Binance-Hack über 6,3 Mrd. $: TRM Labs nennt es 'Cyberkrieg' und fordert offensive Regierungsmaßnahmen

TRM Labs' globaler Leiter für Politik und Regierungsbeziehungen, Ari Redbord, hat den Diebstahl von 6,3 Mrd. $ bei Binance als "Cyberkrieg" charakterisiert und Regierungen aufgefordert, offensive Cyberoperationen gegen die Hacking-Infrastruktur Nordkoreas durchzuführen. Er argumentiert, dass der beispiellose Erfolg der Branche, 40 % der gestohlenen Gelder einzufrieren, ein Regime nicht abschrecken werde, für das Krypto-Diebstahl rund ein Drittel des BIP ausmacht.

Wichtigste Erkenntnisse

Nordkoreanische Gruppe TraitorTrader für 6,3-Mrd.-$-Binance-Hack (achtwöchiger Einbruch via Recruiter-Social-Engineering und kompromittiertes KI-Tool) und 1,5-Mrd.-$-Bybit-Hack im Februar 2025 verantwortlich.
Branche fror ~2,67 Mrd. $ (40 % der Beute) in beispielloser Koordination ein; Tether blockierte 971,1 Mio. USDT innerhalb von 37 Minuten via TRM Beacon Network.
Angriff entspricht ~1/3 von Nordkoreas BIP und 50 % aller staatlich gestützten Krypto-Diebstähle seit 2017 (gesamt 12,5 Mrd. $); Redbord: defensives Einfrieren allein schreckt nicht ab.
T3 Financial Crime Unit (TRM, Tron, Tether) löste sich August 2025 wegen Koordinationsversagens auf; Tether arbeitet weiter via Beacon.
Redbord fordert staatliche offensive Cyberoperationen, KI-gestützte Verteidigungsparität und Vorgehen gegen Waschstraßen; Fed/OCC prüfen US-Banken-Engagements.

INTELLIGENCE

Executive Intelligence Brief

Was geschah: TRM Labs' Ari Redbord characterized the $6.3 billion Binance hack as 'cyber war' and called for offensive government cyber operations against North Korean state-backed hackers, following an unprecedented industry response that froze 40% of stolen funds.

Warum es wichtig ist: The attack, attributed to North Korea's TraitorTrader group, represents roughly one-third of the country's GDP and half of all state-backed crypto theft since 2017, demonstrating that defensive coordination alone cannot deter adversaries with asymmetric economic incentives.

Ausblick & Beobachtungspunkte: Monitor for government offensive cyber policy shifts; track TRM Beacon Network adoption and T3 Financial Crime Unit dissolution fallout; watch for Binance post-mortem security implementations and potential regulatory action on exchange hot-wallet controls.

Angriffsmechanik und Attribution

Binance legte in einer Post-Mortem-Analyse vom 3. November dar, dass sich Angreifer als Recruiter ausgaben, um Malware auf dem Arbeitscomputer eines Ingenieurs zu platzieren, und anschließend ein kompromittiertes internes KI-Tool nutzten, um auf den Wallet-Signing-Service der Börse zuzugreifen. Das Eindringfenster erstreckte sich laut der Blockchain-Sicherheitsfirma SEAL über acht Wochen vor dem Exploit. Binance-Hacker hielten sich acht Wochen im System auf, bevor sie 6,3 Mrd. $ erbeuteten – SEAL-Schätzung. TRM Labs schrieb den Angriff einer nordkoreanischen Gruppe zu, die sie als TraitorTrader trackt, und verwies auf "unbestreitbare" Onchain- und Offchain-Beweise. Dieselbe Gruppe wurde mit dem 1,5-Mrd.-$-Hack bei Bybit im Februar 2025 in Verbindung gebracht.

Redbord merkte an, dass Nordkoreas Diebstahl vom 29. Oktober die Hälfte der 12,5 Mrd. $ ausmachte, die staatlich unterstützte Hacker seit 2017 erbeutet haben. "Selbst wenn die Angreifer nur 1 Mrd. $ realisieren können, bleibt der potenzielle Gewinn enorm," sagte er. "Nordkorea wird das so lange fortsetzen, wie es effektiv ist."

Beispiellose Branchenkoordination

Die Geschwindigkeit der Branchenreaktion markierte einen Wendepunkt. Tether fror 971,1 Mio. USDT innerhalb von 37 Minuten nach dem Hauptabfluss ein. Die kombinierten Einfrierungen der Stablecoin-Emittenten beliefen sich auf rund 2,67 Mrd. $, was 40 % des gestohlenen Betrags entspricht. "So etwas ist noch nie dagewesen," sagte Redbord. "Sie konnten 40 % direkt am Start zurückholen."

Die Koordination wurde durch TRMs Beacon Network ermöglicht, ein 2025 gestartetes Intelligence-Sharing-System. "Normalerweise sehe ich vielleicht ein paar Beacon-Alerts pro Tag. In den letzten Tagen waren es hunderte, vielleicht sogar tausend," sagte Redbord. Das Netzwerk ermöglichte es Unternehmen, Gelder zu immobilisieren, bevor sie an die Beschlagnahmung gingen.

Strukturelle Lücken und die Auflösung der T3 Unit

Trotz des Koordinationserfolgs bestehen strukturelle Schwächen fort. Bloomberg berichtete am 4. November, dass die T3 Financial Crime Unit – gegründet von TRM, Tron und Tether im September 2024 – sich Ende August 2025 auflöste; Quellen nannten langsame Reaktionen und schlechte Koordination. Tether erklärte, die Zusammenarbeit mit TRM über Beacon fortzusetzen. Die Auflösung wirft Fragen zur Haltbarkeit öffentlich-privater Partnerschaften ohne formale Governance auf.

TRMs Kapazitätslücken-Report zeigte, dass die Asymmetrie zwischen Angreifern und Verteidigern zunimmt, getrieben durch die frühe Einführung von Frontier-Technologien wie KI durch Hacker. Redbord argumentierte, dass Strafverfolger und Compliance-Teams über gleichwertige KI-Fähigkeiten verfügen müssen, um Schwachstellen in der Geschwindigkeit zu finden und zu patchen, in der Angreifer sie ausnutzen.

Politische Implikationen und Ausblick

"Jedes Mal, wenn Nordkorea hackt, sollten wir zurückhacken," sagte Redbord und forderte offensive Cyberoperationen sowie Maßnahmen gegen Waschstraßen und Banken, die für Cash-outs genutzt werden. Fed und OCC haben laut Berichten begonnen, US-Banken auf Engagements nach dem Hack zu prüfen. Die regulatorische Aufsicht über Börsen-Hot-Wallet-Kontrollen und die Governance interner KI-Tools wird sich voraussichtlich verschärfen. Die TraitorTrader-Attribution könnte, falls von Strafverfolgern bestätigt, Sanktionen auslösen und nordkoreanische Finanznetzwerke weiter isolieren. Binance-Hack über 6,3 Mrd. $ deckt Kontrolllücken bei Hot Wallets von Krypto-Börsen auf.