Nicht die KI hat Binance geknackt, sondern ein Laptop

Als ich zum ersten Mal davon hörte, kam die Geschichte schon mit einer KI daher: Jemand habe Binance mit Hilfe künstlicher Intelligenz um einige Milliarden Dollar erleichtert. Das klang plausibel, was 2026 ungefähr alles ist, was eine Geschichte zum Reisen braucht, und ich hatte sie im Kopf schon weitererzählt, bevor ich ein einziges Detail geprüft hatte. Nach allem, was man heute weiss, ist es so nicht gewesen.

Was passiert ist

Am 29. Oktober verliessen rund 6,36 Milliarden Dollar die Wallets von Binance, verteilt auf zehn Blockchains, der grösste Teil innerhalb von etwa zwanzig Minuten. Der bisherige Rekord, der Bybit-Diebstahl vom Februar 2025, lag bei 1,5 Milliarden. Der vorläufige Befund von Binance ist fast enttäuschend gewöhnlich: Die Angreifer übernahmen den Laptop eines DevOps-Ingenieurs und erreichten darüber einen internen Dienst, der Auszahlungssignaturen anfordern durfte. Auf Ethereum nutzten sie dann EIP-7702, eine Funktion, die 2025 ins Protokoll kam, um sich die Kontrolle über eine Hot Wallet zu verschaffen, an den normalen Freigabekontrollen von Binance vorbei.

Die Blockchain-Analysten von TRM Labs und Chainalysis schreiben den Angriff TraderTraitor zu, einer nordkoreanischen Einheit, die auch hinter Bybit stand. Binance hat das nicht bestätigt, hat die Auszahlungen pausiert, 6,34 Milliarden Dollar für die Entschädigung der Kundschaft zurückgelegt und inzwischen weitere Einbruchstellen gefunden. Das alles ist der Stand vom 31. Oktober, und einiges davon wird sich noch bewegen.

Woher die KI-Geschichte kommt

Das einzige maschinenhafte Detail liegt bisher am anderen Ende: Chainalysis beobachtet beim Waschen der Beute tausende Transaktionen in kurzer Zeit, was auf Automatisierung hindeutet. Automatisierung ist aber nicht dasselbe wie KI, und ein Skript, das Geld auf viele Adressen verteilt, gibt es, seit es Geld gibt, das sich zu verteilen lohnt.

Die Ironie liegt woanders. Am 23. Oktober, sechs Tage vor dem Diebstahl, meldete Binance, seine KI-gestützten Sicherheitssysteme hätten im ersten Halbjahr Verluste von rund 4,6 Milliarden Dollar verhindert. Ich habe keinen Grund, an der Zahl zu zweifeln. Nur schauen diese Systeme darauf, ob Kundinnen und Kunden hereingelegt werden, auf Phishing, auf betrügerische Überweisungen. Die Vordertür wurde von hundert Modellen bewacht. Die Angreifer kamen durch den Personaleingang.

Könnte das auch einer Bank passieren?

Der Einbruch selbst, ja. 2016 stahl die Lazarus-Gruppe, aus derselben Familie wie TraderTraitor, über das SWIFT-Netz 81 Millionen Dollar von der Zentralbank von Bangladesch. Der Unterschied liegt weniger im Hineinkommen als im Danach. Eine Banküberweisung läuft durch Clearing, Limiten und Korrespondenzbanken, und unterwegs lässt sie sich oft noch stoppen oder zurückholen. In Bangladesch kam der grösste Teil der fast einen Milliarde, die die Angreifer bewegen wollten, nie an, unter anderem weil jemandem ein Tippfehler im Namen eines Empfängers auffiel.

Eine Blockchain-Transaktion ist nach Sekunden endgültig. Dass mehrere Milliarden der Binance-Beute eingefroren werden konnten, ist vor allem Stablecoin-Herausgebern wie Tether zu verdanken, die ihre eigenen Token sperren können. Gerettet haben also zentrale Stellen, was für eine Branche, die angetreten ist, zentrale Stellen überflüssig zu machen, ein etwas unbequemes Ergebnis ist.

Entschädigung ist kein Sicherheitskonzept

Binance kann zahlen, weil Binance sehr gross ist. Das beruhigt die Kundschaft diese Woche, und es ist zugleich das ganze Problem: Der Schutz kam aus der Bilanz des Unternehmens, nicht aus der Bauweise seiner Systeme. Eine kleinere Börse mit demselben Laptop und denselben zwanzig Minuten würde keine Erklärungen zur Entschädigung herausgeben. Es gäbe sie einfach nicht mehr. Und selbst bei Binance heisst «Ihr Geld ist sicher» derzeit «Ihr Geld ist sicher, Sie kommen nur gerade nicht dran», ein Satz, der auch auf einen Tresor zutrifft, dessen Schlüssel verlegt wurde.

Wo man seinen Tresor kauft

Die naheliegende Antwort auf all das wäre, seine Coins gar nicht erst auf einer Börse liegen zu lassen, sondern auf einer Hardware-Wallet in der eigenen Schublade. Das ist vernünftig, solange man sich auch fragt, woher die Schublade kommt. Seit Anfang Oktober verschwindet Geld aus Ledger-Wallets, bisher rund 93 Millionen Dollar. Die Geräte stammten von einem Händler in Malaysia, und jemand hatte sie geöffnet, hinter dem Display ein kleines Modul eingebaut, das beim Einrichten die Wiederherstellungsphrase mitlas, und sie per eSIM über das Mobilfunknetz verschickt. Einige dieser Geräte wurden am Flughafen Changi in Singapur verkauft, an einem Elektronikstand der gehobenen Sorte, also ungefähr dem letzten Ort, an dem man erwartet, mit Quittung bestohlen zu werden. Der Sicherheitschip selbst blieb unberührt, weshalb Ledgers eigene Echtheitsprüfung die Geräte durchwinkte. Der stärkste Teil hielt. Die Verpackung nicht.

Dieselbe Frage gilt übrigens für jedes Plugin, jeden Connector und jeden KI-Agenten, den man installiert: nicht nur, was er kann, sondern woher er kommt.

Was tatsächlich hilft

Nichts davon ist neu, und nichts davon braucht KI.

• Tempolimits für Abflüsse. Kein System sollte in zwanzig Minuten Milliarden bewegen können, ohne dass irgendwo dazwischen ein Mensch Ja sagen muss.
• Wenig Geld in Hot Wallets. Was online signieren kann, lässt sich auch online zum Signieren bringen.
• Freigaben, die sich nicht umgehen lassen. Auch nicht durch neue Protokollfunktionen. EIP-7702 war eine vernünftige Funktion, aber jede neue Funktion ist auch eine neue Tür, und jemand muss prüfen, ob die alten Schlösser noch passen.
• Minimale Rechte für Entwickler-Geräte. Ein einzelner Laptop sollte nicht zwei Schritte von einem Dienst entfernt sein, der Auszahlungen anfordern kann.

Der nächste DevOps-Laptop heisst KI-Agent

Hier hört es auf, eine Krypto-Geschichte zu sein. Viele Unternehmen, auch kleine, geben KI-Agenten gerade Zugriff auf E-Mail, Rechnungen, CRM und da und dort aufs E-Banking. Ein Agent mit Zahlungsrechten ist, funktional betrachtet, genau dieser Laptop: etwas mit Berechtigungen, das sich von jemand anderem zu etwas überreden lässt, heute nicht mehr mit Schadsoftware, sondern mit einem gut platzierten Satz in einer E-Mail oder einem PDF.

Die nützlichen Fragen sind deshalb die alten. Was kann der Agent, im Unterschied zu dem, was er soll? Gibt es ein Tageslimit? Bestätigt ein Mensch alles, was sich nicht rückgängig machen lässt? Und wer würde es innerhalb von zwanzig Minuten merken?

Die Regeln, die Binance geholfen hätten, sind älter als Binance, was ich gleichzeitig ein wenig deprimierend und ein wenig beruhigend finde. Man muss sie nur auch auf den neuen Kollegen anwenden, den, der nie schläft und alles glaubt, was er liest.