TL;DR: Das Wichtigste
- Mithilfe eines vorgetäuschten Einstellungsverfahrens gelang es Hackern, einen Ingenieur von Binance mit einem manipulierten technischen Test in eine Falle zu locken.
- Anschliessend nutzten die Angreifer ein internes Tool für künstliche Intelligenz, um sich seitlich im System zu bewegen und sensible Zugangsdaten zu stehlen.
- Die mit Nordkorea in Verbindung stehende Gruppe missbrauchte Wallet-Signaturen, um innerhalb von zwanzig Minuten Gelder auf zehn Blockchains abzuzweigen.
- Die Emittenten und die Plattform haben bereits 2,85 Milliarden Dollar des insgesamt angestrebten Betrags eingefroren oder zurückgewonnen.
Am 29. Oktober 2026 wurden von der Kryptowährungsbörse Binance digitale Vermögenswerte im Wert von 6,34 Milliarden Dollar gestohlen, nachdem der Computer eines Mitarbeiters durch ein gefälschtes Vorstellungsgespräch infiziert worden war. Technische Untersuchungen des Unternehmens und der Behörden führen diesen Vorfall auf die nordkoreanische Gruppe TraderTraitor zurück, die auch unter den Namen Lazarus und APT38 bekannt ist. Dieser Angriff stellt den grössten Diebstahl in der Geschichte des Sektors der digitalen Vermögenswerte dar und wurde grösstenteils innerhalb von nur etwa zwanzig Minuten durchgeführt.
Ein vorgetäuschter Einstellungsprozess, um sich Zugang zum Arbeitscomputer zu verschaffen
Der Angriff begann im September 2026, als sich ein Hacker auf einer beruflichen Plattform als Projektleiter ausgab, um Kontakt zu einem Ingenieur von Binance aufzunehmen. Es folgten zwei Online-Gespräche, darunter ein erster Videoanruf mit einer vorgetäuschten Personalverantwortlichen, die persönliche Profile in sozialen Netzwerken vorzeigte, um das Vertrauen des Opfers zu gewinnen. Beim zweiten Gespräch forderten die Cyberkriminellen den Ingenieur auf, einen Programmcode-Test auf seinem Dienstcomputer auszuführen.
Das Wichtigste zu Cybersicherheit, KI & Tech
Werden Sie Teil der Community. 3-mal pro Woche erhalten Sie die Trendanalyse von Marc Barbezat (auf Französisch). Kein Spam, nur Informationen.
Die heruntergeladene Datei enthielt eine den Sicherheitsprogrammen unbekannte Schadsoftware, die darauf ausgelegt war, eine legitime Entwicklungskomponente im Homebrew-Manager unter macOS unbemerkt zu ersetzen. Das Skript löschte die ursprüngliche ausführbare Datei, um eine eigene, modifizierte Version zu installieren, die in der Lage war, Befehle aus der Ferne zu empfangen und dabei ihre Spuren zu verwischen. Der Mitarbeiter verfügte bereits über sensible interne Einblicke, was den Angreifern einen ersten direkten Zugang zum Unternehmensnetzwerk verschaffte.
Die Vorbereitungen für den Angriff reichten tatsächlich bis in den Juni 2026 zurück, als ein anderes Mitglied des Wallet-Teams auf der Suche nach einer Entwicklungshilfe-Anwendung eine manipulierte Version eines Tools heruntergeladen hatte. Obwohl dieser erste Alarm zum Austausch des betroffenen Computers führte, hatten die Hacker bereits die Funktionen und die Identität der Schlüsselpersonen dieser kritischen Infrastruktur ausgemacht, wie Ars Technica berichtet.
Die Umsetzung über das interne KI-Tool bis hin zu den Portfolios
Am 20. Oktober 2026 nutzten die Angreifer den kompromittierten Computer des Ingenieurs sowie eine interne KI-Anwendung, um zwei weitere Mitarbeiter zu erreichen, darunter den Leiter der Portfolio-Infrastruktur. Das KI-Tool wies zwar keine eigene Sicherheitslücke auf, diente jedoch als Sprungbrett, um die legitimen Zugriffsrechte des Benutzers auszunutzen und ein Container-Bereitstellungstoken abzurufen, wie BleepingComputer ausführlich berichtet.
Mithilfe dieser gestohlenen Zugangsdaten haben die Hacker am 29. Oktober 2026 einen Container und ein Skript auf dem Computer eines anderen Ingenieurs installiert, um den Transaktionssignaturdienst von Binance zu steuern. Die Angreifer haben zwar die privaten Schlüssel der Wallets nicht gestohlen, konnten jedoch gültige Überweisungsaufträge an ihre eigenen Adressen auf zehn verschiedenen Blockchains auslösen, wie The Register erläutert.
Analyse
Es handelt sich zweifellos um den grössten Raubüberfall aller Zeiten, bei dem Kryptowährungen im Wert von 6,3 Milliarden US-Dollar innerhalb von etwa zwanzig Minuten entwendet wurden. Nach den neuesten Informationen von Binance sollen nordkoreanische Hackersollen ein vorgetäuschtes Vorstellungsgespräch genutzt haben, um einen Mitarbeiter dazu zu verleiten, eine Schadsoftware zu installieren, die es ihnen schliesslich ermöglichte, die Wallet-Infrastruktur des Unternehmens zu kompromittieren und digitale Vermögenswerte im Wert von rund 6,34 Milliarden Dollar zu stehlen.
Ein Rekordabfluss von Vermögenswerten angesichts der Einfrierungsmassnahmen
Der Diebstahl betraf eine Vielzahl digitaler Vermögenswerte, die aus den mit Binance verbundenen Wallets gesendet wurden, darunter 18.270 Bitcoins, 233 Millionen XRP-Token und fast eine Million SOL-Token. Die Angreifer missbrauchten zudem einen Autorisierungsmechanismus auf Ethereum, um über einen bösartigen Smart Contract die teilweise Kontrolle über eine Wallet zu behalten, wodurch sie die Geldabflüsse auch nach der manuellen Aussetzung der Auszahlungen durch die Plattform fortsetzen konnten.
Dank des schnellen Reaktionsvermögens der Akteure der Branche konnte ein Teil der Beute gestoppt werden. Die Emittenten von Stablecoins und die Netzwerksicherheitsteams haben rund 2,7 Milliarden Dollar gesperrt, wodurch sich die Summe der eingefrorenen oder wiedererlangten Gelder zum 3. November 2026 auf 2,85 Milliarden Dollar belief. Den Hackern gelang es jedoch, grosse Beträge rasch in dezentrale Kryptowährungen wie Bitcoin und Ether umzuwandeln, wodurch es laut den von SecurityAffairs veröffentlichten Analysen unmöglich wurde, diese Summen einseitig zu sperren.
Binance hat mitgeteilt, dass die Kundengelder weiterhin durch seine internen Finanzreserven abgesichert sind, und hat mit dem vollständigen Wiederaufbau seiner technischen Infrastruktur und seiner KI-Tools begonnen. Dieser Vorfall verdeutlicht, wie Social Engineering, das auf technische Profile abzielt, es ermöglicht, periphere Schutzmassnahmen zu umgehen, ohne den kryptografischen Kern der Finanzsysteme direkt anzugreifen.
Häufig gestellte Fragen zum Angriff auf Binance
Wie ist es den Hackern gelungen, den Ingenieur von Binance in eine Falle zu locken?
Die Angreifer hatten in einem beruflichen Netzwerk eine gefälschte Stellenanzeige geschaltet und zwei Vorstellungsgespräche organisiert, darunter einen Video-Austausch mit gefälschten Social-Media-Profilen. Anschliessend überzeugten sie den Mitarbeiter, eine technische Übung auf seinem Arbeitscomputer durchzuführen, wodurch die Ausführung einer Schadsoftware ausgelöst wurde, die von den Sicherheitsmassnahmen nicht erkannt wurde.
Welche Rolle spielte das interne KI-Tool bei dem Angriff?
Die interne KI-Anwendung wies in ihrem Modell keine direkte Software-Sicherheitslücke auf. Die Angreifer nutzten die Zugangsrechte des bereits infizierten Mitarbeiters, um mit diesem Tool zu interagieren und sich Zugang zu den Arbeitsplätzen anderer Ingenieure zu verschaffen, wodurch sie Tokens für die Bereitstellung der Infrastruktur erlangten.
Haben die Angreifer die privaten Schlüssel der Wallets gestohlen?
Bei dem Vorfall wurden keine privaten Wallet-Schlüssel gestohlen. Die Hacker nutzten legitime Anmeldedaten und Container, um unbefugte Auszahlungsanträge direkt an den internen Signaturdienst von Binance zu übermitteln.
Warum hat die Aussetzung der Abhebungen den Diebstahl nicht sofort gestoppt?
Die Angreifer nutzten einen Delegationsmechanismus auf der Ethereum-Blockchain, um einem autonomen Vertrag die Ausführung von Befehlen zu gestatten. Diese Berechtigung funktionierte unabhängig von den Auszahlungsservern von Binance, sodass die technischen Teams ein spezielles Verfahren entwickeln mussten, um die Berechtigung auf der Blockchain zu widerrufen.
Welcher Anteil der entwendeten Gelder konnte wiederbeschafft oder gesperrt werden?
Anfang November 2026 waren etwa 2,85 Milliarden Dollar der angestrebten 6,34 Milliarden Dollar dank des Eingreifens von Emittenten stabiler Währungen und Netzwerkkoordinatoren eingefroren oder abgefangen worden. Der Rest wurde rasch in dezentrale Kryptowährungen wie Ether und Bitcoin umgewandelt, wodurch ein technisches Einfrieren unmöglich wurde.
Weitere Informationen zu diesem Thema
Binance wurden innerhalb von 20 Minuten 6,3 Milliarden Dollar gestohlen
Am 29. Oktober 2026 wurde bei Binance ein Diebstahl in Höhe von 6,3 Milliarden Dollar verzeichnet. Dieser beispiellose Blitzraub lässt erneut den Verdacht auf Nordkorea fallen. Weiterlesen
IT-Personalbeschaffung: Wie Lazarus Entwickler in die Falle lockt und ausbeutet
Die Lazarus-Gruppe missbraucht Stellenanzeigen, um die PCs von Entwicklern zu infizieren. Erfahren Sie mehr über die Hintergründe dieses Cyberangriffs, der sich gegen Krypto-Experten richtet. Weiterlesen
Gefälschte Stellenanzeigen auf LinkedIn: Das FBI und der MI5 warnen
Eine neue Warnung macht auf betrügerische Stellenanzeigen auf LinkedIn aufmerksam, wobei das FBI und der MI5 gemeinsam die betroffenen Fachkräfte warnen. Weiterlesen
Hat Ihnen der Beitrag geholfen?
Ein Kaffee ist ein einfaches Dankeschön für das Monitoring. Ohne Abo, ohne Verpflichtung.
