Eine Coding-Aufgabe eines potenziellen Arbeitgebers wirkte wie ein gewöhnlicher Teil eines Vorstellungsgesprächs. Tatsächlich war sie ein Schritt in einem monatelangen Cyberangriff, der mit 6,3 Milliarden gestohlenen US-Dollar von Binance endete – und wirft neue Fragen dazu auf, wie Crypto-Börsen sich gegen Bedrohungen verteidigen, die auf ihre eigenen Mitarbeitenden abzielen.

Laut einer am Dienstag veröffentlichten Nachbereitung von Binance war der Diebstahl Teil einer koordinierten Kampagne, die sowohl menschliche Schwachstellen als auch interne Sicherheitssysteme ausnutzte. Die Erkenntnisse der Börse zeigen, wie sich Hacker schrittweise Zugang zur Wallet-Infrastruktur des Unternehmens verschafften, bevor der Diebstahl am 29. Oktober erfolgte.

Wie Hacker in Binance eindringen

Die Kampagne begann im Juni, als ein Ingenieur beim Einrichten eines KI-Coding-Tools ein manipuliertes Softwarepaket herunterlud, so Binances Sicherheitsbericht. although die Börse die Schadsoftware erkannte und das betroffene Gerät ersetzte, hatten die Angreifer bereits Informationen über Binances Wallet-Team gesammelt. Der Vorfall zeigt, wie eine Infektion auch nach ihrer Entdeckung weiterhin relevant bleiben kann: Der Austausch des Geräts entfernte die Schadsoftware, nicht jedoch die Aufklärung, die die Angreifer bereits abgeschlossen hatten.

Im September zielten Angreifer, die sich als Recruiter ausgaben, auf einen weiteren Software-Ingenieur ab und brachten den Mitarbeitenden dazu, eine als Coding-Aufgabe getarnte schädliche Datei herunterzuladen. Die Schadsoftware kompromittierte den Arbeitscomputer des Ingenieurs und umging die Sicherheitsvorkehrungen der Börse.

Am 20. Oktober nutzten die Angreifer den kompromittierten Rechner und ein internes KI-Tool, um Zugang zu den Systemen von zwei weiteren Ingenieuren zu erhalten, und beschafften Deployment-Zugangsdaten, die es ihnen ermöglichten, am 29. Oktober Schadsoftware in Binances Wallet-Infrastruktur zu installieren.

Die Eindringlinge gelangten anschließend zum internen Wallet-Signing-Dienst der Börse, der Kryptotransaktionen autorisiert, wodurch sie Gelder außerhalb des normalen Abhebungsprozesses bewegen konnten. Zugriff auf dieser Ebene bedeutete, dass Gelder sich bewegen konnten, während die üblichen Abhebungskontrollen der Börse umgangen waren – dieselbe Dynamik, die später ermöglichte, dass Überweisungen selbst nach der Aussetzung der Abhebungen durch Binance fortgesetzt wurden.

"Das war nicht ein Fehler oder ein einzelner Angriff — es war eine monatelange Kampagne", sagte Binance-Co-CEO Richard Teng in einem Beitrag auf X am Dienstag.

Quelle: Richard Teng auf X

EIP-7702 ausgenutzt, um Überweisungen am Laufen zu halten

Binance teilte mit, dass die Angreifer auch Ethereums EIP-7702-Mechanismus ausnutzten, der Wallets ermöglicht, Transaktionsberechtigungen an Smart Contracts zu delegieren. Dadurch konnten unbefugte Überweisungen selbst nach der Aussetzung der Abhebungen durch die Börse fortgesetzt werden. Binances Multiparty-Computation(MPC)-Wallet-System, das die Kontrolle über das Transaktionssignieren verteilt, erschwerte die Rücknahme dieser Berechtigungen. In Kombination bedeuteten die beiden Designs, dass das Stoppen der unbefugten Überweisungen das Zurückrollen von Berechtigungen im gesamten Wallet-System erforderte, anstatt eine einzelne Kontrollstelle abzuschalten.

Der Angriff betraf approximately 6,3 Milliarden US-Dollar in digitalen Assets, wobei Binance laut seiner jüngsten Bilanz meldete, dass 2,85 Milliarden US-Dollar eingefroren oder abgefangen wurden. Die Börse erklärte, die Verluste selbst zu tragen, statt sie auf Kunden zu übertragen, und hatte zum 31. Oktober 98 % der betroffenen Token-Assets ersetzt. Diese Zahlen stellen den jüngsten Stand dar und keine endgültige Regelung; künftige Updates zu den Assets jenseits der 2,85 Milliarden eingefrorenen oder abgefangenen US-Dollar – und dazu, ob die Ersetzung über 98 % hinausgeht – werden die endgültige Bilanz des Vorfalls prägen.

Der Angriff – der größte Crypto-Hack der Geschichte – wurde vom Federal Bureau of Investigation (FBI) nordkoreanischen Hackern zugeschrieben. Am Dienstag bestritt Kim Yo Jong, die Schwester des nordkoreanischen Machthabers Kim Jong Un, die Beteiligung ihres Landes und erklärte, die Zuordnung des FBI sei politisch motiviert und darauf abzielen, Nordkoreas internationales Ansehen zu schädigen. Die Aussagen lassen die beiden Darstellungen öffentlich unvereinbar, wobei die Zuordnung des FBI und die Dementi Pjöngjangs unversöhnlich gegenüberstehen.

Binance meldet 57 abgewehrte Cyber-Bedrohungen in diesem Jahr

Unabhängig davon sagte Binance-Mitgründerin Yi He am Dienstag, dass das Sicherheitsteam der Börse 2026 57 verdächtige, mutmaßlich mit Nordkorea in Verbindung gebrachte Cyber-Bedrohungen erkannt und verhindert habe, darunter gefälschte Vorstellungsgespräche, schädliche Softwarepakete und Social-Engineering-Versuche zum Stehlen von Zugangsdaten oder zur Installation von Schadsoftware. Die Bilanz 2026 zeigt, dass die im Zentrum des Angriffs stehenden Methoden – gefälschte Recruiter-Kontakte, manipulierte Pakete und Versuche zum Abgreifen von Zugangsdaten – wiederkehrende Muster in Binances Bedrohungsdaten waren und keine Einzelfälle.

"Wir haben viele davon abgefangen, aber die Kosten, auch nur einen nicht zu stoppen, waren schwerwiegend — und das hätte niemals passieren dürfen", sagte sie.

Dieser Artikel wurde ursprünglich von Cointelegraph gemeldet.