Über sechs Milliarden Dollar betroffen, rund 2,85 Milliarden eingefroren oder abgefangen – und ein Verdacht gegen Nordkorea: Nach dem Angriff auf die Kryptobörse Binance geht es um mehrere unterschiedliche Fragen. Das FBI schreibt den Angriff nordkoreanischer Cyberaktivität zu. Nordkorea bestreitet die Verantwortung. Wie viel von den betroffenen Vermögenswerten die Angreifer letztlich nutzen können und wofür genau, ist öffentlich nicht belegt.
Ausgangspunkt dieses Dokumentenchecks ist der schriftliche SRF-Bericht vom 3. November 2026. Wir gleichen seine Einordnung mit der Mitteilung des FBI, dem Bericht von Binance und weiteren Unterlagen ab. Der Vorfall wird noch untersucht; Zahlen und technische Bewertungen können sich ändern. Stand: 4. November 2026.
1. Macht das FBI Nordkorea für den Angriff verantwortlich?
Ja, als behördliche Zuschreibung. Das FBI erklärte am 31. Oktober, Nordkorea sei für den Diebstahl von mehr als sechs Milliarden US-Dollar in virtuellen Vermögenswerten bei Binance verantwortlich. Die Behörde bezeichnet die von ihr beobachtete Cyberaktivität als „TraderTraitor“ und nennt damit verbundene digitale Adressen.
Der SRF-Bericht und Associated Press berichten zugleich, dass Nordkoreas Führung die Verantwortung bestreitet. Die Erklärung des FBI ist ein gewichtiger öffentlicher Ermittlungsstand. Sie ist jedoch kein rechtskräftiges Urteil gegen bestimmte Personen und legt die vollständige interne Befehlskette nicht offen. Das Dementi ist ebenfalls dokumentiert; es beweist für sich genommen nicht, dass die Zuschreibung falsch wäre.
2. Sind ungefähr sechs Milliarden Dollar betroffen – und etwa die Hälfte blockiert?
Die Größenordnung ist durch den Börsenbericht gestützt.SRF spricht von rund sechs Milliarden Dollar und einer ungefähr zur Hälfte eingefrorenen Summe. Im vorläufigen Binance-Bericht vom 3. November beträgt der Wert der betroffenen digitalen Vermögenswerte rund 6,34 Milliarden US-Dollar. Davon seien etwa 2,85 Milliarden eingefroren oder abgefangen worden.
Rechnerisch sind 2,85 von 6,34 Milliarden rund 45 Prozent – knapp die Hälfte. Die Zahlen sind eine Momentaufnahme, die laut Binance noch abgestimmt werden muss und von Marktpreisen abhängt. Das unabhängige Analyseunternehmen Elliptic berichtet ebenfalls von 2,85 Milliarden Dollar blockierten beziehungsweise sichergestellten Werten, verwendet aber eine abweichende Gesamtbewertung und einen anderen Stand. Unterschiedliche Beträge sind deshalb nicht ohne Weiteres ein Widerspruch.
Eingefroren oder abgefangen heißt zunächst, dass betroffene Werte blockiert oder gestoppt wurden. Es heißt nicht automatisch, dass sie bereits endgültig zurückgegeben sind. Auch umgekehrt ist die rechnerische Differenz nicht gleich einem Betrag, den die Angreifer nachweislich schon ausgezahlt, frei verwendet oder nach Nordkorea gebracht hätten.
3. Was ist über den Angriff und die Folgen für Nutzer bekannt?
Nach dem Bericht von Binance nutzten Angreifer unberechtigten Zugriff auf einen internen Dienst, der Transaktionen aus Wallets autorisiert. Sie bewegten Werte aus mehreren mit dem Internet verbundenen Unternehmens-Wallets. Ein solches Wallet verwaltet die Berechtigungen für Kryptowerte; es ist nicht dasselbe wie ein einzelnes Kundenkonto. Aus dem veröffentlichten Bericht folgt nicht, dass jedes Kundenkonto individuell übernommen wurde.
Binance beschreibt eine mehrstufige Vorbereitung und kompromittierte Geräte und kündigt eine weitere unabhängige Überprüfung an. Die Börse erklärt zudem, den finanziellen Schaden aus eigenen Mitteln zu tragen. Das Ersetzen von Vermögenswerten durch das Unternehmen ist von der Frage zu trennen, welche Werte bei den Angreifern blockiert oder später zurückerlangt werden.
Bei öffentlichen Blockchains lassen sich viele Transaktionen und Adressen einsehen; der Name hinter einer Adresse steht damit nicht automatisch fest. Das FBI berichtet über beobachtete Umwandlungen und bittet Anbieter, mit dem Diebstahl verbundene Transaktionen zu blockieren. Geldbewegungen können die Zuordnung erschweren, machen die Spur aber nicht zwangsläufig unsichtbar.
4. Ist belegt, dass genau dieses Geld Waffen finanziert?
Für die konkrete Verwendung des Binance-Geldes fehlt ein öffentlicher Nachweis. Der SRF-Bericht ordnet Kryptodiebstahl als Finanzierungsquelle Nordkoreas ein und nennt Rüstungsprogramme. Diese allgemeine Einordnung hat einen Hintergrund: Ein UN-Sachverständigengremium untersuchte 2024 insgesamt 58 mutmaßliche Cyberangriffe auf Kryptounternehmen aus den Jahren 2017 bis 2023 mit einem geschätzten Wert von ungefähr drei Milliarden Dollar. Das Gremium berichtet von Hinweisen, dass solche Mittel zur Entwicklung von Massenvernichtungswaffen beitragen können.
Die 58 Fälle waren Gegenstand von Untersuchungen; sie waren damit nicht alle einzeln abschließend bewiesen. Der Binance-Angriff von 2026 liegt außerhalb des untersuchten Zeitraums. Angaben einzelner Staaten zum Anteil solcher Einnahmen am nordkoreanischen Haushalt oder an Waffenprogrammen sind Schätzungen, keine unabhängig geprüfte Abrechnung. Aus den vorliegenden Dokumenten lässt sich kein bestimmter Betrag für ein konkretes Rüstungsprojekt beziffern.
5. Was ist über die genannten Hackergruppen bekannt?
Frühere US-Dokumente stützen eine staatliche Zuordnung bestimmter Gruppen; die Befehlskette im aktuellen Fall bleibt offen. SRF beschreibt eine staatlich-militärische Struktur namens Büro 121. Das US-Finanzministerium ordnete 2019 Lazarus, Bluenoroff und Andariel dem nordkoreanischen Auslandsnachrichtendienst zu und verhängte Sanktionen. Ein US-Army-Handbuch von 2020 nennt Büro 121 im Zusammenhang mit nordkoreanischen Cyberoperationen; das verlinkte Dokument ist eine externe Spiegelung des US-Originals.
Diese Quellen geben frühere US-Einschätzungen wieder. Sie belegen nicht für sich den vollständigen heutigen Organisationsplan und nicht, wer welchen Schritt beim Binance-Angriff befahl. Das FBI verwendet für die aktuelle Cyberaktivität die Bezeichnung TraderTraitor. Einzelne namentliche Verantwortlichkeiten lassen sich daraus nicht automatisch ableiten.
Zum Vergleich: Beim Angriff auf die Kryptobörse Bybit im Februar 2025 nannte das FBI rund 1,5 Milliarden Dollar und schrieb ihn ebenfalls nordkoreanischer Cyberaktivität zu. Die von Binance genannte Größenordnung liegt deutlich darüber. Daraus allein folgt kein belegter Rekord für alle Diebstähle in der Geschichte.
Fazit: Die Größenordnung ist dokumentiert, der Geldweg bleibt offen
Die Angaben von Binance stützen die Größenordnung des Angriffs und die ungefähre Einordnung der blockierten Werte. Die FBI-Zuschreibung ist eine konkrete behördliche Bewertung, der Nordkorea widerspricht. Frühere UN-Untersuchungen geben Anlass, die Finanzierung staatlicher Programme ernsthaft zu prüfen. Sie belegen jedoch nicht, welcher Teil der Vermögenswerte aus diesem Vorfall tatsächlich bei der Regierung ankommt oder für bestimmte Waffen verwendet wird.