Binance teilte mit, dass ihr Sicherheitsteam im Jahr 2026 57 mutmaßliche Cyber-Bedrohungen mit Nordkorea-Bezug erkannt und gestoppt hat, bevor ein einziger Angriff durchkam – ein Angriff, der ein gefälschtes Bewerbungsgespräch nutzte und schließlich die Hot Wallets der Börse leerte, also die internetverbundenen Wallets, auf die Börsen zur Abwicklung von Nutzerabhebungen angewiesen sind.

In ihrem auf X veröffentlichten ersten Bericht über den Vorfall sagte Binance, dass etwa 6,34 Milliarden US-Dollar in digitalen Assets betroffen seien und etwa 2,85 Milliarden US-Dollar eingefroren oder abgefangen wurden. Die Börse erklärte, die Verluste selbst zu tragen statt sie an Nutzer weiterzugeben, und dass 98% der betroffenen Token-Assets bereits wieder aufgefüllt wurden – eine Zahl, die laut Binance auf der Proof-of-Reserves-Seite überprüft werden kann.

Zur Einordnung: Der bislang größte bekannte Krypto-Diebstahl war der Angriff auf die Börse Bybit im Februar 2025 mit einem Volumen von rund 1,5 Milliarden US-Dollar, der von Bybit Hackern mit Nordkorea-Bezug zugeschrieben wurde.

Unter Verweis auf aktuelle Informationen des Federal Bureau of Investigation (FBI) schrieb Binance den Vorfall Nordkorea zu.

Ein Jahr gezielter Angriffsversuche

Nach Angaben der Börse spiegeln die 57 Fälle die anhaltende Bedrohung durch staatlich unterstützte Akteure wider, die auf die Krypto-Branche abzielen. Zu den beobachteten Techniken gehörten gefälschte Bewerbungsgespräche, Schadsoftware, die als beliebte Entwicklerwerkzeuge getarnt war, kompromittierte Softwarepakete und Browser-Erweiterungen, gefälschte Videokonferenz-Apps sowie Social-Engineering-Kampagnen zur Einführung von Zugangsdaten oder zum Einsatz von Fernzugriff-Schadsoftware.

Dieses auf Personalrekrutierung basierende Vorgehen deckt sich mit öffentlichen Warnhinweisen US-Behörden der letzten Jahre, wonach Akteure mit Nordkorea-Bezug als Recruiter oder Arbeitgeber auftreten, um die Computer ihrer Ziele mit Schadsoftware zu infizieren.

Binance beschrieb den Vorfall als mehrstufige Kampagne und nicht als einzelnen, isolierten Angriff oder einfachen Phishing-Versuch. Das erste Warnsignal führte die Börse auf Juni zurück, als ein DevOps-Ingenieur des Wallet-Teams eine manipulierte Homebrew-Installation herunterlud, während er nach einem AI-Coding-Tool suchte. Binance sagte, die Anomalie sei erkannt, das Gerät ausgetauscht und die zugehörigen Zugangsdaten rotiert worden – doch die Rolle des Ingenieurs und seine Kollegen im Wallet-Team waren dem Angreifer bereits bekannt.

So funktionierte das Interview

Im September wurde ein zweiter Ingenieur, dessen Profil auf einer Job-Plattform auf seine Tätigkeit bei Binance verwies, von jemandem kontaktiert, der sich als Projektdirektor ausgab. Es folgte ein Videointerview in der ersten Runde mit einer angeblichen HR-Vertreterin, die ein Social-Media-Konto mit persönlichen Fotos und Videos teilte, um Vertrauen aufzubauen. Binance bezeichnete dies als tückischer als frühere Social-Engineering-Ansätze.

Die zweite Runde fand auf einer beliebten Chat-App mit jemandem statt, der sich als CEO eines fiktiven Unternehmens ausgab. Gegen Ende wurde der Ingenieur angewiesen, eine „Aufgabe“ auf seinen Arbeitscomputer herunterzuladen. Der darin enthaltene Code lief während der Installation und öffnete einen Kanal zu einem vom Angreifer kontrollierten Server. Binance sagte, die Zero-Day-Schadsoftware sei zum damaligen Zeitpunkt von den Endpoint-Sicherheitstools nicht erkannt worden.

Der Angreifer nutzte anschließend den kompromittierten Computer und ein internes AI-Tool, um die Kontrolle über zwei weitere Wallet-Ingenieure zu erlangen. Binance sagte, ein auf dem Rechner eines Ingenieurs gefundener Berechtigungstoken für Container-Deployments wurde am Tag des Angriffs verwendet, um einen Container bereitzustellen und das schädliche Skript auszulösen.

Warum die Eindämmung Zeit brauchte

Binance sagte, die Angreifer nutzten den Signing-Dienst, um den EIP-7702-Autorisierungsmechanismus von Ethereum auszunutzen – eine Kontofunktion, die mit Ethereums Pectra-Upgrade 2025 eingeführt wurde und es Standard-Nutzerkonten ermöglicht, mit Smart-Contract-Funktionalität zu arbeiten –, wodurch Assets auch nach der Aussetzung der Abhebungen weiterbewegt wurden. Da die Hot Wallet auf Multi-Party-Computation (MPC) basierte, gab es keinen einzelnen privaten Schlüssel, mit dem sich die bösartigen Autorisierungen widerrufen ließen; das Team entwickelte daher ein spezielles Verfahren, das zusätzliche Zeit benötigte.

Die Börse erklärte, sie habe das betroffene Wallet-System und das interne AI-Tool inzwischen neu aufgebaut, betroffene Geräte ersetzt, zugehörige Zugangsdaten stillgelegt und ihre Anomalieerkennung verstärkt. Eine unabhängige Sicherheitsüberprüfung sei geplant; einige technische Details werden vertraulich bleiben.

Binance bezeichnete ihren Bericht als vorläufig, womit die Ergebnisse noch einer unabhängigen Überprüfung unterliegen – das Ergebnis der geplanten Prüfung sowie mögliche aktualisierte Verlust- und Wiederherstellungszahlen bleiben damit die Details, auf die es weiterzuschauen gilt.