Diebstahl bei Binance über 6,3 Milliarden Dollar, was dir auf einer Kryptobörse wirklich gehört

03Was der größte Diebstahl bei einer Kryptobörse zu sagen scheint

Am Abend des 29. Oktober 2026 flossen aus Wallets der Kryptobörse Binance in kurzer Folge Kryptowerte in großem Umfang an fremde Adressen. Eine Wallet ist eine Adresse auf der Blockchain, über die nur verfügt, wer den Schlüssel dazu hat. Am Morgen danach bezifferte Binance den Schaden in einer Mitteilung an seine Kunden auf rund 6,3 Milliarden Dollar. Der bisher größte Diebstahl bei einer Kryptobörse, bei Bybit im Februar 2025, lag bei rund 1,5 Milliarden Dollar. Binance hat Ein- und Auszahlungen ausgesetzt, die Berechtigung der betroffenen Adresse widerrufen und Ermittler eingeschaltet. Nach der ersten Untersuchung kam der Angreifer über den Laptop eines Technikers in einen Teil der Systeme und konnte von dort Auszahlungen anstoßen. Einen gestohlenen Schlüssel zu einer Wallet hat die Börse nach eigener Angabe nicht gefunden.

Die erste Frage nach so einem Vorfall gilt meist dem Kurs, also ob Bitcoin und Ether jetzt fallen, weil der Angreifer seine Beute verkauft. Die zweite Antwort kam von der Börse selbst. Binance schreibt, die Guthaben der Kunden seien sicher, und das Unternehmen werde alle Verluste aus seinem Notfallfonds SAFU und aus dem Firmenvermögen tragen. Zusammen ergibt das ein beruhigendes Bild. Der Schaden wäre danach ein Problem der Börse und nicht ihrer Kunden, und am Markt eine Frage von ein paar Tagen.

Beide Antworten gehen an der Frage vorbei, die ein Anleger zuerst stellen müsste. Wem gehört eigentlich, was auf dem Konto bei der Börse steht? Wer Kryptowerte auf einer Börse liegen lässt, sieht dort einen Kontostand in Bitcoin, Ether oder einer an den Dollar gebundenen Kryptowährung wie USDT. Ob hinter dieser Zahl Münzen stehen, die ihm zugeordnet sind, oder ein Versprechen der Börse, entscheidet darüber, wer einen Diebstahl am Ende bezahlt. Der Vorfall bei Binance zeigt das ungewöhnlich deutlich, weil er genau die Bestände getroffen hat, mit denen die Börse die Guthaben ihrer Kunden deckt.

04Wer die 6,3 Milliarden Dollar trägt

Was genau abgeflossen ist, lässt sich an einer Stelle selbst nachprüfen. Binance veröffentlicht für seinen Reservenachweis eine Liste der Adressen, in denen die Börse die Bestände hält, mit denen sie die Guthaben der Kunden deckt. Der Reservenachweis stellt die Summe dieser Guthaben den Beständen in diesen Adressen gegenüber, Kryptowert für Kryptowert. In der Liste steht unter anderem die Ethereum-Adresse, die der Blockchain-Explorer Etherscan als Binance 14 führt. Aus genau dieser Adresse gingen am 29. Oktober 2026 um 20:24 Uhr Weltzeit 167.464 Ether an eine fremde Adresse, in derselben Transaktion dazu rund 1,6 Milliarden USDT und 62 weitere Überweisungen anderer Kryptowerte. Getroffen hat der Angriff also keinen Topf, den die Börse für ihr eigenes Geschäft hält, sondern Bestände, die nach ihrer eigenen Liste die Kontostände der Kunden decken.

Die 6,3 Milliarden Dollar zerfallen damit in Teile, die verschiedene Seiten tragen. Rund 3 Milliarden sind nach Angabe von Binance auf der Blockchain eingefroren. Das gelingt bei Kryptowerten, deren Herausgeber einzelne Adressen sperren kann, vor allem bei den an den Dollar gebundenen wie USDT und USDC, bei Ether und Bitcoin geht es nicht. Bleiben rund 3,3 Milliarden Dollar, für die bisher niemand außer der Börse einsteht. Davon kann der Notfallfonds SAFU, den Binance mit rund 1 Milliarde Dollar in Bitcoin angibt, knapp ein Drittel decken. Kommt das Eingefrorene vollständig zurück, muss Binance rund 2,3 Milliarden Dollar aus dem übrigen Firmenvermögen nachlegen. Kommt nichts davon zurück, sind es gut 5 Milliarden Dollar.

Für den einzelnen Kunden lässt sich das in Euro übersetzen. Angenommen, du hast bei Binance Ether für 10.000 Euro liegen. Nach dem Diebstahl zeigt dein Konto weiterhin dieselbe Menge Ether, ihr Wert schwankt nur mit dem Kurs. Hinter allen Kontoständen zusammen standen am Tag des Angriffs Bestände von rund 145 Milliarden Dollar, so weit sie sich nach der Auswertung des Datendienstes DefiLlama aus den veröffentlichten Adressen auslesen lassen. Der Schaden entspricht gut 4 Prozent davon. Würde ihn niemand ersetzen und träfe er alle Kunden gleich, fehlten hinter deinen 10.000 Euro gut 400 Euro an Deckung. Ersetzt Binance ihn wie zugesagt, fehlt dir nichts, und die 400 Euro trägt das Eigenkapital der Börse. Welcher der beiden Fälle eintritt, zeigt der Kontostand nicht, er zeigt in beiden dieselbe Zahl.

05Was mit deinem Guthaben passiert, wenn eine Kryptobörse gehackt wird

Hinter dem Kontostand bei einer Börse steht keine Münze mit deinem Namen. Die Börse sammelt die Kryptowerte aller Kunden in wenigen großen Wallets, deren Schlüssel nur sie hat, und führt daneben ein internes Buch, in dem steht, wie viel davon jedem Kunden zusteht. Kaufst du bei der Börse Ether, bewegt sich auf der Blockchain in der Regel gar nichts, im Buch wird nur umgebucht. Erst wenn du auszahlst, schickt die Börse Münzen aus ihrer Sammelwallet an eine Adresse, deren Schlüssel du hast. Bis dahin hast du einen Anspruch gegen die Börse auf eine bestimmte Menge eines Kryptowerts, gedeckt durch ihre Bestände.

Das ist keine Besonderheit von Krypto. Auf einem Sparkonto liegt auch kein Geld, dort steht eine Forderung gegen die Bank, wie der Blick auf Europas Sparkonten zeigt. Beim Gold heißt dieselbe Unterscheidung zugeordnete gegen nicht zugeordnete Verwahrung, ausführlich in Tokenisiertes Gold, was du eigentlich hältst. Der Unterschied liegt nicht in der Technik, sondern darin, was mit den Beständen passiert, wenn der Verwahrer selbst in Schwierigkeiten gerät. Beim Sparkonto greift die gesetzliche Einlagensicherung, im Wertpapierdepot ist die Aktie dem Kunden zugeordnet und fällt nicht in die Masse der Bank. Wie das im Depot funktioniert, steht in Depot und Girosammelverwahrung, was bei der Pleite eines Brokers mit Aktien und Guthaben geschieht, in Broker pleite.

Bei einer Kryptobörse fehlen Einlagensicherung und Zuordnung, solange kein Gesetz die Trennung vorschreibt. Eine Einlagensicherung für Kryptowerte gibt es nicht. Ob die Münzen in der Sammelwallet bei einer Pleite den Kunden oder den Gläubigern der Börse zustehen, regeln der Vertrag mit der Gesellschaft, die das Konto führt, und das Recht ihres Sitzlandes. Steht dort nichts anderes, kann aus dem Kunden im Ernstfall ein Gläubiger werden, der sich mit allen anderen Gläubigern teilt, was übrig ist. Der Reservenachweis hilft dabei nur bedingt. Er zeigt an einem Stichtag, dass die Bestände die Guthaben decken. Wem die Bestände rechtlich gehören und was zwischen zwei Stichtagen mit ihnen geschieht, zeigt er nicht.

07Was die Trennungspflicht in der EU leistet und wo sie endet

Die Europäische Union hat genau diese Lücke mit der Verordnung über Märkte für Kryptowerte geregelt, kurz MiCA (Markets in Crypto-Assets). Artikel 70 verlangt von jedem Anbieter, der Kryptowerte für Kunden verwahrt, Vorkehrungen, die die Eigentumsrechte der Kunden vor allem in einer Insolvenz schützen und verhindern, dass er die Werte für eigene Rechnung nutzt. Artikel 75 Absatz 7 wird konkret. Die Kryptowerte der Kunden müssen von den eigenen Beständen des Anbieters getrennt gehalten werden, auch auf der Blockchain selbst, und sie müssen rechtlich so vom Vermögen des Anbieters getrennt sein, dass seine Gläubiger nicht darauf zugreifen können. In Deutschland ergänzt das Kryptomärkteaufsichtsgesetz (KMAG) einen Satz, der die Frage aus dem Abschnitt davor beantwortet. Ein verwahrter Kryptowert gilt als dem Kunden gehörig, und das gilt auch für seinen Anteil an einem Bestand, den der Anbieter für mehrere Kunden gemeinsam verwahrt.

Der Zweck der Regel ist die Pleite, nicht der Diebstahl. Sie soll verhindern, dass Kunden einer insolventen Plattform jahrelang in einem Verfahren hängen und am Ende eine Quote auf ihre Forderung bekommen statt ihrer Münzen. Gegen einen Angriff von außen hilft die Trennung nur indirekt, denn Münzen, die aus einer getrennten Kundenwallet gestohlen werden, sind trotzdem weg. Für diesen Fall hat MiCA in Artikel 75 Absatz 8 eine eigene Regel. Der Anbieter haftet dem Kunden für den Verlust, wenn der Vorfall ihm zuzurechnen ist, und zwar bis zum Marktwert der verlorenen Kryptowerte zum Zeitpunkt des Verlusts. Steigt der Kurs danach, reicht der Ersatz für weniger Münzen, als der Kunde hatte. Auch unter MiCA bleibt nach einem Diebstahl also ein Anspruch gegen den Anbieter, und der ist so viel wert wie dessen Kasse. Was die Trennung zusätzlich leistet, ist, dass die nicht gestohlenen Münzen in einer Pleite den Kunden bleiben.

Für Binance greift das alles nicht über eine Zulassung in der EU. Am 1. Juli 2026 ist die längste Übergangsfrist abgelaufen, in der Anbieter mit einer alten nationalen Registrierung ohne MiCA-Zulassung weiterarbeiten durften. Im Register der europäischen Wertpapieraufsicht ESMA, das alle Anbieter mit MiCA-Zulassung führt, steht im Stand vom 22. Oktober 2026 keine Gesellschaft mit dem Namen Binance. Welche Regeln für ein Konto bei Binance gelten, bestimmen damit der Vertrag mit der jeweiligen Binance-Gesellschaft und das Recht ihres Sitzlandes, nicht die europäische Verordnung. Das sagt nichts darüber, ob die Börse ihre Bestände tatsächlich trennt. Es sagt nur, dass kein europäisches Gesetz es von ihr verlangt und keine europäische Aufsicht es prüft.

08Was 2019 bei Binance geschah und was seitdem anders ist

Binance kennt den Fall aus eigener Erfahrung. Am 7. Mai 2019 zogen Angreifer mit gestohlenen Zugangsdaten von Kunden in einer einzigen Transaktion 7.000 Bitcoin aus der Börse ab. Die Wallet, die es traf, hielt nach Angabe der Börse damals rund 2 Prozent ihrer Bitcoin-Bestände. Binance setzte Ein- und Auszahlungen aus, kündigte eine Prüfung von etwa einer Woche an und sagte zu, den Schaden vollständig aus SAFU zu ersetzen, die Kunden sollten nichts tragen. Der Fonds war im Juli 2018 eingerichtet worden, gespeist aus einem Teil der Handelsgebühren, und hatte damit seinen ersten Ernstfall.

Seitdem ist zweierlei gewachsen, und nicht im selben Tempo. Die Bestände in den offengelegten Adressen der Börse liegen heute bei rund 145 Milliarden Dollar. Der Notfallfonds liegt bei rund 1 Milliarde Dollar, wird seit Anfang 2026 vollständig in Bitcoin gehalten und soll aufgefüllt werden, wenn er unter rund 800 Millionen Dollar fällt. 2019 war der Schaden ein Bruchteil des Fonds, diesmal ist der Fonds ein Bruchteil des Schadens. Den größeren Teil muss das übrige Firmenvermögen tragen. Wie groß es ist, lässt sich aus dem Reservenachweis nicht ablesen, denn der zeigt nur die Bestände für die Kunden und ihre Guthaben, nicht das Eigenkapital der Börse.

Die Regel in der EU ist jünger. Die MiCA-Verordnung stammt vom 31. Mai 2023 und gilt für Anbieter, die Kryptowerte verwahren oder handeln, seit dem 30. Dezember 2024. Die Mitgliedstaaten durften Anbietern mit einer Registrierung nach altem Recht eine Übergangsfrist geben, längstens bis zum 1. Juli 2026. Seit diesem Tag braucht jeder, der in der EU Kryptowerte für Kunden verwahrt, die Zulassung und mit ihr die Trennungspflicht.

09Und wenn Binance den Schaden einfach bezahlt

Das stärkste Argument gegen diesen Artikel liegt auf der Hand. Binance hat 2019 einen Diebstahl vollständig ersetzt, und der Schaden von 6,3 Milliarden Dollar ist gemessen an Beständen von rund 145 Milliarden Dollar gut 4 Prozent. Knapp die Hälfte davon ist eingefroren und kann zum Teil zurückkommen. Eine Börse, die mehr als das Zwanzigfache des Schadens verwahrt und seit Jahren an Handelsgebühren verdient, wird den Rest bezahlen können. Für den Kunden ändert sich dann nichts, und wer daraus eine Gefahr für sein Guthaben macht, verwechselt einen Schaden der Börse mit einem Schaden ihrer Kunden.

Für den Vorfall bei Binance kann das stimmen, und dann ist es gut so. Das Argument enthält aber einen Schritt, den es nicht belegt. Die 145 Milliarden Dollar sind die Bestände, die die Guthaben der Kunden decken, sie gehören in die Rechnung der Kunden und nicht in die der Börse. Zahlen kann Binance nur aus dem, was ihr selbst gehört, also aus dem Notfallfonds und dem übrigen Firmenvermögen, und dessen Größe zeigt der Reservenachweis nicht. Der Einwand fällt also nicht, er begrenzt die These. Dass Kunden diesmal etwas verlieren, behauptet dieser Artikel nicht. Er behauptet, dass ihr Schutz an der Zahlungsfähigkeit der Börse hängt und nicht an einer Zuordnung der Münzen, und daran ändert ein gut ausgehender Fall nichts.

10Das eigentliche Signal, ein Kontostand zeigt den Schutz nicht

Der Kontostand zeigt nach dem Diebstahl dieselbe Zahl wie vorher, und genau deshalb sieht der Kunde nicht, dass sein Schutz jetzt aus dem Eigenkapital der Börse kommt und nicht mehr aus den Münzen in der Wallet. Solange alles läuft, fällt das niemandem auf, denn wer auszahlen will, bekommt ausgezahlt. Sichtbar würde der Unterschied erst, wenn mehr Kunden gleichzeitig abziehen wollen, als die Börse aus ihren verbliebenen Beständen bedienen kann, oder wenn ihr Eigenkapital nicht reicht, um die Lücke zu füllen. Dass Binance Ein- und Auszahlungen ausgesetzt hat, ist eine Sicherheitsmaßnahme gegen weitere Abflüsse an den Angreifer. Es heißt aber auch, dass Kunden ihren Anspruch im Moment nicht in Münzen umtauschen können.

Ich halte die Zusage einer Börse, alle Verluste zu tragen, deshalb für einen Schutz, der genau so weit reicht wie ihr Eigenkapital. Der Grund ist der Kontostand selbst. Er bleibt nach dem Diebstahl stehen, der Verlust sitzt in der Bilanz der Börse, und dort sieht ihn der Kunde nicht, bis das Polster nicht mehr reicht und ein Wechsel zu spät kommt. Eine Zuordnung durch ein Gesetz wirkt anders, weil sie nicht vom guten Willen und von der Kasse der Börse abhängt, sondern vor einem Gericht durchsetzbar ist. Messen lässt sich der Schutz deshalb an zwei Dingen, die jeder vorher nachsehen kann, nämlich ob ein Gesetz die verwahrten Münzen dem Kunden zuordnet und ob eine Aufsicht das prüft. Bei Binance zeigt der nächste Reservenachweis, den die Börse nach der Aufarbeitung angekündigt hat, ob die Bestände wieder decken, was in den Konten steht.

11Was das für Anleger heißt

Für Anleger ist der Vorfall bei Binance vor allem eine Erinnerung daran, dass zu jedem Kryptowert eine zweite Frage gehört, nämlich wie er gehalten wird. Dieselbe Menge Ether kann Eigentum in der eigenen Wallet sein, ein Anspruch gegen eine Börse, ein getrennt verwahrter und gesetzlich zugeordneter Bestand bei einem Anbieter mit Zulassung oder eine Schuldverschreibung, die mit Münzen besichert ist. Am Kurs ist das nicht zu sehen, denn alle vier folgen demselben Preis. Unterschiedlich ist, wer welches Risiko trägt, wenn beim Verwahrer etwas schiefgeht. Was eine Schuldverschreibung im Ernstfall von einem Sondervermögen unterscheidet, steht in Sondervermögen oder Schuldverschreibung.

Jede dieser Formen hat ihren eigenen Preis. Die eigene Wallet schließt den Verwahrer aus, verlagert aber jedes Risiko auf den Halter selbst, einen verlorenen Schlüssel ersetzt niemand. Die Börse ist bequem und schnell, ihr Schutz ist das Eigenkapital des Betreibers und das Recht ihres Sitzlandes. Ein Anbieter mit MiCA-Zulassung trennt die Bestände von seinem eigenen Vermögen, nach einem Diebstahl bleibt aber auch dort nur seine Haftung. Ob ein Anbieter eine Zulassung hat, lässt sich im Register der ESMA nachsehen, die Bedingungen eines Produkts mit hinterlegten Münzen stehen in seinem Prospekt. Welche Form zu wem passt, hängt an Betrag, Erfahrung und Zweck und lässt sich nicht allgemein beantworten. Eine Aussage zur Kursrichtung von Bitcoin, Ether oder anderen Kryptowerten und eine Empfehlung für oder gegen einen bestimmten Anbieter folgen aus diesem Vorfall nicht.