Der beunruhigendste Aspekt dessen, was als größter Raubzug der Menschheitsgeschichte beschrieben wird, ist, dass die Kryptografie exakt wie konzipiert funktionierte. Niemand knackte einen privaten Hauptschlüssel am Abend des 29. Oktober 2026. Stattdessen gelangte ein Angreifer offenbar über den kompromittierten Laptop eines DevOps-Ingenieurs zu einem internen Service-Container und wies Binances Signing-Infrastruktur an, sich selbst zu leeren.

In rund 20 Minuten verschwanden 6,3 Milliarden US-Dollar über 10 Blockchains, darunter Bitcoin, Ethereum, Solana und XRP. Der Vorfall übertraf damit die bisherige traurige Messlatte aus dem Februar 2025, als Nordkoreas Lazarus Group rund 1,5 Milliarden US-Dollar von Bybit abzog. Über Binances Vorfall wurde hier berichtet: https://technext24.com/news/hackers-steal-6-3-bn-from-binance-crypto-heist/

Als On-Chain-Alarme auf X die Runde machten, gab Binance-Mitgründer Changpeng Zhao (CZ) das erste öffentliche Eingeständnis in einem bemerkenswert nüchternen Beitrag ab: „User funds are safe! It does look like a hack on Binance. Appreciate the quick freeze from Tether ($971m) and Circle ($823m).“ Der Beitrag ist hier verfügbar: https://x.com/cz_binance/status/2113029289155178716?a=_Um3FD_EavLoFhA6AWU\u0026s=19.

Minuten später fügte Zhao hinzu: „I don’t manage Binance (.com) anymore, but as a shareholder, I expect all user funds will be fully covered.“

Bis Freitag, den 30. Oktober, waren rund 3 Milliarden US-Dollar in gestohlenen Stablecoins und Token on-chain eingefroren – weniger als die Hälfte der Gesamtsumme. FBI und TRM Labs hatten den Raubzug mit hoher Wahrscheinlichkeit der Einheit TraderTraitor aus Nordkorea zugeordnet.

Der Angriff erfolgte, während der Markt 1,49 Milliarden US-Dollar an liquidierten Hebelpositionen verdaute und Bitcoin unter 78.000 US-Dollar fiel. Binance-CEO Richard Teng reagierte in einer Videoansprache und sicherte eine unternehmensseitige Absicherung von 6,34 Milliarden US-Dollar zu.

„We are committed to covering all hacked losses through our company funds. Your assets are safe“, sagte Teng und betonte, der Abfluss habe nur unternehmensseitige Hot Wallets betroffen. „We never use any customer funds, so they are not impacted.“

Den Binance-Raubzug als isoliertes Krypto-Versagen zu betrachten, übersieht jedoch das breitere Muster. Der Abfluss vom 29. Oktober war das Finale eines 31-tägigen globalen Cybersecurity-Zusammenbruchs. Während des sogenannten Black October versagten die Schutzwälle rund um Webserver, Banken und Digital-Asset-Infrastruktur gleichzeitig.

Der Grundriss-Riss durch PHP2Shell

Sieben Tage bevor Binances Wallets geleert wurden, hatte Zhao auf X eine Warnung veröffentlicht, die sich später als dunkle Prophezeiung erwies. „Call me paranoid, but be extra careful visiting ANY website in the next few days, as some web admins are not always up-to-date with security patches“, schrieb er am 21. Oktober mit Bezug auf zwei neu offengelegte Schwachstellen in PHP. Der zugehörige Bericht ist hier verfügbar: https://technext24.com/policy-and-tech/nigeria-php2shell-cybersecurity-response/.

Einen Tag später folgte eine technische Grundwahrheit: „No crypto wallet is 100% safe. No software is bug-free. No tech is 100% secure.“ Sein zweiter Beitrag ist hier verfügbar: https://x.com/cz_binance/status/2113462904435642556?a=jQb9RLbCOmUH6MqtmH8\u0026s=19.

Die Schwachstellen hinter Zhaos Warnung waren als PHP2Shell bekannt und wurden unter CVE-2026-109618 und CVE-2026-109619 geführt. Die beiden Use-after-Free-Speicherfehler trugen eine kritische CVSS-v4.0-Schweregradbewertung von 9.2 und betrafen jede Standardinstallation der PHP-Core-Runtime von Version 5.4 bis 8.5.11.

PHP betreibt rund 70 % der serverseitigen Infrastruktur des Internets. Die Schwachstellen ermöglichten es unauthentifizierten Angreifern, Remote-Code auszuführen und Serverspeicher preiszugeben – einschließlich Session-Tokens, TLS-Privatschlüsseln und Datenbankpasswörtern –, bevor der Anwendungscode einer Website überhaupt lief.

Die Ausnutzung begann Berichten zufolge um den 17. Oktober, vier Tage bevor die PHP Group am 21. Oktober Notfall-Patches veröffentlichte. Die gepatchten Versionen waren 8.5.12, 8.4.27, 8.3.36 und 8.2.35 – die Releases, die Betreiber betroffener Server installieren mussten, um die Anfälligkeit zu schließen. Cloudflare-CTO Dane Knecht meldete umgehend „early attacks emerging“ und warnte, Web Application Firewalls böten nur eine vorübergehende Notlösung.

„This is a goldmine for hackers“, sagte Shahak Shalev, Global Head of Scam and AI Research bei Malwarebytes. „They can hijack real websites to take advantage of the site’s reputation to do things like phishing people and serve malicious software from the trusted channel. The opportunities are endless.“

Krypto-Börsen und moderne Fintech-Unternehmen bauen ihre Kernsysteme oft in Go, Rust oder TypeScript. Sicherheitsforscher von Halborn wiesen jedoch darauf hin, dass PHP weiterhin weit verbreitet ist für die Marketing-Websites, Support-Portale und Backoffice-Verwaltungspanels rund um diese Systeme. Viele dieser Dienste enthalten aktive API-Schlüssel und Webhook-Secrets.

Während diese zugrundeliegende Web-Infrastruktur unter Druck geriet, nutzten Bedrohungsakteure den Oktober, um Zugangsdaten zu sammeln und Institutionen auf jedem Kontinent anzugreifen.

In Südafrika wurde das Pathologie-Unternehmen Ampath Laboratories von der Ransomware-Gruppe ByteToBreach attackiert. Derselbe Bedrohungsakteur hatte früher im Jahr bereits nigerianische Institutionen ins Visier genommen, darunter die Sterling Bank und die Corporate Affairs Commission (CAC). ByteToBreach gab an, 80 Millionen Patientendaten exfiltriert zu haben.

Angreifer zielten auch auf klassische Finanz- und Handelsunternehmen. In Südkorea nutzten Hacker ein chinesisches KI-Tool, um bis Monatsmitte 16 Finanzfirmen anzugreifen und 68.000 Datensätze zu stehlen. Später griffen sie Daishin Securities an, wobei 38.490 Datensätze offengelegt wurden, sowie Mirae Asset und die interne Groupware der Krypto-Börse Bithumb am 28. Oktober.

In Italien überzeugten Betrüger Führungskräfte von Fideuram, dem Private-Banking-Arm der Intesa Sanpaolo, mit einer drei Minuten langen KI-generierten Stimmenkopie eines Anwalts, 108 Millionen US-Dollar auf ausländische Konten zu überweisen. In Japan sah sich das IT-Unternehmen GMO Internet nach einem Angriff auf seine Devisen- und Cloud-Server mit einer Lösegeldforderung von 50 Millionen US-Dollar konfrontiert. Der Einzelhändler MUJI legte 27,26 Millionen Kundendaten offen, während Cathay Pacific 53.000 Buchungsdatensätze durch einen Lieferantenangriff verlor.

Der Digital-Asset-Sektor war vor dem Angriff auf Binance bereits von weiteren Vorfällen betroffen. Der Hardware-Wallet-Hersteller Ledger gab am 12. Oktober bekannt, dass versteckte LTE-eSIM-Implantate in Geräten, die über den Drittanbieter-Reseller CryptoBilis verkauft wurden, 86 Millionen US-Dollar an Nutzergeldern abgezweigt hatten.

Am 20. Oktober musste der konkurrierende Wallet-Hersteller Keystone 18.835 unverkaufte Geräte vernichten, nachdem eine Kompromittierung eines Drittanbieter-Trackings 25.964 Käuferdatensätze und einen Fertigungsverifikationsschlüssel offengelegt hatte. Bis zum 28.–29. Oktober bestätigte Coinbase, dass Kundendaten über den Analyse-Dienstleister Amplitude offengelegt worden waren. Der Prognosemarkt Polymarket stellte den internationalen Handel ein, nachdem ein gekapertes Skript des britischen Monitoring-Anbieters DebugBear 2,65 Millionen US-Dollar aus über 700 Konten abgezogen hatte.

Drei strukturelle Verschiebungen

Drei strukturelle Veränderungen erklären, warum Sicherheitsausfälle im Oktober 2026 im globalen System gleichzeitig auftraten.

Erstens hat die Unterwanderung von Workflows den direkten Schlüsseldiebstahl zunehmend ersetzt. Wie Zhao am 21. Oktober schrieb: „AI doesn’t need to break Bitcoin’s cryptography to cause damage; leaked data already enables more phishing, social engineering, etc.“

Bei Binance stahlen die Angreifer Berichten zufolge keine privaten Schlüssel. Sie kompromittierten den Arbeitsplatz eines Ingenieurs, gelangten zu einem Service-Container, der Abhebungen anfordert, und nutzten das implizite Vertrauen der Signing-Schicht in diesen Container aus. Nach dem Eindringen missbrauchten sie die EIP-7702-Funktion von Ethereum – eine Protokollfunktion, die gewöhnlichen Blockchain-Konten smartcontract-ähnliche Programmierbarkeit verleiht –, um den Cross-Chain-Abfluss innerhalb von Minuten zu automatisieren.

Zweitens wurde offensive KI autonom. Im Oktober setzten Cybercrime-Gruppen agentenbasierte KI-Plattformen auf Basis kommerzieller Large Language Models ein – autonome Systeme, die mehrstufige Aufgaben mit minimaler menschlicher Aufsicht verketten können –, um ungepatchte PHP2Shell-Server zu scannen, Active-Directory-Übernahmen über ConnectWise-Backups zu automatisieren und mehr als 400 Finanzinstitutionen in Lateinamerika und Asien schneller anzugreifen, als menschliche Teams patchen konnten.

Drittens brach der Umkreis rund um Drittanbieter zusammen. Polymarkets DebugBear-Skript und Coinbases Amplitude-Tracker gehörten zu den externen Tools, über die betroffene Unternehmen angegriffen wurden. Cloud-Credential-Leaks bei Railway und LiteLLM zeigten dieselbe Schwäche: Organisationen wurden wiederholt über Tools kompromittiert, die an ihre Technologie-Stacks angefügt worden waren.

Black October zeigte, dass ein Milliarden-Dollar-Reservefonds und militärische Cold Storage ein Ökosystem nicht schützen können, wenn ein einziger ungepatchter PHP-Server, ein vergiftetes Anbieter-Skript oder ein kompromittierter Ingenieurs-Laptop einem Tresor befehlen kann, sich selbst zu leeren.