Binances 6,3-Milliarden-Dollar-Hack vom 29. Oktober begann mit einem gefälschten Software-Installer, der fünf Monate zuvor heruntergeladen worden war, wie aus dem eigenen Zwischenbericht der Börse hervorgeht. Der am 3. November veröffentlichte Bericht rekonstruiert eine monatelange Kampagne, die Malware, ein gefälschtes Jobangebot und gestohlene Zugangsdaten kombinierte – eine Abfolge, die nach Ansicht des Gründers einer konkurrierenden Börse durch grundlegende Arbeitsplatzdisziplin hätte verhindert werden können.

Wie sich der Angriff von Juni bis Oktober entwickelte

Die Kampagne begann im Juni, als ein Wallet-Betriebsingenieur von Binance einen modifizierten Homebrew-Installer herunterlud, während er versuchte, ein KI-Coding-Tool zu installieren. Nach Angaben der Börse erkannte das Sicherheitsteam die verdächtige Aktivität, ersetzte den betroffenen Computer und rotierte die zugehörigen Zugangsdaten.

Trotz dieser Reaktion gab der Junivorfall Informationen über Mitarbeiter preisl, die an der Wallet-Infrastruktur der Börse arbeiteten – Details, die die Angreifer in der nächsten Phase nutzten.

Im September zielten die Angreifer über einen gefälschten Rekrutierungsprozess auf einen zweiten Ingenieur ab und brachten den Mitarbeiter schließlich dazu, schädliche Software herunterzuladen. Bis zum 20. Oktober hatten sie kompromittierte Geräte und ein internes KI-Tool genutzt, um Zugang zu weiteren Engineering-Systemen zu erhalten. Neun Tage später ermöglichten ihnen gestohlene Zugangsdaten die Bereitstellung von Schadcode, der mit den unbefugten Abhebungen in Verbindung stand.

Ermittler brachten den Angriff mit TraderTraitor in Verbindung, einer mit Nordkorea verbundenen Hacking-Einheit, die US-Behörden zuvor mit Kryptodiebstählen unter Einsatz trojanisierter Software und gefälschter Jobangebote in Verbindung gebracht hatten. Das FBI führte den Diebstahl anschließend auf staatlich unterstützte nordkoreanische Angreifer zurück, während Nordkorea die Vorwürfe zurückwies.

CoinEx-Gründer verweist auf drei vermeidbare Sicherheitslücken

Nach der Veröffentlichung des Binance-Berichts argumentierte CoinEx-Gründer Haipo Yang in einem Beitrag auf X, der Angriff zeige Versäumnisse bei der operativen Disziplin statt eines Mangels an Sicherheitstechnologie.

"Der Binance-Vorfall deckte mindestens drei völlig vermeidbare Fehler auf: 1. Entwicklungs- und Betriebsumgebungen waren nicht vollständig isoliert. Jeder mit Produktionszugriff sollte von einem dedizierten Rechner arbeiten, der für nichts anderes verwendet wird, ohne Drittanbieter-Software…"

— Haipo Yang (@yhaiyang) 3. November 2026

"None of these require sophisticated technology. What was missing was discipline", schrieb Yang.

Sein erster Punkt betraf die Trennung der Arbeitsumgebungen: Mitarbeiter mit Zugriff auf Live-Finanzsysteme sollten dedizierte Computer verwenden, wobei Programmieren, Chatten und Surfen im Internet auf separaten Geräten erfolgen sollten.

Sein zweiter Punkt betraf die Authentifizierung. Yang behauptete, eine einzelne gestohlene Zugangsdaten-Datei könne Produktionsdienste ohne starke zusätzliche Prüfungen öffnen, und empfahl Hardware-Sicherheitsschlüssel – physische Geräte, die gegen Phishing widerstandsfähig sind – sowie Tools wie AWS Session Manager.

Sein dritter Punkt betraf Multiparty-Computation, ein Verfahren, das die Transaktionssignierung auf mehrere Beteiligte aufteilt. Nach Aussage von Yang prüften Binances Unterzeichner nicht unabhängig, was sie genehmigten, sodass das System wie eine einzelne Signatur funktionierte. "Multisig funktioniert nur, wenn die Unterzeichner sich gegenseitig misstrauen", schrieb er.

Diese Aussagen sind Yangs eigene Einschätzung. Binance hat nicht jede von ihm beschriebene Schwachstelle öffentlich bestätigt.

Binance sagt, es habe 2026 57 Bedrohungen mit Nordkorea-Bezug blockiert

Binance-Co-CEO Yi He sagte, das Sicherheitsteam der Börse habe im Jahr 2026 57 vermutete Cybersicherheitsvorfälle mit Nordkorea-Bezug erkannt und verhindert. Zu den Techniken gehörten ihrer Aussage nach gefälschte Vorstellungsgespräche, bösartige Entwickler-Tools, kompromittierte Softwarepakete und gefälschte Videoanruf-Apps. Diese Kategorien überschneiden sich direkt mit der Kampagne von Juni bis Oktober – vom modifizierten Installer, der sie auslöste, bis zur anschließenden gefälschten Rekrutierung.

"Throughout 2026, Binance's security team detected and prevented 57 suspected North Korea-linked cyber threat cases. These attempts reflect the persistent threat posed by state-sponsored actors targeting the cryptocurrency industry. The techniques include fraudulent job… "

— Yi He (@heyibinance) 3. November 2026

"Wir haben viele davon abgefangen, aber die Kosten, auch nur einen nicht zu stoppen, waren erheblich", schrieb sie.

Wiederherstellung der Assets und nächste Schritte

Co-CEO Richard Teng sagte, Binance habe 98 % der betroffenen Assets ersetzt. Rund 2,85 Milliarden Dollar wurden eingefroren oder abgefangen, und das Unternehmen hat sich verpflichtet, den vollständigen Verlust aus Unternehmensmitteln und Reserven zu decken.

Binance hat außerdem einen Proof-of-Reserves-Check abgeschlossen, der zehn große Kryptowährungen abdeckt, darunter Bitcoin, Ethereum, BNB und XRP. Die Prüfung bestätigt die Asset-Deckung dieser Token, zeigt jedoch nicht, ob die von Yang beschriebenen Lücken behoben wurden.

Die Börse erklärte, sie habe betroffene Wallet-Systeme neu aufgebaut, kompromittierte Geräte ersetzt und verknüpfte Zugangsdaten deaktiviert. Zudem hat sie Auszahlungen für weitere Ethereum- und Solana-Assets wiederhergestellt.

Binance plant eine unabhängige Cybersicherheitsprüfung sowie höhere Ausgaben für Geräteschutz und Bedrohungserkennung. Manche Sicherheitsmaßnahmen sollen vertraulich bleiben, damit Angreifer keine Schwachstellen identifizieren können. Nachdem die finanzielle Seite des Vorfalls weitgehend adressiert ist, bildet die geplante unabhängige Cybersicherheitsprüfung den nächsten öffentlichen Prüfstein für die operativen Fragen, die Yang aufgeworfen hat.

Dieser Artikel basiert auf Blockonomis Originalbericht.