Binance hat das ISO-Zertifikat. Nordkorea hat das Geld.

Am 29. Oktober 2026 verschwinden 6,36 Milliarden Dollar von Binance, der größten Kryptobörse der Welt. Der Großteil davon in 31 Minuten. Die Täter haben einen Namen und ein Aktenzeichen, ihre Methode steht seit April 2022 in einem Advisory des FBI. Binance ist nach ISO 27001 zertifiziert und in mehreren Ländern beaufsichtigt. Dieser Text handelt davon, was ein Zertifikat beweist. Und was eine Warnung wert ist, die gelesen, aber nicht umgesetzt wird.

Autor

Daniel Thomas Heessel, CISO des Jahres 2026, ISO 27001 Lead Auditor

Zielgruppe

CISO, Geschäftsleitung, Finanz- und Kryptounternehmen, SOC

Klassifizierung

TLP:CLEAR, Weitergabe erlaubt

Stand

1. November 2026, Version 1.0

Quellen

TRM Labs, Elliptic, Bitquery, BitOK, Binance, CNBC, FBI, CISA, US-Finanzministerium, Mandiant, GitHub, Palo Alto Networks Unit 42, Wiz, xorl

Der eigentliche Angriff auf Binance beginnt einen Tag vor dem Diebstahl von 6,36 Milliarden Dollar. Am 28. Oktober richtet der Angreifer eine Wallet ein und schickt ihr über einen Dienst, der die Herkunft von Geld verschleiert, rund einen Ether, also gut 2.000 Dollar. Am 29. Oktober testet er seinen Angriffscode an fremden Wallets. Vier Stunden nach dem letzten Test liegt der Code auf einer Hot Wallet von Binance, einer Wallet, die ständig am Netz hängt, weil die Börse daraus Kundenauszahlungen bedient.

Um 20:05 Uhr Weltzeit, 21:05 Uhr in Frankfurt, beginnt der Abfluss, zuerst auf dem XRP Ledger. Alle weiteren Uhrzeiten sind Weltzeit. Binnen 20 Minuten folgen Solana, Optimism, Bitcoin und Tron, dann Ethereum, wo das meiste Geld liegt. Dort hat sich der Angreifer vorab 50 Signaturen der Binance-Wallet beschafft. Eine davon genügt, um die Wallet unter seine Kontrolle zu bringen. Drei Minuten später ist sie leer: 167.464 Ether und 1,6 Milliarden Tether in einer einzigen Transaktion. Bis Mitternacht kommt er sechsmal zurück und räumt ab, was Kunden inzwischen eingezahlt haben. Zehn Blockchains, ein Angreifer, eine halbe Stunde für das Wesentliche.

Gebremst wird der Angreifer nicht von Binance, sondern von den Firmen, die Stablecoins wie Tether und USD Coin herausgeben. Sie können ihre Token per Knopfdruck sperren. Tether sperrt um 21:01 Uhr 971 Millionen Dollar, 37 Minuten nach dem großen Abfluss, Circle drei Minuten später 823 Millionen. Der Angreifer sieht die Sperren kommen und verkauft, was sich noch verkaufen lässt, mit mehr als zehn Prozent Abschlag. Binance hält Auszahlungen gegen 22:33 Uhr an und meldet um 02:25 Uhr erste Erkenntnisse.

Am Morgen sind 6,36 Milliarden Dollar weg. 2,7 Milliarden davon liegen eingefroren auf Adressen des Angreifers, 2,4 Milliarden in Ether und Bitcoin außer Reichweite. Eine Frage bleibt: Wie bringt jemand Binance-Wallets auf zehn Blockchains dazu, seine Transaktionen zu unterschreiben?

Binance antwortet am Tag danach, vorsichtig. Der Vorfall habe möglicherweise mit dem Laptop eines DevOps-Engineers begonnen, also eines Technikers, der die Systeme der Börse betreibt. Über diesen Laptop sei der Angreifer in ein internes System gelangt und habe von dort Auszahlungen ausgelöst. Es sei kein Angriff mit einem Klick gewesen, es gebe weitere Einfallstore, und private Schlüssel seien nicht abgeflossen. TRM Labs geht einen Schritt weiter: Der Angreifer habe wahrscheinlich das System unter Kontrolle gebracht, mit dem Binance seine Auszahlungen signiert.

Ein Laptop. Wer diesen Satz verstanden hat, kennt den Rest der Geschichte. Dieser Angriffsweg stand seit viereinhalb Jahren in einem Advisory des FBI.

Binance wurde 2017 gegründet und ist seither die größte Kryptobörse der Welt. Anfang 2026 verwahrte die Börse Reserven von rund 155 Milliarden Dollar und setzte in einem Monat 2,1 Billionen Dollar um, das 2,6-Fache des nächsten Wettbewerbers. Je nach Zählung läuft ein Viertel bis knapp 40 Prozent des weltweiten Spot-Handels über Binance. Dort entsteht der Preis für Bitcoin. Wankt Binance, wankt der Markt: Nach dem Angriff verlor Bitcoin binnen Stunden fünf Prozent, die Aktien von Coinbase und Robinhood gaben nach. Binance ist für Krypto, was ein systemrelevantes Institut für den Geldmarkt ist, nur ohne Einlagensicherung, ohne veröffentlichte Bilanz und lange ohne Hauptsitz.

Die Zweifel sind fast so alt wie die Börse. 2019 verlor Binance 7.074 Bitcoin aus einer Hot Wallet, weil Angreifer mit Phishing Zugangsdaten von Nutzern gesammelt hatten; die Alarme kamen, als das Geld weg war. 2022 stahl ein Angreifer rund 570 Millionen Dollar aus der Blockchain, die Binance selbst betreibt. Die Börse hielt daraufhin kurzerhand das ganze Netzwerk an, was bei einer angeblich dezentralen Blockchain gar nicht möglich sein sollte. Dazu kam die Konzernstruktur: Dutzende Gesellschaften, keine geprüften Abschlüsse. Ein Reservenachweis des Prüfers Mazars Ende 2022 hielt nur Tage, dann zog sich Mazars aus dem Kryptogeschäft zurück. 2023 warf die US-Börsenaufsicht Binance vor, Kundengelder in Milliardenhöhe vermischt zu haben. Im November 2023 bekannten sich Binance und Gründer Changpeng Zhao schuldig, kein wirksames Geldwäscheprogramm betrieben zu haben: 4,3 Milliarden Dollar Strafe, ein Compliance-Monitor im Haus, vier Monate Haft für Zhao. Präsident Trump begnadigte ihn 2025, Zhao blieb größter Anteilseigner. Seither führen Richard Teng, ein früherer Finanzaufseher, und Mitgründerin Yi He das Geschäft.

In Europa gilt seit Ende 2024 die MiCA-Verordnung mit Lizenzpflicht. Binance bekam keine Lizenz, zog seinen Antrag zurück und stellte das Angebot für EU-Kunden im Juli 2026 weitgehend ein. Teng kritisierte daraufhin Brüssel: 70 Prozent der betroffenen Nutzer hätten ihr Geld in eigene Wallets verschoben, und dort sei das Risiko höher. Man sollte sich den Satz merken.

Dabei ist Binance auf dem Papier ein Musterschüler. Seit 2019 ist die Börse nach ISO 27001 zertifiziert, als eine der ersten Kryptoplattformen überhaupt. 2023 kamen Zertifikate für Frankreich, die Emirate, Bahrain und die Türkei hinzu sowie ein SOC-2-Bericht für die globale Plattform. Der damalige Sicherheitschef sprach von nachgewiesenen wirksamen Kontrollen. Ob die Zertifikate 2026 noch gelten und die Wallet-Systeme abdecken, hat Binance nicht veröffentlicht. Für diesen Text spielt das keine Rolle. Es geht nicht darum, ob ein Zertifikat fehlte, sondern darum, was ein Zertifikat beweist. Die Aufsichtsregeln, die Binance umgeben, handeln von Geldwäsche, Kundenvermögen und Transparenz. Keine davon fragt, wie man den Laptop eines Technikers gegen einen nordkoreanischen Angreifer schützt, der sich als Recruiter ausgibt.

Wer es war, gilt als geklärt. TRM Labs schreibt den Angriff mit hoher Sicherheit der nordkoreanischen Gruppe TraderTraitor zu, das FBI bestätigt nordkoreanische Täter. Um diese Gruppe zu verstehen, muss man zurück an den Anfang: zu einem Papier aus Washington.

Am 18. April 2022 veröffentlichen das FBI, die Cybersicherheitsbehörde CISA und das US-Finanzministerium ein gemeinsames Papier, 14 Seiten, für jedermann lesbar. Es beschreibt eine nordkoreanische Kampagne gegen Kryptofirmen und gibt ihr den Namen TraderTraitor. Der Einstieg, so das Papier: Mitarbeiter von Kryptofirmen, oft Systemadministratoren und DevOps-Techniker, bekommen über Jobportale und Messenger hoch bezahlte Stellen angeboten und sollen dafür eine Software installieren, die den Rechner übernimmt. Das Papier listet die Namen der Programme, die Prüfsummen der Dateien und die Adressen der Server. Man kann es bis heute herunterladen.

Die Gruppe hat seither viele Namen bekommen: UNC4899 bei Google und Mandiant, Jade Sleet bei Microsoft, Slow Pisces bei Palo Alto Networks. Mandiant ordnet sie dem Reconnaissance General Bureau zu, dem nordkoreanischen Auslandsgeheimdienst. Ihr Ziel ist nicht Spionage, sondern Devisen.

Wo sie im Staatsapparat sitzt, lässt sich aus öffentlichen Quellen rekonstruieren. Der Sicherheitsforscher xorl pflegt seit 2021 eine Karte der nordkoreanischen Cyber-Einheiten, aufgebaut auf Mandiants Analysen, US-Anklageschriften und Überläuferberichten. Demnach läuft die Befehlskette von Kim Jong Un über den Generalstab zum Geheimdienst, dort zum 3. Büro und weiter zum Lab 110, dem Kern dessen, was die Welt „Lazarus“ nennt. TraderTraitor ist die auf Kryptowerte spezialisierte Linie in diesem Geflecht. Das US-Finanzministerium hat Lazarus 2019 genau dort verortet: im 110. Forschungszentrum des 3. Büros.

Diese Organisation ist kein Phantom. Sie hat Büronummern, Tarnfirmen in China, namentlich angeklagte Mitarbeiter und einen Auftrag. Das UN-Expertengremium schätzte 2024, dass Nordkorea seit 2017 mehr als drei Milliarden Dollar in Kryptowerten gestohlen hat; ein Nachfolgegremium beziffert den Anteil der Cyberbeute an den Deviseneinnahmen des Landes für 2024 auf rund ein Drittel. Das Geld fließt nach Einschätzung von UN und US-Regierung in das Raketen- und Nuklearprogramm. Wer Binance ausräumt, finanziert Sprengköpfe.

Das Papier von 2022 beschreibt den ersten Akt. Die übrigen sechs hat die Gruppe seither vor aller Augen aufgeführt. Jeder ist dokumentiert und trägt Nummern aus MITRE ATT&CK, dem Technikkatalog, der die gemeinsame Sprache der Branche ist.

Vier Dinge machen dieses Stück so erfolgreich, und keines ist eine Softwarelücke: ein Mensch mit privilegiertem Zugang; eine Mehrfaktor-Authentifizierung, die gestohlene Sitzungen nicht erkennt; Dienstleister als Einstieg; Geduld, die in einem einzigen Schlag endet.

Nichts davon war geheim. Die Warnkette beginnt im April 2022 und wird mit jedem Jahr präziser.

Im März 2024 schrieb ein angeblicher Recruiter einen Mitarbeiter der japanischen Wallet-Firma Ginco an und schickte ihm einen Einstellungstest auf GitHub. Zwei Monate später manipulierten die Angreifer mit seinen Sitzungsdaten eine Transaktion des Kunden DMM Bitcoin: 308 Millionen Dollar. Im Februar 2025 startete ein Entwickler der Wallet-Firma Safe ein Docker-Projekt, das sich als Aktiensimulator ausgab. Zwölf Tage später war Bybit um 1,5 Milliarden Dollar ärmer. Im April 2026 folgten Drift und KelpDAO, im September Bitget. Und im Oktober Binance, viereinhalb Jahre nachdem das FBI DevOps-Techniker von Kryptofirmen als bevorzugtes Ziel benannt hatte. Unit 42 hatte im April 2025 festgehalten, das Vorgehen der Gruppe sei über Monate gleich geblieben. Warum auch etwas ändern? Es funktionierte.

Seit April 2022 ging jedem Opfer ein Bericht voraus, der den Einstieg beschrieb, mit dem es wenig später getroffen wurde. Das ist keine Geschichte über Sicherheitslücken. Es ist eine Geschichte darüber, was nach dem Lesen kommt.

Ich prüfe seit Jahren als Lead Auditor Managementsysteme für Informationssicherheit und habe selbst vier aufgebaut. Ein Zertifikat nach ISO 27001 beweist, dass eine Organisation ein solches System betreibt: dass sie Risiken bewertet, Maßnahmen umsetzt und sich intern prüft. Der Auditor sieht das in Stichproben, ein paar Tage im Jahr. Die Norm verlangt sogar ausdrücklich Threat Intelligence, also das Auswerten von Informationen über Angreifer. Der Auditor prüft, ob dieser Prozess existiert. Ob der Laptop eines Technikers einem falschen Recruiter standhält, prüft er nicht. Das passt in kein Auditprogramm.

Binance hatte Threat Intelligence. Die Börse spürt seit Jahren nordkoreanische Beute auf und beschäftigt eines der größten Sicherheitsteams der Branche. Das Wissen war da. Es wurde nicht in Architektur und Erkennung übersetzt. Das ist der Unterschied zwischen Threat Intelligence und Threat-Informed Defense, und er lässt sich an dieser Nacht belegen.

Die Architektur: Wer das Signatursystem für Wallets auf zehn Blockchains binnen einer halben Stunde zu Unterschriften bringt, stößt auf keine Grenze. Nichts hat eine Wallet angehalten, die in drei Minuten mehr auszahlte als sonst in Wochen. 6,36 Milliarden Dollar in einer Nacht sind nicht nur ein Erkennungsproblem. Sie sind eine Architekturentscheidung.

Die Erkennung: Dieser Angriff hat sich angekündigt. Eine frisch finanzierte Wallet, Probeläufe am Tattag, dann 15 Minuten zwischen dem ersten Abfluss und dem Zugriff auf Ethereum, dann 37 Minuten bis zur ersten großen Sperre durch Tether. Wer nach dem Verhalten des Angreifers sucht, hat an diesem Abend Stunden Vorlauf. Wer nur den Kontrollkatalog abarbeitet, sieht erst den Abfluss. Entdeckt wurde der Angriff nicht von der eigenen Erkennung, sondern von außen. Das Muster kennt man aus Deutschland: Im Berliner Landesnetz blieb ein Datenabfluss fünf Tage unbemerkt, auch dort kam die Entdeckung von außen.

Der Mensch: Der Laptop eines Technikers mit Zugang zu Auszahlungssystemen ist kein Bürorechner. Er ist so schützenswert wie der zentrale Verzeichnisdienst einer Firma. Auf einem solchen Gerät wird kein Code aus einem Recruiter-Repository ausgeführt. Diese Regel steht in keinem Zertifikat. Sie steht in den Berichten über DMM Bitcoin und Bybit.

Und das Zertifikat selbst: Es ist nicht wertlos. Es beweist, dass Binance ein Managementsystem betreibt. Es beweist nichts über die Frage, die an diesem Abend entschied: ob eine Organisation ihren Gegner kennt und ihre Verteidigung gegen dessen Techniken gebaut und geprüft hat. Zertifikate messen, ob Prozesse vorhanden sind. Angreifer messen, ob sie wirken. Binance hat beide Messungen durchlaufen. Die erste hat es 2019 bestanden. Die zweite dauerte 31 Minuten.

Den Schaden trägt Binance, nicht die Kunden. Richard Teng erklärte am Tag danach, man habe 6,34 Milliarden Dollar an Firmenmitteln reserviert. Am 31. Oktober meldete die Börse, 90 Prozent der gestohlenen Bestände seien ersetzt, aus drei Töpfen: dem Notfallfonds SAFU, einem Versicherungsfonds für den Terminhandel und der Konzernkasse. Auszahlungen laufen gestaffelt wieder an, ein neuer Reservenachweis ist angekündigt.

Prüfen kann das niemand von außen; Binance veröffentlicht keine Bilanz. Teng sagt, der Konzern halte seine Gewinne in Kryptowerten und könne den Schaden ausgleichen. Das ist bei zwei Billionen Dollar Handelsvolumen im Monat plausibel, und deshalb kommt die Frage, ob hier die größte Pleite der Kryptogeschichte droht, zu früh. FTX fiel 2022 nicht an einem Hack, sondern daran, dass Kundengelder verzockt wurden. Binance beteuert, seine Kundengelder lägen unberührt in Cold Wallets, die nicht am Netz hängen. Der Test kommt, wenn alle Auszahlungen wieder offen sind.

Eingefroren ist nicht zurück. Die 2,7 Milliarden Dollar, die Tether, Circle, Ripple und andere gesperrt haben, hängen auf Adressen des Angreifers fest; ihre Rückführung braucht Gerichte und Zeit. Bemerkenswert ist, wer gehandelt hat: keine Aufsicht, nicht die Börse, sondern private Firmen, die ihre Token per Knopfdruck sperren können. Die Kryptowelt, die Zensurfreiheit als Gründungsmythos pflegt, wurde von genau den zentralen Eingriffen vor dem Schlimmsten bewahrt, die sie ablehnt.

Die 2,4 Milliarden Dollar außer Reichweite sind mehr als jeder einzelne frühere Kryptoraub. Sie wandern über Brücken, Tauschdienste und Händler Richtung Pjöngjang, wie die Beute aus Bybit, Drift, KelpDAO und Bitget. Mit 6,36 Milliarden Dollar hat ein Staat unter umfassenden Sanktionen in einer Nacht mehr erbeutet, als das UN-Gremium ihm für sechs Jahre insgesamt zurechnete. Ohne eine einzige Sicherheitslücke in einer Software auszunutzen.

Und die Regulierung? Binance hat Europa im Juli verlassen, EU-Kunden waren deshalb kaum betroffen. Tengs Satz vom Juli klingt seither anders: Das höhere Risiko lag diesmal nicht in den Wallets der Kunden, sondern in einer Hot Wallet der Börse. Fachleute sagten CNBC, auch die US-Aufsicht hätte diesen Vorfall nicht verhindert, weil er mit einem Laptop begann. Regeln zu Geldwäsche, Kundenvermögen und Transparenz erzeugen Prüfberichte. Widerstandsfähigkeit erzeugen sie nicht.

Auf jeden großen Vorfall folgt der Ruf nach mehr Regeln, mehr Zertifikaten, mehr Nachweisen. Der Fall Binance widerlegt diesen Reflex. Binance war zertifiziert, geprüft und beaufsichtigt. Der Täter war namentlich bekannt, seine Techniken katalogisiert. Nichts davon spielte in den 31 Minuten eine Rolle, in denen es darauf ankam. Compliance allein stoppt keine Angreifer.

Der Fehler liegt in der Reihenfolge. Wer mit dem Kontrollkatalog beginnt, verteidigt sich gegen die Norm. Wer mit dem Angreifer beginnt, verteidigt sich gegen den Angreifer.

Threat-Informed Defense beantwortet drei Fragen: Wer greift uns an? Wie erkennen wir ihn? Was tun wir, damit er scheitert? Binance konnte die erste beantworten. An den beiden anderen ist es gescheitert, wie Bybit, DMM, Drift, KelpDAO und Bitget vor ihm. Was das verlangt, steht in diesem Fall; die acht Maßnahmen, die daraus folgen, stehen am Anfang dieses Advisorys, jede einem Akt der Angriffskette zugeordnet.

Die Lehre reicht über Krypto hinaus. Dieselben Techniker, Signatursysteme und Cloud-Sitzungen gibt es in jeder Bank und jeder Versicherung. Der Unterschied liegt nicht in der Zahl der Regeln, sondern darin, was sie prüfen: Vorhandensein oder Wirkung. Die europäische Finanzaufsicht hat das verstanden: DORA verlangt von großen Finanzunternehmen Tests, bei denen die Techniken realer Angreifer gegen die eigene Organisation nachgestellt werden. Das ist Threat-Informed Defense mit Gesetzeskraft.

Binance wusste, wer kommt. Es wusste, wie. Es war zertifiziert. Und es verlor in einer Nacht 6,36 Milliarden Dollar an einen Gegner, vor dem das FBI viereinhalb Jahre zuvor gewarnt hatte. Das Zertifikat hat Binance noch. Das Geld hat Nordkorea.

Vorbehalte zur Faktenlage (Stand 1. November 2026). Der Einstieg über den DevOps-Laptop stammt bisher allein von Binance; ein technischer Abschlussbericht ist angekündigt. Die Einschätzung zur Signaturinfrastruktur ist eine Bewertung von TRM Labs. Die Attribution zu TraderTraitor trifft TRM mit hoher Konfidenz, das FBI bestätigt nordkoreanische Akteure. Die Verbindung zu Bitget, die BitOK zieht, ist eine analytische Zuordnung, keine bewiesene Identität. Drift wird von Drift und SEAL 911 dem Cluster UNC4736 zugeordnet, nicht TraderTraitor; die Nordkorea-Zuordnung von Bitget ist unbestätigt. Die Zertifizierungsangaben beruhen auf Binance-Pressemitteilungen von 2019 und 2023; ob sie 2026 gültig sind und die Wallet-Infrastruktur umfassen, ist nicht veröffentlicht. Alle Schadenssummen sind Bewertungen zum Zeitpunkt des Abflusses. Die Zeiten der Nacht stammen aus TRM Labs, Elliptic, Bitquery, BitOK und den Mitteilungen von Binance, der Zeitpunkt der Auszahlungspause aus Presseberichten. Technik-IDs nach MITRE ATT&CK Enterprise.

ATT&CK

MITRE-Wissensbasis für Angreifertaktiken und -techniken; T-Nummern bezeichnen Techniken

Attribution

Zuordnung eines Angriffs zu einem Akteur, mit Angabe der Sicherheit

Cold Wallet

Wallet ohne Verbindung zum Netz, für die Verwahrung großer Bestände

DevOps

Teams, die Software entwickeln und die Systeme betreiben, auf denen sie läuft; sie haben oft weitreichende Rechte

Emittent

Firma, die einen Stablecoin herausgibt und seine Token sperren kann

Hot Wallet

Wallet, die ständig am Netz hängt, damit die Börse daraus Auszahlungen bedienen kann

MFA

Mehrfaktor-Authentifizierung

RGB

Reconnaissance General Bureau, Nordkoreas Auslandsgeheimdienst

Session-Cookie

Sitzungsdaten nach erfolgreicher Anmeldung; wer sie stiehlt, braucht weder Passwort noch zweiten Faktor

Stablecoin

Token mit festem Wert, meist an den US-Dollar gekoppelt, etwa Tether (USDT) oder USD Coin (USDC)

Threat-Informed Defense

Verteidigung, die beim bekannten Vorgehen realer Angreifer ansetzt statt beim Kontrollkatalog

TLP

Traffic Light Protocol: Kennzeichnung, wie weit Informationen geteilt werden dürfen

TTP

Tactics, Techniques, Procedures: Vorgehensweisen von Angreifern