Verfasst von: immrape
Zusammengestellt von: AididiaoJP, Foresight News
Dieser Artikel beschreibt statistische Muster im Verhalten öffentlicher Konten. Die im Text erwähnten „Lager“-Zugehörigkeiten basieren auf ökologischen Affinitätssignalen, die in den öffentlichen Inhalten und Interaktionsmustern der Konten sichtbar sind; sie sind Schlussfolgerungen und stellen keine Anschuldigung dar, dass eine Institution oder Einzelperson andere angeheuert oder angeleitet hat. „Koordination“ ist hier ein verhaltenswissenschaftliches Konzept, keine rechtliche Feststellung einer Absprache. Dieser Artikel gibt keine Inhalte weiter, die Beleidigungen oder persönliche Angriffe enthalten; jede im Text genannte oder beteiligte Institution oder Einzelperson kann auf die Daten und Schlussfolgerungen reagieren.
Zentrale Erkenntnisse
- Ausmaß: Innerhalb von etwa 78 Stunden nach dem Vorfall veröffentlichten 1.083 Beispielkonten 11.700 feindselige Tweets gegen Binance mit insgesamt etwa 20,93 Millionen Impressionen. Davon waren 79,6 % keine eigenständigen Beiträge, sondern Antworten, die an Beiträge anderer angehängt wurden; weitere 3.354 wurden einzeln als Falschinformationen verifiziert und in 15 Gerüchtetypen eingeteilt.
- Rhythmus: Die feindseligen Inhalte waren kein emotionaler Ausbruch, der nach dem Vorfall auf natürliche Weise abklang. Sie wechselten die Themen im Gleichschritt mit jeder öffentlichen Maßnahme von Binance: Nachdem eine Entschädigung zugesagt wurde, verlagerte sich das Thema auf „Insider“; nachdem das Ausmaß der Auswirkungen und die vorläufigen Untersuchungen offengelegt wurden, verlagerte es sich auf „Zahlungsunfähigkeit“ und „Amateurhaftigkeit“; nachdem der Zeitplan für Auszahlungen angekündigt wurde, verlagerte es sich auf „Mobilisierung eines Bank-Runs“; nachdem die Auszahlungen wieder aufgenommen wurden, verlagerte es sich auf „die Abflüsse sind übertrieben“ und „Verkehr zu Wettbewerbern umleiten“.
- Koordination: Unter den 641 aktivsten Konten hatten 452 beobachtbare Koordinationsbeziehungen mit anderen Konten, insgesamt 1.186 paarweise Verbindungen. 444 Konten bildeten ein zusammenhängendes Netzwerk, das sich automatisch in 11 Gruppen clustern ließ, mit deutlichen Unterschieden in Sprache, Themen und Koordinationsstil – es zeigten sich mehrere relativ unabhängige „Lager“.
- Ruhe–Aktivierung: 964 Konten (89 %) erwähnten Binance im Normalzustand fast nie, im Durchschnitt nicht mehr als 0,2 Beiträge pro Tag, wurden jedoch während des Vorfalls kollektiv aktiviert, mit einer Veröffentlichungsfrequenz, die das 24,6-Fache des Ausgangswerts betrug. Von diesen waren 116 auch in zwei früheren Binance-bezogenen Kontroversen aufgetreten.
- Zweck: Falschinformationen konzentrierten sich auf drei Kategorien: die Authentizität des Vorfalls leugnen (inszeniert/Insider), die Zahlungsfähigkeit leugnen (zahlungsunfähig/zweites FTX) und die Verfügbarkeit von Auszahlungen leugnen (Angst, Auszahlungen zu öffnen/kollabieren, sobald sie geöffnet werden). Alle drei zielen auf dasselbe Verhaltensergebnis ab: Nutzer zu drängen, ihre Coins genau in dem Moment abzuheben, in dem sie am meisten Ruhe bewahren müssten.
- Die andere Seite: Die Daten zeigen auch, dass die Reichweite hauptsächlich von wenigen Top-Konten getrieben wurde: Konten mit mehr als 50.000 Followern veröffentlichten nur 6,2 % der negativen Tweets, machten aber 68,0 % der Impressionen aus; die 134 Konten mit den höchsten Scores nach Troll-Regeln machten zusammen nur 0,6 % der Impressionen aus. Sich nur auf kleine Konten zu konzentrieren, würde diese Operation unterschätzen, und alle Kritiker als Trolle zu behandeln, wäre ebenso falsch.
CZ und He Yi haben mehrfach gesagt, dass Binance organisierten Rufschädigungsangriffen ausgesetzt war. Die übliche Reaktion der Branche ist Spott – jede Börse, die in Schwierigkeiten gerät, scheint das zu sagen. Der Ausgangspunkt dieses Artikels ist nicht, jemanden zu verteidigen, sondern eine Frage zu beantworten, die durch Daten überprüfbar ist: Waren nach dem Hack von Binance jene Stimmen auf X, die es schlechtredeten, infrage stellten oder sogar beleidigten, ein natürlicher Ausfluss der Stimmung von Retail-Anlegern, oder organisierte, arbeitsteilte und lenkte sie jemand? Die Antwort aus der Überprüfung lautet: Neben einem echten Sicherheitsvorfall lief tatsächlich parallel eine beobachtbare Social-Media-Narrativoperation mit Rhythmus und Arbeitsteilung. Ihr Ziel war nicht nur Binance, sondern auch jeder gewöhnliche Nutzer, der in jenen Tagen X öffnete, um zu erfahren, ob seine Vermögenswerte sicher waren.
I. Der Vorfall: Was Binance in 78 Stunden tat
In den frühen Morgenstunden des 30. Oktober 2026 wurde eine Hot Wallet von Binance angegriffen, mit Vermögenswerten von etwa 6,3 Milliarden US-Dollar, der größte Sicherheitsvorfall in der Geschichte der Kryptoindustrie, gemessen in US-Dollar. Die folgende Tabelle listet die wichtigsten öffentlichen Reaktionsmeilensteine in den folgenden 78 Stunden auf, alle in UTC+8, und wurde einzeln mit den in Tweet-IDs eingebetteten Zeitstempeln abgeglichen.
Binances wichtigste Reaktionszeitleiste (UTC+8)
Der Zeitplan selbst ist nicht kompliziert: bestätigen, die Blutung stoppen, absichern, nachfüllen, verifizieren, sich erholen. Die Krisenreaktion jeder Finanzinstitution besteht aus dieser Standardreihe von Maßnahmen. Doch wenn man die zeitgenössische Diskussion über Binance auf X über diesen Zeitplan legt, wird das Bild völlig anders.
Volumen der Angriffe gegen Binances Reaktionsmaßnahmen (pro Stunde). Gestrichelte Linien markieren Binances Meilenstein-Ereignisse; Balken zeigen die Anzahl bösartiger Tweets pro Stunde, wobei Falschinformationen in Rot dargestellt sind.
Schlüsselereignisse der Angreiferseite (oberes Bild; Punktgröße repräsentiert Impressionen) und Binances Reaktionsmaßnahmen (unteres Bild), segmentweise dargestellt. Das obere Bild konzentriert sich auf die ersten 20 Stunden nach dem Vorfall; das untere Bild deckt die verbleibende Zeit ab.
II. Methode: Wie man „Angriff“ definiert und wie man Kritik ausschließt
Zunächst sei klargestellt, was dieser Artikel nicht untersucht. Nach dem Vorfall äußerten zahlreiche Nutzer in den sozialen Medien Besorgnis, fragten nach dem Fortschritt, kritisierten die Geschwindigkeit der Reaktion und beschrieben ihre Erfahrungen mit festhängenden Auszahlungen. Das ist normal, sogar gesund. Wenn ein Plattform-Verwahrer der Vermögen von Hunderten Millionen Nutzern einen Unfall hat, sind Panik und Hinterfragen völlig vernünftig.
Die Analyse schließt bewusst vier Arten von Inhalten aus: normale Panik und Besorgnis über Gelder in der Frühphase des Vorfalls; vernünftige Nachfragen, etwa wann der Reserve-Nachweis veröffentlicht wird und warum Auszahlungen eines bestimmten Tokens noch nicht geöffnet sind, ohne bösartige Schlussfolgerungen; sachliche Berichterstattung und On-Chain-Daten; und echte Unzufriedenheit von realen Nutzern.
Die Daten in diesem Artikel wurden vom Autor in den drei Tagen nach dem Vorfall gesammelt. Mit Hilfe von KI-Tools wurde ein Batch-Scan von Konten durchgeführt, die während des Vorfalls an Binance-bezogenen Diskussionen auf X teilnahmen. Solange mindestens eine der folgenden überprüfbaren Bedingungen erfüllt war, wurde das Konto in die Stichprobe aufgenommen: wiederholtes Posten falsifizierbarer Falschinformationen; Beleidigung, Bedrohung oder persönliche Angriffe auf Einzelpersonen; konzentriertes, wiederholtes Posten homogener feindseliger Inhalte unter mehreren unabhängigen Posts; und stabile Koordination mit anderen Konten in der Stichprobe. Für jedes Stichprobenkonto wurden die Aufnahmegrundlage und der Originallink aufbewahrt, was zu einer endgültigen Stichprobe von 1.083 Konten führte.
Auf dieser Grundlage wurden alle Binance-bezogenen Originalposts und Antworten gesammelt, die diese Konten während des Vorfalls veröffentlichten (vom 30. Oktober, 05:00 Uhr, bis zum 2. November, 20:00 Uhr). Nach Ausschluss reiner Retweets wurden 11.700 Tweets von 1.083 Konten erhalten, insgesamt 20,93 Millionen Impressionen. Davon wurden 3.354 einzeln als falsch beurteilt und in 15 Gerüchtetypen eingeteilt.
Hinsichtlich der Koordination wurden für jedes Kontenpaar sechs beobachtbare Signale berechnet: ob sie im Kommentarbereich desselben Posts erschienen; ob sie sich gegenseitig @-erwähnten oder antworteten; ob sie sich gegenseitig folgten; ob einseitiges Folgen vorlag; ob sie innerhalb eines kurzen Zeitfensters mit demselben dritten Konto interagierten; und ob sie nahezu identische Inhalte posteten. Ein einzelnes Signal kann Zufall sein, aber wenn sich mehrere Signale für dasselbe Kontenpaar wiederholt stapeln, wird Zufall schwer zu erklären. Der Abschnitt zum Koordinationsnetzwerk konzentriert sich auf die 641 aktivsten Konten während des Vorfalls, mit einem Beobachtungsfenster vom 30. Oktober, 20:00 Uhr, bis zum 2. November, 20:00 Uhr.
Es sei angemerkt: Dieser Artikel kann nur öffentliches Verhalten beobachten und kann und versucht nicht, die tatsächliche Identität oder Finanzierungsquellen eines Kontos zu bestimmen.
III. Rhythmus: Angriffe folgen Reaktionen, nicht Emotionen
Wenn der negative Lärm in den sozialen Medien lediglich das Ventilieren von Nutzern wäre, sollte es eine relativ einfache Kurve sein: ein scharfer Anstieg nach dem Vorfall, dann ein langsamer Rückgang, während die Informationen klarer werden. Doch die Daten zeigen, dass die Themen der feindseligen Inhalte ständig wechselten, und jeder Wechsel eng einer öffentlichen Maßnahme von Binance folgte – manchmal sogar vorauslief.
Anzahl der Beiträge pro Stunde durch feindliche Konten am ersten Tag (durchgezogene Linie) und der Anteil an Desinformation (gestrichelte Linie)
Die ersten Stunden: Panik dominiert, Verschwörungstheorien sind verstreut
Nach dem Vorfall in den frühen Morgenstunden des 30. Oktober explodierte die Diskussion auf der Plattform, wobei der Hauptton Panik und Neugier war: Ist das Geld noch da, wer war es, und wie groß ist der Umfang. Unter den Beispielkonten erschienen Behauptungen von „Selbstinszenierung“ und „Insider“ innerhalb einer Stunde nach Bekanntwerden der Nachricht, aber die meisten waren verstreute, tastende Fragen, mit einer typischen Formulierung wie „Könnte das ein Insider sein?“ In dieser Phase machte Desinformation etwa 30 % der Beispielbeiträge aus, der Rest war größtenteils emotionaler Ausdruck und weitergeleitete Informationen.
In der frühen Phase gab es nur wenige identifizierbare Knotenpunkte: Um 05:06 gab ein Konto weiter, dass „Tether 971 Millionen eingefroren hat, Binance noch keine Erklärung abgegeben hat“ – der Angriffspunkt war nicht der Betrag, sondern das Schweigen; um 05:13 erhielt ein Beitrag mit dem Wortlaut „Man kann kein Geld abheben, es ist vorbei“ 181 Kommentare, die meisten unter den negativen Beiträgen. Dies glich eher einem Alarm in einem Informationsvakuum als einer systematischen Erzählung.
Nach dem Entschädigungsversprechen: Verschwörungstheorien betreten die Bühne
Um 08:13 kündigte Binance an, alle Verluste zu tragen. Nach allgemeinem Verständnis hätte dies ängstliche Nutzer am ehesten aufatmen lassen sollen. Doch in den Daten erreichte die Erzählung von „Selbstinszenierung / Insider / Komplize“ genau nach diesem Knotenpunkt ihre dichteste Phase und erreichte in der anschließenden Phase der „Verlustschätzung und vorläufigen Untersuchung“ 9,3 Beiträge pro Stunde, der höchste Wert für diese Erzählung über ihren gesamten Zyklus.
Der Wendepunkt lag gegen 10 Uhr morgens jenes Tages. Um 10:11 veröffentlichte ein chinesischsprachiges Konto, dass „Binance am 14. 50 7702-Autorisierungen eingereicht hat, eine davon in Kraft trat, sehr wahrscheinlich mit Insider-Kooperation“, was 342.000 Impressionen erhielt und damit der am weitesten verbreitete und irreführendste Beitrag dieser Phase war, 14 Minuten früher als Binances Offenlegung des Angriffspfads um 10:25. Die Logik dieser Erzählung verdient eine separate Entflechtung: Wenn Binance bereit ist zu entschädigen, dann war das Geld ursprünglich ihres; wenn der Hacker keine BNB genommen hat, dann war es ein Insider; wenn das Einfrieren so schnell kam, dann gab es im Voraus Vorbereitungen. Jede Tatsache, die eine wirksame Reaktion hätte belegen sollen, wurde als Beweis für ein Verbrechen uminterpretiert. Dies ist eine unfalsifizierbare Erzählung – jede Widerlegung kann in das Framework der „Überreaktion“ gesteckt werden.
Nach Veröffentlichung des Ausmaßes der Auswirkungen und der vorläufigen Untersuchung: „Kurz vor dem Zusammenbruch“ und „Amateurbetrieb“
Um 10:25 legte Binance ein Ausmaß der Auswirkungen von etwa 6,3 Milliarden USD und die vorläufige Untersuchung offen. Danach weiteten sich Erzählungen von „Ausreißen“, „Zusammenbruch“, „Zahlungsunfähigkeit“ und „das nächste FTX“ schnell aus und erreichten in der anschließenden Phase der „Rekapitalisierung beginnt“ (vom 30. Oktober 11:00 bis 31. Oktober 14:30) durchschnittlich 6,9 Beiträge pro Stunde. Diese Erzählung umfasste insgesamt 465 Beiträge von 219 Konten mit etwa 3,17 Millionen Impressionen und war damit die Einzelerzählung mit der höchsten Reichweite in diesem Ereignis.
Bemerkenswert ist die Beziehung dieser Erzählung zur Aussetzung von Auszahlungen. Die Aussetzung von Auszahlungen, bevor ein Sicherheitsvorfall vollständig untersucht ist, ist gängige Praxis, um die Ausbreitung von Verlusten zu verhindern; eine hastige Wiederaufnahme der Auszahlungen, bevor der Angriffspfad vollständig blockiert ist, könnte zu einem zweiten Angriff einladen. Doch in der Angriffserzählung wurde die Aussetzung von Auszahlungen einheitlich als „kein Geld mehr“ oder „Angst zu öffnen“ gelesen und als Hebel genutzt, um von Binance zu verlangen, „sofort Auszahlungen zu öffnen“.
Die vorläufige Untersuchung erwähnte, dass „der Laptop eines DevOps-Ingenieurs möglicherweise kompromittiert wurde“. Nur drei Minuten später, um 10:28, erschienen Widerlegungen: „Kann ein Laptop 6,3 Milliarden abziehen?“ Die Erzählung von „schwacher Technologie“ und „Amateurbetrieb“ erreichte in dieser Phase 4,2 Beiträge pro Stunde, das Zwei- bis Vierfache anderer Phasen. Einige Inhalte mit hoher Reichweite verarbeiteten die Untersuchungsergebnisse um – verwandelten „möglicherweise beteiligt“ in eine definitive Schlussfolgerung oder extrapolierten unbestätigte Behauptungen wie „mehr als eine Wallet wurde kompromittiert“ und „BTC wurde ebenfalls verloren“, wobei einzelne Beiträge über 100.000 Impressionen erzielten.
Am Abend des 1. November begann in chinesisch- und englischsprachigen Communities ein Gerücht zu kursieren: Ein Binance-Betriebsingenieur habe eine romantische Verstrickung mit einer nordkoreanischen Spionin gehabt und seinen Laptop am Tag des Vorfalls beiseitegelassen. Der Autor durchsuchte X seit dem 30. Oktober nach related Posts: Die früheste nachverfolgbare Version erschien um 21:22 Uhr am 1. November, veröffentlicht von einem englischsprachigen Nachrichtenaggregationskonto mit etwa 7.000 Followern in Form einer in Großbuchstaben verfassten Eilmeldung, die behauptete, die Information stamme vom On-Chain-Detektiv ZachXBT. Der Post erhielt etwa 634.000 Aufrufe, 4.458 Likes, 258 Reposts und 367 Antworten. Etwa 1,5 Stunden später repostete ein englischsprachiger KOL mit etwa 700.000 Followern ihn unter dem Titel „Binance-Hack könnte einen Insider betreffen“ mit etwa 63.000 Aufrufen. Die chinesische Version erschien gegen 21:49 Uhr, gefolgt von einer großen Zahl übersetzter Versionen mit nahezu identischem Wortlaut, die meisten begannen mit „Neue, unbestätigte Behauptungen besagen ...“
Gegen 1 Uhr morgens am 2. November antwortete He Yi öffentlich: „Diese Geschichte ist dramatischer, aber sie ist nicht wahr, und ZachXBT hat sie auch nicht gesagt.“ Die englische Eilmeldung, die die Dementierung repostete, erhielt etwa 69.000 Aufrufe. Doch nach der Dementierung hörte die Verbreitung in der chinesischen Community nicht auf. Am Morgen des 2. November veröffentlichte ein chinesisches Konto mit etwa 96.000 Followern weiter, beginnend mit „Der größte Finanzdiebstahl der Geschichte, das absurdeste Glied ist vielleicht nicht Code, sondern eine Romanze“, mit etwa 12.000 Aufrufen und 42 Antworten; ein weiteres Konto mit etwa 90.000 Followern postete unter dem Titel „Das Spionagedrama einer nordkoreanischen Spionin, die einen Binance-Ingenieur ‚verführt‘“, mit etwa 7.600 Aufrufen; ein Kernkonto in Cluster 1 des koordinierten Netzwerks postete ebenfalls um 08:43 Uhr und behauptete „Gerüchten zufolge hat sich ein DevOps-Ingenieur in eine nordkoreanische Spionin verliebt“, mit etwa 3.000 Aufrufen, wobei es lediglich am Ende He Yis Dementierung anhängte. Einige chinesische Nutzer bemerkten ebenfalls die Anomalie und posteten, dass „ich in letzter Zeit ständig identische Posts sehe ... alles KI-generierte Füllinhalte, die wiederholt mit Änderungen gepostet werden.“
Um fair zu sein: Das Ursprungskonto dieses Gerüchts liegt nicht innerhalb der Stichprobe. Gemäß den Stichprobenkriterien handelte es sich um etwa 68 Posts mit etwa 230.000 Impressionen, und Stichprobenkonten beteiligten sich in begrenztem Umfang. Es wird hier aufgeführt, weil es die Erzählung von der „schwachen Technologie“ verstärkte – ersteres gab letzterem eine besser verbreitbare Story-Hülle.
Nach der Ankündigung des Zeitplans: Die Wartezeit wurde als „Verzögerung“ umgeschrieben
Um 23:23 Uhr am 30. Oktober veröffentlichte He Yi ein Video mit einem 42-stündigen Wiederherstellungszeitplan; um 12:48 Uhr am 1. November kündigte Binance die Wiederherstellungszeit für Auszahlungen der ersten Phase an. In einer normalen Informationsumgebung war dies der Moment, in dem Nutzer am meisten hätten aufatmen sollen. Die Angreiferseite pushte gleichzeitig zwei Linien.
Eine Linie schrieb das Warten als Verzögerung um und stellte den Backstop als Betrug dar. Eine der Hauptquellen der englischen „selbst inszeniert“-Erzählung postete um 12:26 Uhr am 31. Oktober, dass „Binance einen Multi-Milliarden-Dollar-Hack vorgetäuscht hat, um Kundenverbindlichkeiten zu umgehen“, und erhielt 279.000 Impressionen; die „Insider“-Erzählung gewann ebenfalls eine neue Lesart: Die Ankündigung der Auszahlungszeit sei lediglich eine „Verzögerungstaktik“, um „den Vermögenstransfer bequemer zu machen“. Die andere Linie forderte „rennen, sobald die Tür aufgeht“: Bereits um 22:38 Uhr am 30. Oktober postete ein Konto, das innerhalb von drei Tagen 36 Antwortinteraktionen mit einem anderen angreifenden Konto hatte, in Großbuchstaben: „In dem Moment, in dem Binance Auszahlungen wiederherstellt, transferieren Sie sofort Ihre Gelder hinaus“ – fast 40 Stunden bevor Auszahlungen tatsächlich wieder aufgenommen wurden; um 20:22 Uhr am 31. Oktober schrieb ein weiteres Konto: „Angenommen, Binance öffnet Auszahlungen ... es wird bald wieder schließen, einen Teufelskreis und einen Bank Run auslösen und direkt kollabieren!“ Es nannte keine Fakten, sondern legte im Voraus emotionale Spuren, damit Leser automatisch hineingleiten würden, wenn Auszahlungen geöffnet würden.
Als Auszahlungen wieder aufgenommen wurden: Bank-Run-Mobilisierung erreichte ihren Höhepunkt
Mobilisierungsinhalte – „jetzt gehen“, „in der ersten Minute, in der Sie können, abheben“, „Bank Run“ – schnellten in der Phase der „stufenweisen Wiederherstellung“ (von 14:00 bis 16:12 Uhr am 1. November) auf 11,2 Posts pro Stunde, mehr als das Vierfache des Durchschnitts der vorherigen vier Phasen und zugleich die höchste Einzelphasenintensität unter allen Erzählungen in diesem Ereignis. Zwei Erzählungen kooperierten hier: Eine erzeugte die Dringlichkeit „sofort gehen zu müssen“, und die andere erklärte „warum offizielle Aussagen nicht glaubwürdig sind“.
Erzählungsrotation: Anzahl feindseliger Tweets pro Stunde in jeder Phase. Jede Zeile repräsentiert einen Erzählungstyp; je dunkler die Farbe, desto näher ist diese Erzählung in dieser Phase ihrem Höhepunkt, und verschiedene Erzählungen erreichen ihre Höhepunkte in unterschiedlichen Phasen.
Nach Wiederaufnahme der Auszahlungen: Übertreibung der Abflüsse, Umleitung des Traffics zu Wettbewerbern
Nach Wiederaufnahme der Auszahlungen verlagerte sich der Fokus feindseliger Inhalte auf Abflussdaten. Am 2. November um 02:02 Uhr gab CZ bekannt, dass die Nettoabflüsse in den 12 Stunden nach Wiederherstellung der Auszahlungen 2,1 % betrugen. Nur sechs Minuten später, um 02:08 Uhr, veröffentlichte ein hochfrequenter englischsprachiger Account, dass „Binance heute den höchsten Nettoabfluss seiner Geschichte verzeichnet, -4,25 Milliarden USD“, und postete dann eine chinesische Version: „In den vergangenen 12 Stunden ... erreichte der Nettoabfluss einen Rekord von 4,36 Milliarden USD“, begleitet von der Analogie „FTX brauchte weniger als 48 Stunden vom Normalzustand bis zum Zusammenbruch“, und fügte um 07:19 Uhr hinzu, dass „er den Nettoabfluss vor dem Zusammenbruch von FTX übertroffen hat“, wobei ein einzelner Beitrag 193.000 Impressionen erhielt; am selben Tag um 12:23 Uhr wurde die Zahl auf „6,1 Milliarden USD“ aktualisiert, zusammen mit der Behauptung, dass „531 von 552 Token noch immer nicht abgehoben werden können“.
Die beiden Datensätze stehen zahlenmäßig nicht zwangsläufig im Widerspruch; ein absoluter Abfluss von mehreren Milliarden USD und ein Anteil von 2,1 % können dasselbe beschreiben. Der Unterschied liegt in der Rahmung: Ersterer entfernt den Nenner, pfropft die FTX-Analogie auf und verpackt einen gewöhnlichen Auszahlungsgipfel als Vorabend eines Zusammenbruchs.
In derselben Phase nahmen Inhalte zu, die Traffic zu Wettbewerbern umleiteten: Während der Diskussion des Hacks wurde Nutzern geraten, „zuerst zu der und der Börse zu wechseln, um das Risiko zu vermeiden“, oder es wurde gesagt, dass „von allen Börsen nur die und die noch nie gehackt wurde“. Solche Inhalte waren zahlenmäßig nicht groß (31 Beiträge), aber einzelne Beiträge hatten eine hohe Verbreitungseffizienz und erreichten insgesamt fast 200.000 Impressionen. Ein typisches Beispiel: Am 1. November um 14:37 Uhr, 17 Minuten nach Wiederaufnahme der BTC-Auszahlungen, postete ein chinesischer KOL: „Ein A9-Freund sagte, er werde nie wieder Coins auf Binance legen, selbst wenn die annualisierte Rendite über 6 % liegt ... Nordkorea hat Binances Büchse der Pandora geöffnet“, was 108.000 Impressionen erhielt; die Kernbotschaft war: „Ohne souveräne Absicherung ist es sicherer, Gelder woanders zu platzieren.“ Ähnliche Formulierungen erschienen auch in der englischen Community, etwa: „Wenn Binance fällt, wird Hyperliquid dann die branchenführende Börse?“
Entschädigungsgerüchte: Erzeugung eines Gefühls der „Ungleichbehandlung“
Am Abend des 1. November begannen eine Reihe falscher Behauptungen über „150 USD Auszahlungsentschädigung“ aufzutauchen, mit dem Mustersatz „Auszahlungen ausgesetzt, kostenlose Entschädigung von 150 USD, prüfen Sie das Belohnungszentrum.“ Von den 35 zugehörigen Beiträgen konzentrierten sich 27 in den sechs Stunden vom 1. November 19:00 Uhr bis 2. November 01:00 Uhr, davon 9 allein in der Stunde um 20:00 Uhr; fünf Accounts posteten identische Formulierungen, von denen einer nur zwei Follower hatte. Um 21:11 Uhr antwortete Binance unter dem Originalbeitrag: „Dies sind falsche Informationen; der Screenshot wurde digital verändert.“
Eine gefälschte Anzeige für „150 USD Auszahlungsentschädigung“: Fünf Accounts posteten innerhalb von sechs Stunden identische Inhalte, einschließlich Phishing-Links, die Nutzer zu einem „Belohnungszentrum“ führten.
Was Behauptungen wie „Barprämien für Nicht-Abheben“ oder „exklusiv für Nutzer in bestimmten Regionen“ betrifft, so erschienen diese in der Stichprobe nur vereinzelt und hatten noch keine messbare Größenordnung erreicht, weshalb dieser Artikel keine quantitativen Schlussfolgerungen dazu zieht. Die Struktur solcher Behauptungen ist jedoch konsistent mit den obigen Narrativen: Sie greifen die Plattform nicht direkt an, sondern erzeugen ein Gefühl der „Ungleichbehandlung“ bei Nutzern und fördern zugleich weitere Auszahlungen. Binance hat ausdrücklich erklärt, dass es Nutzern in keiner Region jemals Prämien unter der Bedingung angeboten hat, nicht abzuheben.
Mehrere durchgehende Unterströmungen
- Politisierung: Behauptungen wie „Binances Schutzschild ist Trump“ und „sie haben Schutzgeld gezahlt“ summierten sich auf 377 Posts und erreichten ihren Höhepunkt während der Erholungsphase.
- Alte Rechnungen aufwärmen: Verknüpfung dieses Vorfalls mit der schweren Marktvolatilität im Jahr 2025 und die Behauptung, der Hack habe dazu gedient, „alte Konten reinzuwaschen“ – 280 Posts, 690.000 Impressionen, am stärksten konzentriert in den ersten beiden Phasen nach dem Vorfall.
- Marktmanipulation: „künstlicher Bullenmarkt“, „der Markt fiel, weil Binance abgestoßen hat“, „sie haben die K-Linie umgeschrieben“ – 253 Posts von 148 Konten. Am 1. November um 13:32 fragte ein Konto bereits: „Wenn Binance diesen Ansturm überlebt, werden sie dann proaktiv einen künstlichen Bullenmarkt vorantreiben?“
- Vorab festgelegte Narrative: Bevor Binance irgendeine Maßnahme ergriff, behaupteten Konten präventiv, es „werde als Nächstes definitiv Produkte mit hoher Rendite pushen“ und „werde definitiv Coins pumpen und listen“, und etikettierten diese Maßnahmen im Voraus als „Beweis für Insolvenz“. Am 2. November um 20:25 startete Binance ein Nutzerbelohnungsprogramm mit bis zu 10 % annualisierter Rendite – ein branchenüblicher Schritt nach einer Krise –, das genau in den vorab festgelegten Interpretationsrahmen fiel. Ob Binance handelte oder nicht, seine Position war bereits ungünstig.
IV. Klassifizierung der Gerüchte: Welche Behauptungen sich am weitesten verbreiteten
Die 3.354 als falsch eingestuften Posts wurden nach ihrer Kernbehauptung in 15 Kategorien eingeteilt. Sortiert nach kumulierten Impressionen sind die wichtigsten Typen wie folgt.
Kumulierte Impressionen, Post-Anzahlen und Konto-Anzahlen für verschiedene Arten von Falschinformationen
]
Wichtigste Gerüchtetypen
Mehrere Details sind bemerkenswert. Erstens: Die Kategorie „technischer Falschbeweis“ war zahlenmäßig nicht groß, aber einzelne Posts verbreiteten sich am weitesten – durchschnittlich etwa 6.800 Impressionen pro Post, fast viermal so viel wie die Kategorie „selbst inszeniert“. Solche Inhalte erschienen meist als lange Posts, zitierten echte Fachbegriffe (7702-Autorisierung, Multisig, Hot-Wallet-Nummerierung) und zogen unter dem Deckmantel technischer Details fehlerhafte Schlussfolgerungen; zum Beispiel: „BTC verwendet ECDSA, Solana verwendet Ed25519, ein Laptop kann nicht zehn Chains in 20 Minuten signieren.“ Für Leser ohne technischen Hintergrund ist dies überzeugender als rein emotionale Anschuldigungen.
Zweitens: „Falschinformationen, die sich als Binance ausgeben“ umfassten nur 5 Posts, erhielten aber fast 300.000 Impressionen. Solche Inhalte fälschten offizielle Entschädigungspläne oder Coin-Listing-Ankündigungen, oft begleitet von Phishing-Links, und dürften von allen Typen der direkt schädlichste für Nutzer sein.
Drittens: Diese Narrative widersprechen sich gegenseitig. Dieselbe Gruppe von Konten behauptete sowohl, dass „Binance es selbst inszeniert hat“ (was bedeutet, das Geld sei nicht wirklich verloren), als auch, dass „Binance insolvent ist“ (was bedeutet, das Geld sei wirklich verloren und könne nicht entschädigt werden); sie behaupteten sowohl, dass „Binance es nicht wagt, Auszahlungen zu öffnen“, als auch, sobald Auszahlungen geöffnet wurden, dass „das Öffnen von Auszahlungen dazu dient, Vermögenswerte zu transferieren“. In einer sachlichen Diskussion können diese Behauptungen nicht alle gleichzeitig zutreffen; in einem Narrativ, das darauf abzielt, Unsicherheit zu erzeugen, müssen sie nicht selbstkonsistent sein – jede muss nur zu einem anderen Zeitpunkt ihre eigene Aufgabe erfüllen.
V. Koordination: ein Netzwerk, mehrere Lager
Wenn diese Inhalte von unabhängigen Einzelpersonen stammten, sollten die Beziehungen zwischen den Konten spärlich und zufällig sein. Die Daten zeigen eine andere Struktur. Unter den 641 aktivsten Konten hatten 452 eine Koordinationsbeziehung mit mindestens einem anderen Konto, insgesamt 1.186 paarweise Koordinationsverbindungen. Aufgeschlüsselt nach Signaltyp: 651 gegenseitige @ oder Antworten; 466 gleichzeitiges Erscheinen im selben Kommentarbereich; 267 Interaktion mit demselben dritten Konto innerhalb eines kurzen Zeitfensters; 224 einseitige Follows; 143 gegenseitige Follows; 67 nahezu identische Inhalte. Von diesen Verbindungen trugen 608 zwei oder mehr Signale gleichzeitig.
Die 444 Konten bildeten ein zusammenhängendes Netzwerk – ausgehend von einem beliebigen Konto konnte man die anderen 443 entlang der Koordinationsbeziehungen erreichen.
Das Koordinationsnetzwerk der angreifenden Konten (größte zusammenhängende Komponente). Je größer der Punkt, desto mehr Koordinationsverbindungen hat das Konto; Farbmarkierungen repräsentieren unterschiedliche Koordinationsbereiche.
Die engsten Kontopaare veranschaulichen am besten, was „Koordination“ bedeutet: Das Paar mit dem höchsten Gewicht erwähnte sich gegenseitig oder antwortete einander 36 Mal innerhalb von drei Tagen; ein weiteres Paar erschien gemeinsam in fünf identischen Kommentarbereichen, interagierte fünf Mal und veröffentlichte acht Mal nahezu identische Inhalte; und zwei weitere Konten hatten zwei Aufzeichnungen von „100 % identischem Inhalt“. Die zentralen Knoten des Netzwerks sind ebenso aufschlussreich: Das am stärksten vernetzte Konto war mit 63 Konten verbunden, veröffentlichte 29 feindselige Tweets und erhielt 741.000 Impressionen; ein weiteres Konto veröffentlichte in drei Tagen nur 7 Mal, erhielt jedoch 742.000 Impressionen und war mit 41 Konten verbunden. Im Gegensatz dazu veröffentlichten zwei „Spam-Konten“ jeweils über 120 Mal, erhielten jeweils weniger als tausend Impressionen, waren aber die dichtesten Verbindungspunkte in den Kommentarbereichen. Erstere gaben den Ton an, letztere lieferten die Masse – diese Arbeitsteilung ist selbst eine Spur von Organisation.
Netzwerkdetails: der am stärksten vernetzte Kernknoten (Mitte) und seine 63 zugehörigen Konten. Rote Linien zeigen koordinierte Verbindungen mit dem Kernknoten; graue Linien zeigen Verbindungen zwischen zugehörigen Konten.
Die unüberwachte Community-Erkennung auf diesem Netzwerk (der Algorithmus betrachtet nur die relationale Struktur und bezieht sich nicht auf manuelle Labels) ergibt 11 Cluster. Die fünf größten unterscheiden sich deutlich in Größe, Sprache und Koordinationsstil.
Die fünf größten koordinierten Cluster
Cluster 3 verdient besondere Aufmerksamkeit. 66 Konten veröffentlichten über drei Tage 1.135 Beiträge, durchschnittlich 17 pro Person, doch die Gesamtimpressionen betrugen nur etwa 170.000 – weniger als 2.600 pro Person. Diese Konten veröffentlichen fast nie unabhängig; stattdessen erscheinen sie in Batches in den Kommentarbereichen derselben Beiträge, am häufigsten unter Beiträgen von Binance-Führungskräften und Kernkonten. Ihre Aufgabe ist nicht, mehr Menschen eine bestimmte Sichtweise sehen zu lassen, sondern denen, die den Beitrag sehen, das Gefühl zu geben, dass „alle so denken“.
Netzwerkdetails: Cluster 3 (das Kommentar-Thread-Cluster). Verbindungen zwischen Mitgliedern manifestieren sich hauptsächlich als „gemeinsames Erscheinen im selben Kommentar-Thread“.
Zwei Taktiken in den Kommentarbereichen
Die erste ist „Schwarmbildung zur Momentum-Erzeugung“. Wenn ein Konto feindseligen Inhalt veröffentlicht, überschwemmt dieselbe Charge von Konten den Kommentarbereich innerhalb eines kurzen Zeitfensters, echot, ergänzt und verstärkt die Anschuldigungen. Für einen gewöhnlichen Nutzer, der den Beitrag beiläufig öffnet, ist das, was er sieht, nicht die Sichtweise einer Person, sondern eine Bildschirmfülle einstimmiger Stimmen. In mehreren feindseligen Beiträgen mit hohen Impressionen, die in der Stichprobe überprüft wurden, machten Stichprobenkonten 25 % bis 47 % der Kommentare aus, und diese Kommentare machten 22 % bis 44 % der Impressionen des Beitrags aus; unter einem Beitrag eines kleinen Kontos gehörten 11 der 12 Kommentatoren zur Stichprobe.
Das zweite ist „Belagerung und Feldräumung“. Wenn ein Nutzer zur Verteidigung von Binance postet oder lediglich offizielle Informationen objektiv wiedergibt, betritt dieselbe Charge von Konten den Kommentarbereich und greift den Verfasser mit Etiketten wie „Speichellecker“, „Binance-Hund“, „wie viel wurdest du bezahlt“ und „bezahlter Shill“ an, ohne auf den Inhalt einzugehen. Während des Vorfalls veröffentlichten 133 Beispielkonten 234 solcher Beiträge, von denen 79 % Antworten unter Beiträgen anderer waren. Die Logik ähnelt dem Isolationsmechanismus von Schulmobbing: Statt das Ziel direkt anzugreifen, lässt man jeden, der sich dem Ziel nähert, einen Preis zahlen. Ein gewöhnlicher Nutzer postet eine einzige Zeile: „Ich glaube, Binance kann das bewältigen“, und erhält Dutzende persönliche Angriffe zurück – nächstes Mal wird er höchstwahrscheinlich Schweigen wählen. Das ist der Chilling-Effekt: Unterdrückt wird nicht eine Ansicht, sondern die Bereitschaft, sich zu äußern.
Angriffe auf Einzelpersonen
Während des Vorfalls richteten sich 421 Beiträge hauptsächlich auf persönliche Angriffe gegen Binances Gründer und Mitgründer, von 103 Konten. Ein beträchtlicher Teil zielte auf He Yis Schwangerschaft und verwendete äußerst beleidigende Sprache, wobei einzelne Beiträge über 100.000 Impressionen erreichten und einige bis zu Verwünschungen des ungeborenen Kindes eskalierten. Dieser Artikel gibt diese Inhalte nicht weiter. Es sei gesagt, dass solche Inhalte nichts mit dem Sicherheitsvorfall zu tun haben; ihr Vorhandensein zeigt nur eines – für einige Teilnehmer ging es nie darum, den Vorfall zu diskutieren, sondern darum, Menschen anzugreifen.
Lager
Basierend auf in den öffentlichen Inhalten von Konten sichtbaren Signalen von Ökosystem-Affinität (zum Beispiel langfristig konzentrierte Bewerbung einer bestimmten Plattform, hochfrequente Interaktion mit Mitarbeitern dieser Plattform, kontinuierliche Weiterleitung von Traffic an Wettbewerber bei gleichzeitiger Attacke auf Binance) wurden einigen Konten Lageretiketten zugewiesen. Es muss noch einmal betont werden: Diese Etiketten beschreiben Tendenzen in öffentlichen Inhalten, nicht die Feststellung eines Beschäftigungsverhältnisses.
Konten und Ansichten nach Lageretikett (1.083 Konten)
Zwei strukturelle Fakten verdienen Aufmerksamkeit. Erstens gehören die höchsten Impressionen pro Kopf nicht zur größten Gruppe: 69 Konten, die Ökosystem-Affinitätsmerkmale einer bestimmten Derivate-Plattform zeigen, erzielten durchschnittlich etwa 39.000 Impressionen pro Konto; 19 Konten, die verdächtigt werden, mit Rechteverteidigern in Verbindung zu stehen, erzielten durchschnittlich etwa 38.000; 107 Konten, die Ökosystem-Affinitätsmerkmale einer bestimmten Börse zeigen, erzielten durchschnittlich etwa 25.000; während 874 nicht gekennzeichnete Konten durchschnittlich etwa 17.000 erzielten. Zweitens bedeutet „nicht gekennzeichnet“ nicht „isoliertes Individuum“. Sie sind nicht gekennzeichnet, weil in ihren öffentlichen Inhalten keine klare Plattformbewerbung oder direkte Interaktion mit Plattformmitarbeitern beobachtet wurde, und aus Vorsicht wurden sie als „unabhängig“ belassen; aber im Koordinationsnetzwerk befinden sich viele im selben Cluster wie gekennzeichnete Konten, teilen Kommentarbereiche, Interaktionsziele und ähnliche Erzählrhythmen. Die Schlussfolgerung des Autors ist, dass einige von ihnen möglicherweise von Dritten angeheuert werden und Rufschädigung als Beruf betreiben, aber derzeit gibt es keine direkten Beweise.
Unter den 452 Konten des Koordinationsnetzwerks erlaubt derselbe Standard einen genaueren Blick: 63 sind als OKX-affin gekennzeichnet (darunter 33 verdächtige OKX), meist chinesischsprachig, mit 343 feindseligen Tweets und 917.000 Impressionen; 23 sind als HyperLiquid-affin gekennzeichnet, machen nur 5,1 % der Gesamtzahl aus, nehmen aber 14,3 % der Impressionen ein, mit der höchsten durchschnittlichen Konnektivität aller Lager; 13 sind verdächtige Rechteverteidiger, deren Rhetorik hauptsächlich aus persönlichen Angriffen und alten Beschwerden besteht; 4 Konten tragen Merkmale einer chinesischen Übersee-Politgruppe (Guo Wenguis „Neuer Bundesstaat China“) und interpretieren den Vorfall als politische Verschwörung. Unter den 346 unabhängigen Konten sind 189 (54,6 %) direkt mit mindestens einem Lagerkonto verbunden; es gibt 240 Verbindungen zwischen unabhängigen Konten und OKX-affinen Konten, weit mehr als die 42 Verbindungen innerhalb des OKX-Lagers. Die Daten deuten darauf hin: Mehrere Gruppen von Konten mit unterschiedlichen Ökosystem-Affinitätsmerkmalen beteiligten sich dicht innerhalb desselben Zeitfensters an Angriffen gegen Binance, mit Cross-Kollaboration unter ihnen; aber die Daten können nicht beweisen, dass OKX, HyperLiquid oder eine Institution diese Aktivitäten kannte, organisierte oder finanzierte. Die Branche vermutete zuvor, dass Bitget-bezogene Konten beteiligt waren; in diesen Daten wurden keine entsprechenden Lagerkonten gefunden.
Linkes Diagramm: Anzahl der koordinierten Links, gezählt nach Signaltyp (ein Link kann mehrere Signale tragen); rechtes Diagramm: Anzahl der Links zwischen den Lagern (die Diagonale repräsentiert lagerinterne Links).
Was jedes Lager will, ist deutlich unterschiedlich: Einige konzentrieren sich auf „Insolvenz“ und die Mobilisierung für einen Bank-Run, während sie alternative Plattformen bewerben; einige konzentrieren sich darauf, „alte Rechnungen aufzuwühlen“, und nutzen Ereignisse, um frühere Kontroversen wieder aufzuwärmen; einige stellen politisierte Narrative in den Mittelpunkt. Interessanterweise kritisierte ein als OKX-nahestehend gekennzeichnetes Konto am 31. Oktober öffentlich ein Nachrichtenkonto einer Derivateplattform dafür, „die Gelegenheit zu nutzen, um Nutzer abzuwerben ... sich von menschlichem Blut und Fleisch zu ernähren“ – diese Lager mögen kein einheitliches Kommandozentrum haben, aber während dieser 78 Stunden überschnitten sich ihre Aktionen zeitlich stark und verstärkten sich in ihrer Wirkung gegenseitig.
VI. Ruhezustand und Aktivierung: Konten, die nur aufwachen, wenn sie Binance angreifen
Um zu prüfen, ob diese Konten lediglich „zufällig besonders aktiv in diesen paar Tagen“ waren, hat der Autor nach Abschluss der Stichprobenziehung alle früheren öffentlichen Beiträge aller 1.083 Konten zurückverfolgt und mehrere Zeitfenster verglichen: zwei gewöhnliche Zehntagesfenster ohne größere Binance-Kontroversen (Juni und August 2026) und zwei frühere Binance-bezogene Kontroversenfenster (die „Cathie Wood“-Kontroverse von Januar bis Februar 2026 und die Iran-bezogenen Vorwürfe im März 2026).
In normalen Zeiten nahezu still. In gewöhnlichen Fenstern veröffentlichten diese Konten zusammen nur etwa 131 Binance-bezogene Beiträge pro Tag; unter ihnen kamen 964 (89 %) im Durchschnitt auf nicht mehr als 0,2 Beiträge pro Tag – die meisten Konten würden Binance nicht einmal einmal pro Woche erwähnen.
Kollektive Aktivierung während des Ereignisses. Während des Ereignisses veröffentlichten dieselben Konten durchschnittlich 3.228 Binance-bezogene Beiträge pro Tag, das 24,6-Fache des normalen Niveaus. Gemessen am koordinierten Netzwerk veröffentlichten von 452 Konten 200 (44,2 %) über drei Tage hinweg nur ein oder zwei feindselige Tweets, hatten aber dennoch nachweisbare koordinierte Beziehungen zu anderen Konten – „niedrige Frequenz, hohe Konnektivität“.
Sie waren auch während früherer Kontroversen aktiviert. Während der „Cathie Wood“-Kontroverse Anfang 2026 veröffentlichten dieselben Konten durchschnittlich 480 Binance-bezogene Beiträge pro Tag, das 3,7-Fache des normalen Niveaus; 382 Konten veröffentlichten in diesem Fenster. Innerhalb dieses Zehntagesfensters gab es 72 Beiträge, in deren Kommentarbereichen fünf oder mehr Stichprobenkonten gleichzeitig erschienen, während gewöhnliche Fenster gleicher Länge nur vier aufwiesen.
Einige Konten treten über Ereignisse hinweg wiederholt auf. 116 Konten veröffentlichten sowohl in der „Cathie Wood“- als auch in der Iran-Runde von Ereignissen Binance-bezogene Inhalte.
Um fair zu sein: Im Fenster der Iran-bezogenen Vorwürfe im März war die allgemeine Veröffentlichungsintensität dieser Konten (durchschnittlich 113 Beiträge pro Tag) mit der normalen Baseline vergleichbar, ohne offensichtliche allgemeine Aktivierung; jedoch veröffentlichten 133 Konten in diesem Fenster, und gleichzeitige Erscheinungen in Kommentarbereichen stiegen etwas an. Dies zeigt, dass „ereignisübergreifende synchronisierte Aktivierung“ kein universelles Merkmal der gesamten Stichprobe ist, sondern sich auf eine Teilmenge konzentriert.
Ein typisches Beispiel: Ein englischsprachiges Konto veröffentlichte in beiden gewöhnlichen Fenstern keine Binance-bezogenen Inhalte; während der „Cathie Wood“-Kontroverse lag es bei durchschnittlich etwa 6 Beiträgen pro Tag mit dem Thema „soundso eine Coin wurde noch nicht bei Binance gelistet“; während dieses Ereignisses lag es bei durchschnittlich mehr als 17 Beiträgen pro Tag. Es diskutiert nicht den Markt, diskutiert nicht die Branche und erscheint nur, wenn Binance zum Thema wird.
VII. Wofür gekämpft wird: Eine Social-Engineering-Operation
Der Kern von Social Engineering ist nicht Technologie, sondern die Ausnutzung psychologischer Schwächen, um Kontrolle zu erlangen. Setzt man die obigen Daten zusammen, entsteht die Kontur dieser narrativen Operation.
Sie schafft keine Ereignisse; sie parasitiert auf Ereignissen. Der Sicherheitsvorfall ist real, die Sorgen der Nutzer sind real, und auch einige Kritik ist real. Was die narrative Operation tut, ist, Schlussfolgerungen auf reale Emotionen zu pfropfen: „Aussetzung von Auszahlungen“ auf „kein Geld mehr“, „Verluste tragen“ auf „selbst inszeniert“, „Auszahlungsspitze“ auf „FTX-Zusammenbruch“.
Es wechselt die Themen im Anschluss an Antworten und läuft manchmal sogar voraus. Jedes Mal, wenn Binance neuen Fortschritt ankündigt und die alte Erzählung an Kraft verliert, übernimmt innerhalb desselben Fensters eine neue Erzählung: Die Insider-Theorie erschien 14 Minuten, bevor der Angriffsweg offengelegt wurde; die Frage nach dem „einen Laptop“ erschien 3 Minuten nach der Offenlegung; „Rekord-Nettoabfluss“ erschien 6 Minuten nach der Ankündigung des „2,1 % Nettoabflusses“; Konkurrenz-Erzählungen erschienen 17 Minuten nach der Wiederaufnahme der Auszahlungen; die Mobilisierung „rennen, sobald die Tür aufgeht“ erschien fast 40 Stunden, bevor die Auszahlungen tatsächlich wieder aufgenommen wurden.
Es mischt sich unter echte Nutzer. 79,6 % der Inhalte bestehen aus Antworten statt aus Originalbeiträgen, viele davon unter Beiträgen echter Nutzer. Unbeteiligte finden es schwer zu unterscheiden, welche Kommentare echte Anliegen von Nutzern sind und welche organisierte Stimmen sind. Diese Verwirrung ist selbst eines der Ziele: Sie lässt jede Reaktion wie „Unterdrückung der Nutzer“ aussehen.
Es gibt eine klare Arbeitsteilung. Konten mit weniger als 300 Followern veröffentlichten 44,1 % der negativen Tweets, erzeugten aber nur 5,1 % der Impressionen; Konten mit mehr als 50.000 Followern machten nur 6,2 % des Veröffentlichungsvolumens aus, erzielten aber 68,0 % der Impressionen. Top-Konten geben den Ton an, während kleine Konten in Kommentarbereichen das Volumen liefern, Belagerungen veranstalten und Phishing-Köder auslegen.
Anteil negativer Beiträge und Anteil der Impressionen (nach Follower-Stufe des Autors): Kleine Konten bringen „Quantität“, große Konten bringen „Reichweite“.
Es unterdrückt, statt zu debattieren. Persönliche Angriffe auf Unterstützer und Beleidigungen gegen Gründer sind keine sachliche Diskussion, sondern Versuche, zu verändern, wer es wagt zu sprechen. Und all dies zielt letztlich auf ein Verhaltensergebnis ab: so viele Nutzer wie möglich dazu zu bringen, ihre Vermögenswerte in so kurzer Zeit wie möglich abzuziehen. Genau das ist während eines Sicherheitsvorfalls das Gefährlichste sowohl für die Plattform als auch für die Nutzer selbst. Wenn tatsächlich ein Bank Run entstünde, wäre der Schaden nicht auf ein Unternehmen beschränkt; er würde jeden gewöhnlichen Nutzer treffen, der in Panik zu niedrigen Preisen verkauft oder aufgrund von Überlastung das Zeitfenster verpasst.
Diesmal ist der Bank Run nicht eingetreten. Zwölf Stunden nach Wiederaufnahme der Auszahlungen entschieden sich 98 % der Nutzer zu bleiben. Das ist zuallererst eine Anerkennung der Urteilskraft der Nutzer – im Moment der größten Informationsunruhe entschied sich die Mehrheit, auf offizielle Informationen zu warten, On-Chain-Daten zu prüfen und selbst zu urteilen.
VIII. Einschränkungen, Gegenbelege und zu überprüfende Punkte
Erstens bedeutet Koordination nicht Anwerbung. Gleichzeitig in Kommentarbereichen zu erscheinen oder einander zu antworten kann auch bedeuten, dass sich echte Nutzer mit ähnlichen Ansichten auf natürliche Weise versammeln; stark korreliertes Kontoverhalten bedeutet nicht direkt Bezahlung oder Steuerung. Zweitens bedeuten Lagerbezeichnungen nicht Unternehmenssteuerung. Die in diesem Artikel verwendeten Bezeichnungen „mit OKX verbunden“, „mit HyperLiquid verbunden“ und „mutmaßliche Rechteanwälte“ sind Klassifizierungen auf Grundlage öffentlichen Verhaltens; es gibt keine direkten Belege dafür, dass eine Institution offiziell an dem Angriff beteiligt war, ihn geplant oder finanziert hat. Drittens stützt sich dieser Artikel nur auf öffentliche Daten und kann Inhalte von gelöschten oder geschützten Konten nicht abdecken; die historische Fensterabfrage ist durch den Keyword-Umfang begrenzt und kann das tatsächliche Veröffentlichungsvolumen unterschätzen. Viertens beginnt das Beobachtungsfenster des koordinierten Netzwerks am 30. Oktober um 20:00 Uhr; Beziehungsdaten für etwa die ersten 15 Stunden nach dem Vorfall fehlen, sodass die Koordination am ersten Tag unterschätzt werden kann.
Die Daten selbst liefern auch Fakten, die der Erzählung von der „Armee der Wasserarmeen“ ungünstig sind. Die 134 mutmaßlichen Wasserarmee-Konten mit den höchsten Scores unter überprüfbaren Regeln machen 9 % der Stichprobe aus, und ihre feindseligen Beiträge erhielten zusammen nur etwa 18.000 Impressionen – 0,6 %; Inhalte, die als reine „Wasserarmee-Massenposting“-Vorlagen identifiziert wurden, erhielten nur 5.419 Impressionen. Unter den drei Gerüchtetypen mit den höchsten Impressionen machten mutmaßliche Wasserarmee-Konten nur 8,5 % bis 27,8 % aus. Große Erzählungen werden hauptsächlich von einer kleinen Zahl von Top-Konten vorangetrieben; Wasserarmeen leisten eher Füllarbeit und Phishing. Darüber hinaus haben mutmaßliche Rechteanwälte echte Beschwerden, und ihre Beteiligung ist nicht unbedingt ein organisatorisches Produkt; viele Nutzer sprechen aufgrund realer Verluste und realer Sorgen, und ihre Kritik sollte strikt von dem in diesem Artikel diskutierten koordinierten Verhalten unterschieden werden.
Hauptargumente und Beweiskraft
Die in diesem Artikel genannten oder beteiligten Institutionen (einschließlich OKX, HyperLiquid und Bitget) sowie die zugehörigen Einzelkonten haben alle das Recht, auf die Daten und Schlussfolgerungen in diesem Artikel zu reagieren und sie zu klären; nach Erhalt von Antworten oder gegenteiligen Beweisen wird dieser Artikel entsprechend aktualisiert.
IX. Fazit: Wenn Sie „Jetzt gehen“ sehen
Zurück zur Frage am Anfang: Hat Binance einen organisierten Rufschädigungsangriff erlitten? Mit den öffentlichen Tweets dieser 78 Stunden als Stichprobe lautet die Antwort der Daten: Es existiert ein beträchtliches Angriffsnetzwerk, das intern stark vernetzt ist und seine Gangart im Rhythmus der Reaktionen von Binance wechselt; darin befinden sich mehrere Gruppen mit unterschiedlichen Ökosystem-Affinitätsmerkmalen und unterschiedlichen Zielen, die möglicherweise nicht von derselben Kommandozentrale Befehle erhalten, aber dennoch im selben Zeitfenster separat agieren und sich in den Kommentarbereichen miteinander koordinieren. Die „Reichweite“ dieses Netzwerks stammt hauptsächlich von einer kleinen Zahl von Top-Konten; seine „Dichte“ stammt von einer großen Zahl kleiner Konten, die normalerweise still sind, wenige Follower haben, aber hochgradig vernetzt sind.
Die Daten mahnen auch zur Zurückhaltung. Koordination ist eine messbare Tatsache; Anwerbung und Anstiftung sind Schlussfolgerungen, die mehr Beweise erfordern. Kritik selbst ist kein Angriff, und die meisten Fragesteller sind echte Nutzer. Was wirklich Wachsamkeit verdient, ist die Art von Stimme, die genau auf dem Höhepunkt der Panik ihre Gangart wechselt, genau dort in Clustern auftaucht, wo sich Unterstützer versammeln, und deren Schlussfolgerung genau dann geschrieben steht, bevor die andere Seite überhaupt spricht.
Für Börsen lautet die Lehre aus diesem Vorfall: In der Krisenkommunikation können nur Zusagen und überprüfbare Zahlen den Lärm durchdringen – Absicherungen, Beträge, Zeitpläne, Reserve-Nachweise. Binance hat erklärt, weiterhin Informationen in überprüfbarer Form offenzulegen, nach Abschluss der Untersuchung einen vollständigen technischen Post-Mortem zu veröffentlichen, weiterhin gefälschte Entschädigungsankündigungen, gefälschte Listing-Ankündigungen und unter Identitätsmissbrauch veröffentlichte Phishing-Links zu melden sowie Beweise zu sichern und Inhalte mit persönlichen Drohungen zur rechtlichen Bewertung weiterzuleiten.
Für jeden gewöhnlichen Nutzer gibt es vielleicht nur einen Rat: Schauen Sie in einer Krise auf Plattformankündigungen und On-Chain-Daten. Wenn Sie im Kommentarbereich einen Bildschirm voller einstimmiger Stimmen sehen, schauen Sie noch einmal, worüber diese Konten normalerweise sprechen; wenn Sie erstaunliche Zahlen sehen, fragen Sie, was der Nenner ist; wenn Sie „Jetzt gehen, es ist zu spät“ sehen, fragen Sie, wer am meisten möchte, dass Sie genau in diesem Moment diese Entscheidung treffen.
Anhang: Methodik
Beobachtungsumfang: 30. Oktober 2026, 05:00 bis 2. November, 20:00 (UTC+8); historische Vergleichsfenster (retrospektive Stichprobe früherer öffentlicher Beiträge der Konten) waren der 27. Januar bis 5. Februar, 10. bis 14. März, 1. bis 10. Juni und 10. bis 19. August 2026. Alle Zeiten wurden mit den in den Tweet-IDs eingebetteten Zeitstempeln abgeglichen.
Stichprobe: vom Autor innerhalb von drei Tagen nach dem Vorfall gesammelt, unter Verwendung von KI zum Scannen von Konten, die an Diskussionen auf X teilnahmen; 1.083 Konten, die die Kriterien erfüllten, wurden in die Stichprobe aufgenommen, wobei insgesamt etwa 11.700 Beiträge gesammelt wurden. Reine Retweets wurden ausgeschlossen, Originalbeiträge, Antworten und Zitate beibehalten. Der Abschnitt zum Koordinationsnetzwerk konzentrierte sich auf die 641 aktivsten Konten (Beobachtungsfenster 30. Oktober, 20:00 bis 2. November, 20:00).
Beurteilung von Desinformation: Die Kernbehauptung jedes Elements wurde anhand offizieller Ankündigungen, On-Chain-Daten und autoritativer Drittinformationen beurteilt und in eine von 15 Kategorien eingeteilt; Meinungsaussagen, die weder bestätigt noch widerlegt werden können, wurden nicht als Desinformation gezählt.
Narrativklassifizierung: Basierend auf Schlüsselwörtern und semantischen Regeln kann ein Inhalt gleichzeitig zu mehreren Narrativen gehören; die Phasenintensität wurde entsprechend der Dauer jeder Phase in Beiträge pro Stunde umgerechnet.
Koordination: gewichtete Summierung von sechs Signaltypen zwischen zwei Konten; Cluster wurden mit dem Louvain-Modularitätsalgorithmus identifiziert, ohne manuelle Lagerbezeichnungen zu verwenden.
Bewertung mutmaßlicher Wasserarmeen: Bewertet nach Regeln wie weniger als 50 Follower, Following-Anzahl mehr als das Dreifache der Follower-Anzahl, weniger als 500 Follower, aber mehr als 2.000 Beiträge, kürzliche Registrierung, ausschließliches Veröffentlichen von Antworten und wiederholtes Veröffentlichen identischen Textes; eine Gesamtpunktzahl von 4 oder mehr wurde als mutmaßlich eingestuft.
