Binance hat am 3. November seinen ersten detaillierten Bericht über den Angriff vom 29. Oktober veröffentlicht, bei dem digitale Vermögenswerte im Wert von rund 6,34 Milliarden US-Dollar betroffen waren, und dabei offengelegt, dass die Angreifer monatelang Zugänge aufbauten, bevor sie die Wallet-Signing-Infrastruktur der Börse erreichten. Die Krypto-Börse nannte Social Engineering, die Kompromittierung von Endgeräten und den Missbrauch der Transaktionsautorisierungsfunktionen von Ethereum als Ursachen des Vorfalls.

Das Unternehmen erklärte, die Operation habe gefälschte Vorstellungsgespräche, Malware und die Kompromittierung interner AI-Tools kombiniert. Rund 2,85 Milliarden US-Dollar wurden inzwischen eingefroren oder abgefangen, 98 % der betroffenen Token wieder aufgefüllt, und Abhebungen wurden weitgehend wieder aufgenommen, so Binance.

— Binance (@binance) November 3, 2026

In dem Bericht erklärte Binance, es veröffentliche den vollständigen Ablauf, weil die Lehren aus dem Vorfall weit über die Börse hinausreichen. Bemerkenswert ist der beschriebene Weg: Der Zugang zum Wallet-Signing-System wurde über Mitarbeiter-Endgeräte, Recruiting-Prozesse und interne Tools aufgebaut und nicht durch einen direkten Angriff auf die Wallets selbst – eine Abfolge, die Binance als auch für die gesamte Branche relevant einordnete.

Der Angriff begann Monate vor dem Diebstahl von 6,34 Milliarden USD

Nach Angaben von Binance begann das Eindringen im Juni, als ein neu eingestellter Wallet-DevOps-Ingenieur während der Installation eines AI-Coding-Tools ein modifiziertes Softwarepaket herunterlud. Die Börse bemerkte den Vorfall, rotierte die Zugangsdaten und ersetzte das Gerät, doch der Angreifer hatte bereits Informationen darüber erhalten, wie der Ingenieur an der Wallet-Infrastruktur arbeitete und wer zum Team gehörte.

Der Ingenieur wurde im September erneut über eine legitime Job-Suchwebsite ins Visier genommen. Der Angreifer gab sich als Recruiter aus, verlagerte den Prozess in ein Video-Interview und bat den Ingenieur anschließend, eine Programmieraufgabe herunterzuladen. Laut Binance führte im Repository hinterlegte Malware bei der Installation aus und schrieb auf den Arbeitscomputer des Mitarbeiters.

Internes AI-Tool wurde Teil des Angriffspfads

Binance erklärte, die Angreifer nutzten anschließend das nachgebaute Gerät und das AI-Tool, um auf die Systeme von zwei weiteren Ingenieuren zuzugreifen. Bis zum 20. Oktober hatten sie ein Token für Container-Deployments im Besitz eines Wallet-DevOps-Mitarbeiters ausfindig gemacht. Mit dem gestohlenen Satz an Zugangsdaten starteten die Angreifer einen Container und schleusten am 29. Oktober bösartigen Code in die Wallet-Umgebung von Binance ein.

Die Hacker erlangten anschließend Zugriff auf einen internen Wallet-Signing-Service und umgingen damit das übliche Abhebungsverfahren der Börse.

Angreifer nutzten EIP-7702 aus, um Krypto weiter zu bewegen

Mehrere Netzwerke waren von dem Angriff betroffen. Dem Bericht zufolge plünderte der Angreifer fünf Hot Wallets von Binance – die mit dem Internet verbundenen Wallets, die Börsen für den täglichen Transfer nutzen – mit insgesamt 233,46 Millionen XRP. Weitere Transfers bewegten 970.503 SOL und 44,2 Millionen OP, gefolgt von Transfers über 18.270 BTC.

EIP-7702 ist eine Funktion von Ethereum, die die Delegation von Ausführungsrechten von einem Konto an einen Smart Contract ermöglicht, und Binance erklärte, die Angreifer hätten dies ausgenutzt. Die Untersuchung des Unternehmens erkannte eine bösartige Nonce-Manipulation – die Manipulation der Sequenznummern, die Ethereum zur Ordnung der Transaktionen eines Kontos verwendet – in 50 Signing-Transaktionen.

Dem Bericht zufolge wurden die bösartigen Autorisierungen auch nach der Aussetzung der Abhebungen nicht entfernt, da die Aussetzung der Abhebungen keine Option war, die alle Transfers sofort hätte stoppen können. Das Multi-Party-Computation-Wallet-Setup erschwerte die Reaktion zusätzlich, da es keinen einzelnen privaten Schlüssel gab, mit dem die bösartigen Autorisierungen schnell hätten widerrufen werden können.

Binance friert 2,85 Milliarden USD ein und füllt 98 % der Token auf

Rund 6,34 Milliarden US-Dollar an digitalen Vermögenswerten waren betroffen, so Binance-Mitgeschäftsführer Richard Teng. Mehr als 2,85 Milliarden US-Dollar wurden mit Unterstützung von Strafverfolgungsbehörden, Token-Emittenten und Blockchain-Analyseunternehmen eingefroren oder abgefangen, so der Manager.

On 29 October, Binance was the target of one of the most sophisticated attacks the digital asset industry has ever seen. ~$6.34B in assets were impacted. We take full responsibility and we're making it right. No user bears the loss. We set aside more than the full amount required. At this moment, 98% of impacted tokens had been replenished; we're completing the remaining 2%. Withdrawals have broadly resumed. This wasn't one mistake or one breach – it was a months-long campaign. We're publishing the full report because the lessons go far beyond Binance. ~$2.85B has already been frozen or intercepted with law enforcement, issuers and blockchain intelligence firms. The speed of coordination could not be matched in traditional finance.

— Richard Teng (@_RichardTeng) November 3, 2026

Binance hat zugesagt, die Verluste aus dem Vorfall selbst zu tragen, anstatt sie auf die Nutzer zu übertragen. Bis zum 31. Oktober wurden Token-Vermögenswerte im Umfang von 98 % der betroffenen Bestände erneuert, während die restlichen, weniger liquiden Assets gerade gekauft wurden.

Die Börse hat seitdem die betroffenen Wallet-Systeme und internen AI-Tools wieder aufgebaut, kompromittierte Geräte ersetzt, Zugangsdaten widerrufen und eine AI-basierte Erkennung Verhaltensanomalien hinzugefügt. Laut Binance-Zeitplan noch offen: die letzten 2 % der Token-Auffüllung, der Kauf der verbleibenden, weniger liquiden Assets sowie die laufende Wiederherstellungsarbeit mit Strafverfolgungsbehörden, Token-Emittenten und Blockchain-Analyseunternehmen an noch nicht eingefrorenen oder abgefangenen Mitteln.

Quelle: CryptoNinjas