Binance: gefälschte Bewerbungsgespräche und ein missbrauchtes KI-Tool ermöglichten den Diebstahl von 6,34 Mrd. Dollar

Was laut Binance geschah

Binance veröffentlichte den Vorfallbericht am 3. November. Die Darstellung beginnt im Juni 2026: Ein Wallet-DevOps-Ingenieur, den das Unternehmen Engineer A nennt, lud eine manipulierte Homebrew-Installation eines verbreiteten KI-Programmierwerkzeugs herunter, nachdem er sie über eine Suchmaschine gefunden hatte. Binance erklärte, die Auffälligkeit erkannt, das Gerät ausgetauscht und Zugangsdaten erneuert zu haben. Zugleich räumte das Unternehmen ein, dass Informationen über die Rolle von Engineer A und über Kollegen im Wallet-Infrastrukturteam an den Angreifer gelangten.

Im September 2026 nahm jemand, der sich als Project Director eines fiktiven Unternehmens ausgab, über eine echte Jobplattform Kontakt zu einem zweiten Ingenieur auf, Engineer B. Es folgten zwei Gespräche. Das erste war ein Videoanruf mit einer angeblichen Personalreferentin, die ein privates Social-Media-Konto teilte, um Vertrauen aufzubauen. Das zweite lief über eine Chat-App mit einer Person, die sich als CEO des Unternehmens ausgab. Gegen Ende forderte diese Person Engineer B auf, eine Arbeitsprobe aus einem Code-Repository herunterzuladen.

Das Repository enthielt Malware, die sich während der Installation ausführte. Binance nannte sie maßgeschneidert und zum damaligen Zeitpunkt von Endpoint-Werkzeugen unentdeckt. Sie ersetzte eine Komponente eines legitimen Entwicklungswerkzeugs durch eine bösartige Version. Während der Ausführung entfernte sie außerdem ihre Spuren.

"Es war kein einzelner, isolierter Einbruch und auch kein einfacher Phishing-Vorfall", heißt es in dem Bericht.

Am 20. Oktober nutzten die Angreifer den kompromittierten Rechner von Engineer B und ein internes KI-Tool, um die Rechner von Engineer A und eines weiteren Wallet-Ingenieurs, Engineer C, zu übernehmen, wie The Hacker News berichtete. Am 29. Oktober meldete sich der Angreifer zwischen 17:15 und 19:56 am Rechner von Engineer C an, verwendete die bei Engineer A erbeuteten Zugangsdaten, startete einen Container und löste ein bösartiges Skript aus. Wired berichtete, die Hacker hätten Milliarden in etwa 20 Minuten verschoben.

Warum der Signaturdienst entscheidend war

Das Skript erreichte einen internen Wallet-Signaturdienst, also das System, das Transaktionen freigibt. Damit konnten die Angreifer Überweisungen außerhalb des normalen Auszahlungsprozesses anstoßen. Richard Teng, Co-CEO von Binance, wies die Darstellung zurück, ein einzelner Laptop eines Mitarbeiters sei ein single point of failure gewesen. Teng sagte gegenüber CNBC, die Angreifer hätten "Monate damit verbracht, sich hineinzuarbeiten".

BleepingComputer berichtete über einen zweiten Mechanismus. Die Angreifer missbrauchten die Autorisierungsfunktion EIP-7702 von Ethereum. Dadurch konnten sie Gelder weiter bewegen, nachdem Binance Auszahlungen ausgesetzt hatte. Binance hat eingeräumt, dass autorisierte Transaktionen nach dem Einfrieren weiterliefen.

Binance erklärte, es gebe keine Hinweise auf ein durchgesickertes privates Wallet-Schlüssel. Verluste wolle das Unternehmen aus dem Secure Asset Fund for Users und aus eigenen Mitteln decken.

Die Angreifer erbeuteten Gelder über 11 Blockchains, 82% davon lagen auf Ethereum und Bitcoin, so The Hacker News. Von den betroffenen 6,34 Mrd. Dollar waren 2,85 Mrd. Dollar eingefroren oder abgefangen worden, etwa 45%. Tether, Circle, Ripple, Arbitrum und Optimism froren diese 2,85 Mrd. Dollar ein, berichtete The Hacker News. Allein Tether und Circle blockierten mehr als 1,567 Mrd. USDT und 800 Mio. USDC, der Security Council von Arbitrum etwa 30,5 Mio. Dollar.

Die Aufräumarbeiten und das Geld

Bis zum 31. Oktober hatte Binance 98% der betroffenen Vermögenswerte in Höhe von 6,34 Mrd. Dollar wieder aufgefüllt, wie BleepingComputer berichtete. Teng sagte am 3. November gegenüber CNBC, Binance kaufe noch die ausstehenden, weniger liquiden Positionen nach.

Bis zum 3. November hatte die Börse das betroffene Wallet-System und die internen KI-Werkzeuge neu aufgebaut. Sie hatte Geräte ausgetauscht und kompromittierte Zugangsdaten außer Betrieb genommen. Auch die erweiterten Scans der Mitarbeiterrechner waren abgeschlossen. Auszahlungen kehrten schrittweise zurück. Binance begann laut The Hacker News am 1. November um 6 Uhr UTC mit der stufenweisen Wiederherstellung. Teng sagte gegenüber CNBC, ein unabhängiger Experte werde "alles, was wir getan haben" prüfen.

Nordkorea und die Gesamtsummen

Das FBI schrieb den Diebstahl am 31. Oktober der Gruppe TraderTraitor zu, die Nordkorea nahesteht. Binance nennt TraderTraitor selbst nicht und verweist auf die Zuschreibung des FBI. Das Unternehmen teilt mit, sein Sicherheitsteam habe 2026 insgesamt 57 mutmaßlich mit Nordkorea verbundene Fälle erkannt und verhindert. Elliptic erklärte, der einzelne Vorfall verdopple nahezu die Gesamtsumme der von Nordkorea gestohlenen Krypto-Vermögenswerte, die das Unternehmen für die vergangenen Jahre mit über 6,5 Mrd. Dollar beziffert. Das passt zu den Zahlen: Eine Beute von 6,34 Mrd. Dollar liegt nahe an der bisherigen Summe, die kumulierte Zahl würde sich also in etwa verdoppeln.

Die Beute übertrifft den Diebstahl bei Bybit im Februar 2025, den The Hacker News mit 1,46 Mrd. Dollar angab. Wired berichtete, TraderTraitor habe im vergangenen Jahr bei einem anderen Hack mehr als 1,5 Mrd. Dollar erbeutet.

Binance und CNBC beziffern den Schaden auf 6,34 Mrd. Dollar, diesen Wert verwendet dieser Artikel. The Hacker News nannte eine Beute von 6,43 Mrd. Dollar. Chainalysis schätzte zum Zeitpunkt des Diebstahls etwa 5,912 Mrd. Dollar und bezeichnete den Fall als fast viermal so groß wie den nächstgrößten Raub.

Wie es weitergeht

Binance erklärt, rund um die Uhr mit Strafverfolgungsbehörden und Partnern aus der Branche zusammenzuarbeiten, um die verbleibenden Gelder zu verfolgen und einzufrieren. Das FBI teilte mit, es erwarte, dass die Angreifer die gestohlenen Vermögenswerte überwiegend in Ethereum umwandeln. Anschließend würden sie das Geld über DeFi- und Instant-Swap-Dienste waschen.

Auszahlungen werden schrittweise zurückkehren, sobald die Prüfungen abgeschlossen sind.