripple und World Liberty Financial bislang etwa 2,67 Milliarden Dollar in Stablecoins blockiert, der Arbitrum Security Council rund 30 Millionen Dollar in ETH und ARB. Über mehr als 420.000 ETH und 18.270 BTC im Wert von etwa 2,4 Milliarden Dollar sowie kleinere Beträge auf anderen Chains verfügt der Angreifer weiterhin.
Die Blockchain-Analysefirma Chainalysis schrieb auf X: „Unsere aktuelle Schätzung der gestohlenen Summe liegt bei etwa 5,912 Milliarden US-Dollar zum Zeitpunkt des Diebstahls, fast das Vierfache des bislang zweitgrößten Kryptoraubs."
TRM Labs ordnet den Angriff mit hoher Zuversicht nordkoreanischen Akteuren zu, konkret der Gruppe TraderTraitor, die auch für den Bybit-Raub 2025 verantwortlich war. „Mehrere Merkmale dieses Angriffs decken sich mit früheren Nordkorea-Raubzügen, darunter der Bybit-Hack und der KelpDAO-Hack im April 2026: kleine Tornado-Cash-Abhebungen zur Finanzierung einer Operator-Wallet, eine Vorbereitungsphase, die lange vor dem Diebstahl begann, und im Voraus beschaffte Signaturen, die dann in einem einzigen Schub ausgeführt wurden", so TRM Labs. Die bislang beobachtete Geldwäsche stütze sich auf große Tauschgeschäfte über Market Maker und Lending-Protokolle und unterscheide sich damit vom bridge-lastigen Muster nach dem Bybit-Vorfall.
Die Vorbereitung lief TRM Labs zufolge mindestens 36 Stunden vor dem Diebstahl an. Um 20:20 UTC reichte der Operator eine einzelne Transaktion mit 50 Autorisierungen ein. Jede war von der Binance-Hot-Wallet signiert und verwies diese auf einen Sweeper-Contract, der nur Anweisungen des Operators annimmt. Da jede Wallet einen laufenden Transaktionszähler (Nonce) führt und eine Autorisierung nur bei genau diesem Zählerstand gültig ist, die Binance-Hot-Wallet aber laufend Auszahlungen verarbeitet, stellte der Angreifer mit Signaturen für 50 aufeinanderfolgende Zählerstände sicher, dass eine davon bei Ausführung noch gültig sein würde. Eine passte – mehr war nicht nötig. Die Signaturen wurden vorab als Stapel erzeugt.
Drei Minuten und 24 Sekunden nach der Delegation wies der Operator die Hot Wallet an, ihr gesamtes Guthaben an eine vom Angreifer kontrollierte Adresse zu senden. Diese eine Transaktion bewegte 167.464 ETH und 63 Token, darunter 1,615 Milliarden USDT.
Als wahrscheinlichste Erklärung gilt, dass der Angreifer das Signiersystem der Binance-Hot-Wallet dazu bringen konnte, beliebige Transaktionen über mehrere Chains hinweg zu signieren. Der Stapel von 50 vorsignierten Autorisierungen deutet darauf hin, dass der Zugang zeitlich begrenzt war oder Signaturen über ein System angefordert werden mussten. Eine Ursachenanalyse hat Binance bislang nicht veröffentlicht.