Das FBI erklärte, dass am oder um den 29. Oktober 2026 mehr als 6 Milliarden US-Dollar in virtuellen Vermögenswerten von Binance gestohlen worden seien. Die Behörde schrieb den Angriff Nordkorea zu und bezeichnete die Aktivität als TraderTraitor. Gemeinsam mit dem U.S. Secret Service und IRS Criminal Investigation beobachtete das FBI, dass die gestohlenen Vermögenswerte vor allem in Ether umgewandelt wurden. Die FBI-Mitteilung erschien am 31. Oktober.

Was die Ermittler beim Geldfluss beobachteten

Nach Angaben des FBI stellten die Ermittler zunächst vor allem eine Umwandlung der gestohlenen Vermögenswerte in Ether fest. Ether ist die Kryptowährung der Ethereum-Blockchain. Der Befund beschreibt eine beobachtete Bewegung der Gelder nach dem Diebstahl.

NeoTeo hatte zuvor Binances Darstellung des Zugriffs auf den internen Signaturdienst behandelt. Dieser Beitrag nimmt den von den Behörden beschriebenen Geldfluss in den Blick.

Welche weiteren Schritte das FBI erwartete

Das FBI erwartete, dass die Täter die Vermögenswerte anschließend über DeFi-Dienste und Instant-Swap-Angebote weiter umwandeln würden, um sie später zu waschen. DeFi steht für dezentrale Finanzdienste; Instant Swaps ermöglichen den schnellen Tausch von Kryptowährungen. Die Behörde beschrieb diese Schritte als erwartete nächste Phase.

Für die Einordnung zählt der Zeitstatus: Die Umwandlung in Ether beobachteten die Ermittler, weitere Schritte über DeFi und Instant Swaps erwarteten sie.

Was die Zuschreibung an TraderTraitor bedeutet

Das FBI machte Nordkorea für den Angriff verantwortlich und gab der konkreten Aktivität den Namen TraderTraitor. CoinDesk berichtete, Nordkorea habe die Verantwortung zurückgewiesen. Die Zuschreibung und die Zurückweisung stammen damit von unterschiedlichen Akteuren.

Was über den Zugang berichtet wurde

Laut einem CoinDesk-Bericht schilderte Binance-Sicherheitschef Jimmy Su, ein Ingenieur sei im September von einer Person angesprochen worden, die sich als Projektleiter ausgegeben habe. Später habe der Ingenieur eine Programmieraufgabe erhalten, die Schadsoftware enthalten habe. Der Bericht beschreibt diesen Rekrutierungsansatz als Zugangsgeschichte zum Angriff.