Binance-Hack 2026: Lässt sich die Beute trotz Meme-Coins noch verfolgen?

Die Geldwäscher der Binance-Beute haben vom 5. bis 7. November 2026 mindestens sechs eigene Meme-Tokens auf NEAR erstellt und gestohlene Mittel durch deren Pools geschleust. Das dokumentiert die Analysefirma Elliptic. Ihr Schluss zählt für Binance-Kunden und alle, die Krypto halten: Die Spur bleibt on-chain verfolgbar, der Umweg bremst die Ermittler nur.

Binance-Hack 2026: Lässt sich die Beute trotz selbst erstellter Meme-Coins noch verfolgen?

Ja, mit einem Haken. Gestohlen wurden die Kryptowerte bei Binance am 29. Oktober 2026 zwischen 20:05 und 23:56 UTC. Elliptic zählt 6,43 Mrd. US-Dollar auf 11 Blockchains, Chainalysis rund 6,4 Mrd. US-Dollar.

Am Abend des 31. Oktober 2026 schrieb das FBI den Diebstahl nach Elliptics Darstellung der Gruppe TraderTraitor zu und veröffentlichte die Adressen des Angreifers. Chainalysis führt TraderTraitor als nordkoreanische Cybercrime-Gruppe.

Die Wäsche läuft über Pools, die die Geldwäscher selbst anlegen

Kern der Methode ist ein Liquiditätspool, ein Topf aus zwei Token, gegen den jeder tauschen kann. Eine Gruppe von Wallets zahlt gestohlene Mittel in den Pool ein und erhält dafür den neuen Token. Eine zweite Gruppe verkauft ihn in denselben Pool zurück und zieht das echte Asset ab. Die Analysefirma ChainAnalyzer bestätigt den Kern: Käufer und Verkäufer verbindet keine direkte Überweisung, dazwischen liegt der Pool.

Die sechs Tokens heißen FUK, OLCCL, MEILI, MMLI, DABI und SINU. Jeder ist mit NEAR in einem eigenen Pool auf Ref Finance gepaart, einer dezentralen Börse auf NEAR. Die Erstellung eines Tokens kostet etwa 25 NEAR, rund 90 US-Dollar. Das ist billig genug, um ihn nach Gebrauch fallen zu lassen.

Auffällig ist der Aufbau der Tokens, den ChainAnalyzer als untypisch beschreibt. Das Emittentenkonto befüllte jeden Pool selbst mit 40 bis 374 NEAR. Es hält noch 80 bis 99,99 Prozent des Angebots, und kein Token hat mehr als 15 Halter.

Wie wenig der Umweg kostet, zeigt ein Vergleich. Jeder Token kostete etwa 25 NEAR. Über die sechs Pools zählt ChainAnalyzer bis 9. November 2026, 23:00 UTC, Käufe von rund 143.700 NEAR und Verkäufe von rund 143.100 NEAR. Dieselben NEAR können dabei mehrfach umlaufen; das Volumen entspricht etwa 1 Prozent der 12.410.067 NEAR, die auf NEAR gestohlen wurden.

Hältst du selbst Meme-Coins auf NEAR, liegt die Frage nahe, ob du mit diesen Pools in Berührung gekommen bist. Elliptic ordnet alle Verkäufe aller sechs Tokens und alle Käufe von fünf davon dem Geldwäschenetzwerk zu. Fremde Aktivität sieht die Firma nur bei FUK: wenige kleine Käufe am ersten Tag, weniger als 1 Prozent des FUK-Volumens. ChainAnalyzer beziffert Trades anderer Konten auf zusammen unter 1.000 NEAR und lässt offen, ob sie zur Operation gehören.

Beim Handelsende widersprechen sich die beiden Firmen. Elliptic meldet seit dem 8. November 2026 keinen Handel mehr, ChainAnalyzer sieht noch am 9. November Handel. Einig sind sich beide beim Abzug: Die Ersteller von vier Tokens holten am 8. November die Restliquidität aus ihren Pools, laut ChainAnalyzer jeweils 265 bis 419 NEAR.

Elliptic hat die Technik schon vorher beobachtet. Nach dem Bybit-Hack 2025 bewegten die Geldwäscher mit einem selbst erstellten wertlosen Token auf Tron, gepaart mit einem Stablecoin, mindestens 24 Mio. US-Dollar. Im Binance-Fall identifizierte die Firma am 2. November 2026 einen eigens zur Geldwäsche erstellten wertlosen Token auf Tron. Am 3. November wanderten gestohlene SOL in bestehende, dünn gehandelte Tokens auf Solana.

Die Spur ist sichtbar, aber nur rückwärts

ChainAnalyzer schränkt Elliptics Befund ein. Wer den Angreiferkonten Schritt für Schritt vorwärts folgt, sieht die Verbindung zwischen Käufer und Verkäufer nicht. Gefunden hat die Firma die sechs Tokens über eine Rückwärtsanalyse: Sie prüfte neu angelegte Pools auf Ref Finance und ging von dort zurück zu den Geldgebern.

Die Geldwäscher nutzten Token-Tool, Börse und Wallet-App wie jeder andere Nutzer. Elliptic hält ausdrücklich fest, dass die Anbieter kein Fehlverhalten trifft.

Bei der Täterfrage zieht Elliptic selbst eine Grenze: Die Blockchain zeigt die Wallets, nicht die Menschen dahinter. Auch eine Übergabe an chinesische Geldwäschenetzwerke ließe sich on-chain nicht feststellen. Chainalysis schreibt den Hack in einer Einschätzung vom 30. Oktober 2026 TraderTraitor zu. Als stärksten Beleg nennt die Firma die on-chain beobachtete Vermischung mit Geldern aus dem Bitget-Diebstahl vom September 2026, der Nordkorea zugeschrieben wird.

Elliptic, Chainalysis und ChainAnalyzer sind Analysefirmen mit eigenem Produktinteresse. Die Zahlen von Elliptic und ChainAnalyzer weichen beim Handelsende und bei den unbewegten NEAR voneinander ab.

Ein Teil fließt über Chainflip in Bitcoin, rund 44 Prozent sind gestoppt

ChainAnalyzer verfolgte, wie am 8. und 9. November 2026 rund 310.000 USDC an drei Ethereum-Adressen gingen, je etwa 96.000 bis 110.000 USDC. Von dort flossen sie an Einzahlungsadressen von Chainflip, einem Tauschdienst zwischen Blockchains, zum Tausch in Bitcoin. Ein Teil dieser USDC stammt aus anderen Quellen als den Meme-Coins.

Die Bitcoin gingen an 20 Adressen. Börseneinzahlungen fand ChainAnalyzer dort bis 9. November nicht. Ab dort vermischen sich die Mittel mit anderem Geld, und die Zurechnung zur Route endet.

Auch insgesamt landet umgewandelte Beute in Bitcoin: Rund 3.000 BTC, etwa 225 Mio. US-Dollar, liegen laut Elliptic in neuen Bitcoin-Adressen. Sie stammen aus anderen gestohlenen Werten und sind von den ursprünglich gestohlenen Bitcoin getrennt. Für die gesamte Wäsche zählt Elliptic seit dem Diebstahl mehr als 20.000 Wallets auf 16 Blockchains, mindestens 36 Dienste und mindestens 65.000 Transaktionen. Ausgezahlt ist nach Elliptics Einschätzung bis 9. November 2026 wahrscheinlich nur ein vernachlässigbarer Teil; meist handle es sich um Umwandlungen auf öffentlichen Blockchains.

Elliptic führt zum Stand 9. November 2026, 13:15 UTC, 2,85 Mrd. der 6,43 Mrd. US-Dollar als eingefroren oder beschlagnahmt, rund 44 Prozent. Chainalysis nannte zum 3. November rund 2,8 Mrd. US-Dollar. Weitere rund 3,0 Mrd. US-Dollar liegen in Adressen, die mit dem Diebstahl verknüpft sind, überwiegend als ETH und BTC. Den größten Teil davon hält Elliptic für sehr wahrscheinlich noch in nordkoreanischer Hand.

Für Binance-Kunden gibt es zur Erstattung eine Zahl aus zweiter Hand: heise berichtet, Binance habe die betroffenen Bestände nach eigenen Angaben inzwischen zu 98 Prozent ersetzt. Was Binance seinen Kunden zugesagt hat, fasst das Update zu den Binance-Zusagen zusammen. Wie es mit der Erstattung weitergeht, steht im Überblick, wann Binance-Kunden wieder an ihr Geld kommen.

Woran du erkennst, ob die Route weiterläuft

Die wichtigste Beobachtungsgröße ist das erste Empfangskonto auf NEAR. ChainAnalyzer zählt bis 9. November 2026 rund 786.000 NEAR, die es verlassen haben, und rund 11,62 Mio. NEAR, die dort unbewegt liegen. Elliptic beziffert die noch nicht bewegten NEAR aus dem Diebstahl auf rund 11,8 Mio., etwa 43,7 Mio. US-Dollar. Den Stand kannst du in der fortlaufend aktualisierten Elliptic-Analyse und auf der Vorfallseite von ChainAnalyzer nachlesen.

Für das Tempo gibt es einen Vergleichswert aus früheren Fällen. Chainalysis beschreibt für große nordkoreanische Diebstähle von 2022 bis 2025 ein typisches mehrstufiges Waschmuster über rund 45 Tage. Teile der Beute blieben dabei teils Monate oder Jahre unbewegt. Für die Binance-Beute bleibt das ein Rückblick, kein Fahrplan.

Elliptic nennt vier Warnzeichen für solche Pools. Dazu zählen frisch erstellte Tokens, Pools mit wenigen handelnden Wallets, getrennte Käufer- und Verkäufer-Wallets und kurz vor dem Handel finanzierte neue Wallets. Dir hilft die Liste, Meldungen über verdächtige Pools einzuordnen. Als Unbedenklichkeitstest für Tokens ohne diese Merkmale taugt sie nicht.

Offen ist, ob es neben den mindestens sechs bekannten Tokens weitere gibt und ob die unbewegten NEAR denselben Weg nehmen.