FBI bittet Privatsektor, Transaktionen zum Binance-Hack zu blockieren

Maya Collins Maya Collins

Geprüft von der NV Global Redaktion

Orangefarbene Kugel im Zentrum eines Netzes verbundener hellgrauer Kugeln auf einer hellen Fläche

Keine Anordnung: Zum Binance-Hack bitten FBI und zwei Behörden den Privatsektor, Transaktionen mit 628 Adressen oder davon abgeleitete Transaktionen abzulehnen.

Am 31. Oktober 2026 erklärte das FBI, Nordkorea stecke hinter dem Diebstahl von mehr als 6 Milliarden US-Dollar bei Binance. Gemeinsam mit dem US Secret Service (USSS) und der IRS Criminal Investigation (IRS-CI), der Ermittlungsabteilung der US-Steuerbehörde, bat das FBI den Privatsektor eindringlich, Transaktionen mit 628 Adressen sowie von diesen Adressen abgeleitete Transaktionen zu blockieren.

Was geschehen ist

Laut der Warnmeldung, die auf der Seite des FBI für Cyber-Warnmeldungen veröffentlicht wurde, ereignete sich der Diebstahl am oder um den 29. Oktober. Die Warnmeldung schreibt ihn nordkoreanischen Aktivitäten zu, die die Behörde als TraderTraitor bezeichnet. Nach Angaben des FBI haben die Behörde selbst, der US Secret Service (USSS) und die IRS Criminal Investigation (IRS-CI) beobachtet, wie die Akteure die gestohlenen Vermögenswerte überwiegend in Ether umwandelten. Die Warnmeldung fügt hinzu, dass weitere Geldwäsche über DeFi- und Sofort-Tauschdienste erwartet werde.

Die drei Behörden „bitten Akteure des Privatsektors eindringlich“ (aus dem Englischen übersetzt), Transaktionen mit den aufgeführten Adressen sowie von diesen abgeleitete Transaktionen zu blockieren. Der Aufruf der Warnmeldung zur Blockierung ist eine Bitte, keine Anordnung. Die Warnmeldung nennt mehrere Arten von Unternehmen als Beispiele für ihre Adressaten, eingeleitet mit „including“ („darunter“), nicht als abschließende Liste.

Die anschließende Liste umfasst 628 Adressen: 608 auf Ethereum, 19 auf Bitcoin und eine auf Solana. Das FBI erklärt, diese Adressen „halten Vermögenswerte aus dem Diebstahl oder haben sie gehalten“ (aus dem Englischen übersetzt). Es beschreibt sie als „von nordkoreanischen TraderTraitor-Akteuren betrieben oder eng mit ihnen verbunden“ (aus dem Englischen übersetzt).

Die Warnmeldung nennt keine rechtliche Pflicht zur Blockierung, erwähnt keine Sanktionen und sagt nicht, ob Gelder eingefroren oder zurückerlangt wurden.

Warum das wichtig ist

Die Bitte reicht über die 628 Adressen selbst hinaus. Nach unserer Lesart umfasst „derived from“ („abgeleitet von“) Mittel, die diese Adressen verlassen und andere Wallets oder Tauschdienste durchlaufen haben, bevor sie ein Unternehmen erreichen. Eine Prüfung, die nur die unmittelbare Gegenpartei mit einer festen Liste abgleicht, würde solche Mittel nicht erkennen, eine Rückverfolgung über frühere Transfers dagegen schon. Die Warnmeldung erklärt nicht, wie sich solche Mittel beim Screening erkennen lassen.

Das Format ist nicht neu. Am 26. Februar 2025 schrieb das FBI den Diebstahl von rund 1,5 Milliarden US-Dollar bei Bybit TraderTraitor zu. Das FBI veröffentlichte damals 51 Ethereum-Adressen mit einer fast gleichlautend formulierten Bitte – mit „encourages“ („ermutigt“), wo die Binance-Warnmeldung „urging“ („eindringlich bitten“) verwendet. Die Listen der Adressaten unterscheiden sich. Die Bitte im Fall Bybit nannte Börsen und Bridges; die Bitte im Fall Binance nennt THORNode-Betreiber und Sofort-Tauschbörsen, aber keine Bridges.

Die Aktivität wurde auch schon früher zugeordnet. Im Dezember 2024 brachten das FBI, das Cyber Crime Center des US-Verteidigungsministeriums und die japanische Nationale Polizeibehörde sie mit einem Diebstahl bei DMM in Japan in Verbindung. Bei diesem Diebstahl im Mai 2024 wurde Kryptowährung im damaligen Wert von 308 Millionen US-Dollar erbeutet.

Wen es betrifft

  • Akteure des Privatsektors allgemein, an die sich die Bitte richtet
  • Die Arten von Unternehmen, die die Warnmeldung als Beispiele nennt: Sofort-Tauschbörsen, DeFi-Dienste, Betreiber von THORNode- und RPC-Knoten, andere Krypto-Dienstleister (VASP) sowie Unternehmen für Blockchain-Analyse
  • Unternehmen außerhalb der Vereinigten Staaten: Die Warnmeldung beschränkt die Bitte nicht auf bestimmte Länder
  • Compliance-Teams, die bei diesen Unternehmen Listen für das Adress-Screening pflegen

Was Unternehmen tun können

  1. Eine aus der Warnmeldung erstellte Screening-Liste ist nur mit allen 628 Adressen vollständig. Die Bitte umfasst neben dem Ethereum-Abschnitt auch die Abschnitte zu Bitcoin und Solana.
  2. Es empfiehlt sich, festzuhalten, welche Version der Liste wann geladen wurde, denn die Seite einer Warnmeldung kann nach ihrer Veröffentlichung überarbeitet werden.
  3. Sinnvoll ist, eine auf dieser Grundlage vorgenommene Blockierung als Reaktion auf eine Bitte des FBI zu dokumentieren und nicht als Treffer in der Sanktionslistenprüfung: Die Warnmeldung nennt keine Aufnahme in eine Sanktionsliste.
  4. Die Warnmeldung nennt zwei Wege für zugehörige Hinweise: das Internet Crime Complaint Center (IC3) des FBI oder eine örtliche Außenstelle des FBI.

Quellen

Regionen