Hacker mit Verbindungen zu Nordkorea hielten etwa acht Wochen lang Zugriff auf die Systeme von Binance, bevor sie den Exploit der Börse über 6,3 Milliarden US-Dollar am 29. Oktober ausführten, so die Non-Proft-Cybersecurity-Organisation Security Alliance (SEAL). Binance sagt jedoch, die umfassendere Angriffskampagne begann im Juni, und die Hacker erlangten erst am 20. Oktober Zugriff auf weitere Geräte der Wallet-Infrastruktur.

In einem Bericht vom Donnerstag schrieb SEAL, dass die Hackergruppe im September das Gerät eines Software-Ingenieurs von Binance über ein fingiertes Rekrutierungsschema kompromittiert habe, und fügte hinzu, dass Bedrohungsakteure nach dem anfänglichen Eindringen mit „hohem Grad an Heimlichkeit über längere Zeiträume" in kompromittierten Systemen navigieren können. Die Acht-Wochen-Schätzung von SEAL bezieht sich auf das Eindringfenster von September bis Oktober, nicht auf den Beginn der von Binance beschriebenen umfassenderen Kampagne.

Cointelegraph kontaktierte Binance zur Klärung des Zeitablaufs. Ein Sprecher sagte, die anfänglichen Geräte-Kompromittierungen seien im Juni und September erfolgt, doch die Angreifer erlangten den für Wallet-Operationen erforderlichen Zugriff erst am 20. Oktober.

„Wie in unserer Mitteilung dargelegt, traten die anfänglichen Geräte-Kompromittierungen im Juni und September auf, aber die Angreifer erlangten den Zugriff, der für Wallet-Operationen erforderlich war, erst am 20. Oktober, als sie diesen Stützpunkt nutzten, um sich lateral zu bewegen und Zugriff auf weitere Geräte und Zugangsdaten zu erhalten", sagte der Sprecher.

SEAL identifizierte mindestens vier „Frontunternehmen", die mit TraderTraitors fingierten Rekrutierungskampagnen im Jahr 2026 in Verbindung stehen, darunter citalab.net, citalab.com, bitfit.io und oddium.io – Domains, die die Tarnfirmen gegenüber ihren Zielen als legitime Arbeitgeber präsentierten.

Binance führte die Angriffskampagne auf Juni zurück, als das Gerät eines anderen Mitarbeiters kompromittiert wurde, nachdem dieser eine manipulierte Homebrew-Installation (ein Open-Source-Paketmanager zur Installation von Software auf macOS und Linux) heruntergeladen hatte, während er versuchte, ein KI-Coding-Tool zu installieren, wie bereits berichtet. Die Börse erkannte den Vorfall, ersetzte das Gerät und rotierte die zugehörigen Zugangsdaten. Dennoch hatten die Angreifer bereits Informationen über Mitarbeiter erhalten, die an Binances Wallet-Infrastruktur arbeiten, wie aus einem X-Beitrag vom Dienstag hervorgeht.

Am 20. Oktober nutzten die Angreifer laut Binance den kompromittierten Computer des im September anvisierten Ingenieurs sowie ein internes KI-Tool, um die Kontrolle über die Geräte von zwei Wallet-Infrastruktur-Ingenieuren zu erlangen. Anschließend entdeckten sie ein Deployment-Berechtigungstoken, das beim Exploit am 29. Oktober verwendet wurde.

SEALs Analyse verwies auf ähnliche mehrstufige Eindringmuster bei anderen hochrangigen Crypto-Hacks. Die Organisation schätzt, dass die Angreifer etwa sechs Wochen Zugriff vor dem Bitget-Hack über 388 Millionen US-Dollar hatten, sechs Wochen Zugriff auf LayerZero, bevor die Schwachstelle zum Kelp-DAO-Exploit über 293 Millionen US-Dollar führte, und etwa drei Wochen vor dem AFX-Exploit über 24 Millionen US-Dollar. Insgesamt rahmen die Fälle lange Verweilzeiten zwischen dem anfänglichen Zugriff und der Ausführung als wiederkehrendes Merkmal großer Crypto-Eindringlinge – nicht als Anomalie, die nur Binance betrifft.

Das US Federal Bureau of Investigation schrieb den Angriff in einem Bericht vom Samstag Nordkoreas TraderTraitor zu. Kim Yo Jong, die Schwester des nordkoreanischen Führers Kim Jong Un, wies die Vorwürfe zurück, wodurch die Verantwortung für den Exploit zwischen Washington und Pjöngjang öffentlich umstritten bleibt. Da die beiden Regierungen einander direkt widersprechende Darstellungen bieten, könnten weitere Offenlegungen von Binance, SEAL oder US-Behörden Details darüber liefern, wie sich das Eindringen zwischen Juni und Oktober entwickelte.

Verwandt: Binance-Hack könnte ein „vorübergehender Rückschlag" für Crypto sein, sagt Grayscales Pandl