Der Diebstahl von 6,34 Milliarden US-Dollar bei Binance begann laut der ersten öffentlichen Darstellung des Unternehmens zum Angriff vom 29. Oktober, die am Dienstag veröffentlicht wurde, mit einem inszenierten Vorstellungsgespräch und lief über fünf Monate, ohne dass zunächst eine einzige Münze bewegt wurde.

Ein erster Vorfallbericht von Binance, veröffentlicht auf X und vorgestellt gemeinsam mit einer Medienkonferenz von Co-CEO Richard Teng und Sicherheitssprecher Jimmy Su, beschreibt eine Kampagne, die einen verseuchten Software-Download, einen inszenierten Rekrutierungsprozess, Malware, die der Endpunkterkennung entging, und ein internes KI-Tool kombinierte, das die Angreifer gegen die eigenen Wallet-Ingenieure des Unternehmens richteten.

Binance teilte mit, dass etwa 2,85 Milliarden US-Dollar der gestohlenen Vermögenswerte eingefroren oder abgefangen wurden und 98 % der betroffenen Token aus eigenen Mitteln ersetzt wurden; der Rest wird am offenen Markt aufgekauft. Würde die Zahl vollständig bestätigt, wäre es der größte bislang verzeichnete Diebstahl in der Kryptobranche und würde den rund 1,5 Milliarden US-Dollar übersteigen, die im Februar 2025 bei Bybit erbeutet wurden – ein Angriff, mit dem Ermittler ebenfalls nordkoreanische Akteure in Verbindung bringen.

"Das war nicht ein Fehler oder ein einzelner Einbruch – es war eine monatelange Kampagne", schrieb Teng auf X. "Wir veröffentlichen den vollständigen Bericht, weil die Lehren weit über Binance hinausgehen."

Das FBI ordnet den Angriff Nordkorea zu, eine Feststellung, die der Binance-Bericht zitiert, ohne selbst eine Zuschreibung vorzunehmen. Pjöngjang wies die Behauptung am Montag zurück; Kim Yo Jong, die Schwester von Machthaber Kim Jong Un, bezeichnete sie über staatliche Medien als "schwerwiegende politische Provokation". UN-Gremien und Blockchain-Analyseunternehmen haben nordkoreanische Hackereinheiten seit Jahren mit Milliarden von Dollar in Kryptowährungen in Verbindung gebracht, die Börsen und Protokollen weltweit gestohlen wurden.

Fünf Monate Vorbereitung

Nach Angaben von Binance gelang den Angreifern der erste Zugang im Juni, als ein DevOps-Ingenieur im Wallet-Bereich bei der Suche nach einem beliebten KI-Codierungswerkzeug einen manipulierten Homebrew-Installer herunterlud. Das Sicherheitsteam entdeckte die Anomalie, tauschte das Gerät aus und rotierte die Zugangsdaten, doch der Vorfall legte die Rolle des Ingenieurs und die Namen von Kollegen im Wallet-Infrastrukturteam offen.

Im September wurde ein zweiter Ingenieur auf einer legitimen Jobplattform von jemandem kontaktiert, der sich als Projektdirektor ausgab. Es folgte ein Videointerview mit einer angeblichen HR-Vertreterin, wobei der Interviewer ein privates Social-Media-Konto teilte, um Vertrauen aufzubauen. Ein zweites Interview mit einem angeblichen CEO endete mit einer "Aufgabe": einem Code-Repository, das der Ingenieur auf seinem Arbeitsgerät installieren sollte.

Das Repository ersetzte eine legitime pyenv-Komponente durch eine bösartige Version und öffnete einen Kanal zu einem von Angreifern kontrollierten Server. Binance sagte, die Zero-Day-Malware sei von den Endpunkt-Tools zum damaligen Zeitpunkt nicht erkannt worden.

Am 20. Oktober nutzten die Angreifer dieses Gerät und ein internes KI-Tool, um zwei weitere Wallet-Ingenieure zu erreichen, von denen einer über ein Container-Deployment-Token verfügte. Am 29. Oktober, zwischen 17:15 und 19:56 UTC, meldeten sie sich auf dem Computer eines dritten Ingenieurs an, deployten einen Container mit den gestohlenen Zugangsdaten und starteten die Abflussung. Binance sagte, es habe in diesem Jahr 57 weitere mutmaßlich nordkoreanisch verbundene Versuche mit ähnlichen Ködern blockiert. US-Behörden warnen seit Jahren vor solchen Fake-Recruiter-Kampagnen, die darauf abzielen, über die eigenen Mitarbeiter von Technologie- und Kryptounternehmen Malware einzuschleusen.

Vier Stunden zur Eindämmung

Das Geld bewegte sich schnell. Zwischen 20:05 und 20:09 UTC sendeten fünf Hot Wallets 233,46 Millionen XRP an eine Angreiferadresse. Wallets auf Solana und Optimism folgten mit rund 970.500 SOL und 44,2 Millionen OP, danach sendete eine Binance-Hot-Wallet 18.270 BTC.

Der Angreifer nutzte den kompromittierten Signing-Dienst außerdem, um Ethereums EIP-7702 aufzurufen – einen Standard, der mit dem Pectra-Upgrade des Netzwerks 2025 eingeführt wurde und es einem Konto erlaubt, Ausführungsrechte an einen Smart Contract zu delegieren, ohne seinen Schlüssel preiszugeben – und gab einem von Angreifern kontrollierten Contract teilweise Kontrolle über eine Binance-Hot-Wallet.

Die Aussetzung der Auszahlungen stoppte diesen letzten Kanal nicht. Die Angreifer hatten 50 Signing-Transaktionen eingereicht, um On-Chain-Delegationen einzurichten, die außerhalb der Auszahlungsinfrastruktur von Binance liefen. Da die Wallet Multi-Party-Computation verwendete, gab es keinen einzelnen Schlüssel, mit dem sie sich widerrufen ließen, und das Team musste vor Ort ein Verfahren entwickeln. Die letzte unbefugte Übertragung, 2.961,9 ETH, ging um 23:56 UTC durch, und Binance hob die Delegation um 00:10 UTC am 30. Oktober auf.

Der Bericht räumt die Lücke ein. "Diese Herausforderungen verlängerten die Zeit, die für eine vollständige Eindämmung der unbefugten Vermögensbewegungen erforderlich war", heißt es darin; das Unternehmen überprüfe derzeit die Abdeckung seiner Signing-Richtlinien und die Kontrollen der Hot Wallets.

Abflüsse, dann Zeichen der Stabilisierung

Kunden zogen in den 46 Stunden nach Wiedereröffnung der Auszahlungen am Sonntag 10,97 Milliarden US-Dollar ab, mit Nettoabflüssen von 5,28 Milliarden US-Dollar, laut Daten, die Teng am Dienstag teilte. Um 03:00 UTC überstiegen die stündlichen Einzahlungen die Abhebungen – eine Verschiebung, die Teng als Zeichen der Stabilisierung bezeichnete. Am Dienstag öffnete Binance die Auszahlungen für Dutzende weitere Assets über neun Netzwerke.

Der Vorfall ist auch in Washington zum Gesprächsthema geworden. CFTC-Vorsitzender Michael Selig sagte, der Hack "beweise genau unseren Punkt" hinsichtlich der Notwendigkeit eines bundesstaatlichen Registrierungspfads für Offshore-Börsen, und die Behörde gab am Dienstag Equity Perpetual Futures für US-regulierte Handelsplätze frei, womit sie die Onshoring-Offensive ausbaute, die sie im Mai mit Kalshis Bitcoin-Perp begonnen hatte.

Binance teilte mit, das Wallet-System und das interne KI-Tool in neuen Umgebungen neu aufgebaut, betroffene Geräte ersetzt, die Zugangsdaten der Ingenieure widerrufen und die verhaltensbasierte Anomalieerkennung ausgebaut zu haben. Das Unternehmen beauftragt eine unabhängige Überprüfung, erhöht die Ausgaben für Endpunkt- und Entwicklerumgebungs-Sicherheit und plant gemeinsam mit externen Firmen einen Forschungsfonds für KI-Sicherheit. Wie schnell die verbleibenden gestohlenen Token zurückgekauft werden, ob die eingefrorenen Vermögenswerte wiedererlangt werden können und zu welchen Ergebnissen die unabhängige Überprüfung kommt, sind die unmittelbaren Punkte, die zu beobachten sind. Einige technische Details, heißt es im Bericht, werden vertraulich bleiben.

Dieser Artikel erschien ursprünglich auf Bitcoin Magazine und wurde von Micah Zimmerman verfasst.