Ilya Lichtenstein sagt, dass die beim Hack der Binance-Hot-Wallet am 29. Oktober 2026 eingesetzten Taktiken denen nordkoreanischer Hacker ähnelten. Seine Einschätzung geht mit Binances eigenem Bericht über einen Angriff einher, der vorgetäuschte Rekrutierungen, bösartige Downloads und kompromittierte interne KI-Tools kombinierte und bei dem Assets im Wert von 6,34 Milliarden US-Dollar betroffen waren.

Der US-Präsident Donald Trump sagte, die Ermittler prüften eine mögliche nordkoreanische Verbindung. Weder seine Aussage noch Lichtensteins Einschätzung belegt eine Beteiligung Nordkoreas. Laut CNBC vermied es Binance-Co-CEO Richard Teng, Nordkorea direkt die Schuld zuzuweisen, bestätigte jedoch, dass das FBI den Angriff nordkoreanischen Hackern aus dem Umfeld der Gruppe TraderTraitor zugeordnet hatte.

Lichtenstein führte an, dass Phishing bei Mitarbeitern ein möglicher Einstiegspunkt in Kryptowährungsbörsen sein könne, anstatt deren Websites direkt anzugreifen. Der Hinweis war keine Bestätigung des bei diesem Vorfall genutzten Weges. Die Beobachtung zeigt, worauf die Sicherheit von Börsen fokussiert ist: Mitarbeitergeräte, interne Tools und die Systeme, die Gelder bewegen.

Monatelange Infiltration ging der Kompromittierung der Hot-Wallet voraus

Binaces Bericht beschreibt einen gestaffelten Eindringling, der Ingenieure und die Systeme zur Autorisierung von Wallet-Transaktionen einbezog. Teng sagte, die Angreifer hätten monatelang Zugang erschlichen, und wies die Vorstellung zurück, der Laptop eines einzelnen Mitarbeiters stelle einen Single Point of Failure dar.

Ein Sicherheitsbericht von Binance verfolgte die Vorbereitungen bis Juni zurück, als ein Ingenieur beim Suchen nach einem KI-Coding-Tool eine manipulierte Homebrew-Installation herunterlud. Die Börse erkannte verdächtige Aktivitäten, tauschte das Gerät aus und rotierte die Zugangsdaten, sagte aber, die Rolle des Ingenieurs und seine Kollegen seien bereits exponiert gewesen. Homebrew ist ein weit verbreiteter Paketmanager, und der Vorfall zeigt, wie eine Routine-Installation zum Einstiegspunkt wird, sobald ihre Quelle manipuliert ist.

Im September ließen Angreifer, die als Recruiter auftraten, einen weiteren Ingenieur Interviews und eine Coding-Aufgabe mit versteckter Malware durchlaufen, so Teng. Anschließend bewegten sie sich über interne KI-Tools zu dem System, das Wallet-Transaktionen autorisiert. Diese Abfolge – vorgetäuschte Einstellungsverfahren, versteckte Malware, laterale Bewegung über interne Tools hin zu dem System, das Wallet-Transaktionen autorisiert – entspricht dem von Lichtenstein beschriebenen Muster.

Teng sagte, Binance habe 98 % der betroffenen Assets ersetzt und kaufe die verbleibenden, weniger liquiden Bestände. Kunden hoben 3,6 Milliarden US-Dollar ab, als die Börse am 1. November wiedereröffnete. Binance sagte zu, Kundenverluste zu übernehmen, und baute das betroffene Wallet-System und das interne KI-Tool neu auf. Die Zahlen vermitteln das Ausmaß der Wiederherstellung: das Auffüllen einer mehrmilliardenschweren Lücke, das Verkraften hoher Auszahlungen bei der Wiedereröffnung und der Wiederaufbau kompromittierter Infrastruktur.

Lichtenstein betonte, dass die ersten 48 Stunden nach einem Angriff für die Rückverfolgung gestohlener Gelder entscheidend sind. Künstliche Intelligenz kann Überweisungen nach einem Diebstahl beschleunigen und erhöht so die Dringlichkeit einer frühen Nachverfolgung.

Wie die Untersuchung der Ermittler zur möglichen nordkoreanischen Verbindung verläuft und wann Binance den Kauf der verbleibenden, weniger liquiden Bestände abschließt, sind die nächsten Entwicklungen, die zu beobachten sind.

Dieser Artikel wurde mit Unterstützung künstlicher Intelligenz erstellt und vom Redaktionsteam geprüft.