Am 29. Oktober 2026 erlitt Binance einen schwerwiegenden und hochentwickelten Sicherheitsvorfall. Das hätte nicht passieren dürfen. Wir entschuldigen uns für die Sorgen, die Unterbrechungen und die Unsicherheit, die dadurch bei unseren Nutzern, Partnern und der Branche insgesamt entstanden sind.

Unsere wichtigste Verantwortung ist der Schutz unserer Nutzer. Binance wird die finanziellen Auswirkungen der gestohlenen Gelder tragen, nicht unsere Nutzer. Wir haben bereits mehr als 100 % der zur Deckung der Verluste benötigten Mittel zurückgestellt. Bis zum 31. Oktober 2026 waren 98 % der betroffenen Token-Vermögenswerte wiederhergestellt. Sie können auf unserer Seite zum Nachweis der Reserven (Proof of Reserves) überprüft werden. Derzeit bemühen wir uns, die verbleibenden Vermögenswerte zu beschaffen, deren Liquidität geringer ist.

Der Vorfall betraf digitale Vermögenswerte im Wert von etwa 6,34 Milliarden US-Dollar. Zum Zeitpunkt dieser Aktualisierung wurden digitale Vermögenswerte im Wert von etwa 2,85 Milliarden US-Dollar eingefroren oder abgefangen; die Beträge müssen noch abgeglichen werden und unterliegen den Marktschwankungen.

Wir ergriffen umgehend Maßnahmen, um den Vorfall einzudämmen und die betroffenen Systeme zu stärken. Wir schlossen die Zugangspunkte, die als für den Angriff genutzt identifiziert worden waren. Die Systeme entlang des Angriffspfads bauten wir neu auf oder ersetzten sie. Außerdem führten wir strengere Gerätekontrollen ein, verstärkten die Risikokontrollen für Wallet-Dienste und erweiterten die KI-gestützte Erkennung von Verhaltensanomalien.

Dies ist unser erster Bericht. Darin stellen wir dar, was wir bisher wissen und welche Verbesserungen wir bereits umgesetzt haben. Die Untersuchung dauert an; unsere Erkenntnisse werden einer zusätzlichen unabhängigen Prüfung unterzogen. Einige technische Details bleiben vertraulich, damit böswillige Akteure sie nicht zur Planung von Angriffen nutzen können. Wir arbeiten mit unabhängigen, auf Sicherheit spezialisierten Unternehmen an einer weiteren Überprüfung.

Die jüngsten von der US-Bundespolizei FBI veröffentlichten Informationen deuten darauf hin, dass die Demokratische Volksrepublik Korea für diesen Vorfall verantwortlich ist.

Wir veröffentlichen diesen ersten Bericht, weil sich die Sicherheit verbessert, wenn die Branche gemeinsam lernt und Wissen teilt.

Was am 29. Oktober geschah

Der Angriff breitete sich rasch über mehrere Netzwerke aus.

Der Angreifer nutzte den unbefugten Zugriff auf einen internen Wallet-Dienst zur Transaktionssignierung, um Transaktionen außerhalb des üblichen Auszahlungsprozesses einzuleiten.

Zwischen 20:05 und 20:09 UTC überwiesen fünf Binance-Hot-Wallets 233,46 Millionen XRP an eine vom Angreifer kontrollierte Adresse.

Binance-Hot-Wallets auf Solana und Optimism überwiesen etwa 970.500 SOL und 44,2 Millionen OP an vom Angreifer kontrollierte Adressen.

Später erhielt Binance eine interne Warnmeldung zu Überweisungen großer Beträge und leitete umgehend eine Untersuchung ein.

Ein Binance-Hot-Wallet überwies 18.270 BTC an eine vom Angreifer kontrollierte Adresse.

Anschließend nutzte der Angreifer den Signaturdienst, um den Ethereum-Autorisierungsmechanismus EIP-7702 auszunutzen. EIP-7702 ermöglicht es einem Konto, bestimmte Ausführungsrechte an einen Smart Contract zu delegieren, ohne seinen privaten Schlüssel offenzulegen. In diesem Fall nutzte der Angreifer den Mechanismus, um einem von ihm kontrollierten Smart Contract teilweise Ausführungsrechte für ein Binance-Hot-Wallet zu erteilen.

Binance leitete umgehend mehrere Eindämmungsmaßnahmen ein. Dazu gehörten die Aussetzung von Auszahlungen, um weitere Abflüsse zu begrenzen, die Abstimmung mit Partnern zum Einfrieren der betroffenen Tokens sowie Maßnahmen zum Widerruf unbefugter Berechtigungen. Dadurch konnten Vermögenswerte im Wert von insgesamt 2,85 Milliarden US-Dollar eingefroren werden.

Die Aussetzung von Auszahlungen allein konnte jedoch nicht alle unbefugten Vermögensbewegungen stoppen. Die bösartigen EIP-7702-Autorisierungen waren bereits auf der Blockchain (on-chain) vorhanden und funktionierten unabhängig von der üblichen Auszahlungsinfrastruktur von Binance.

Die Angreifer sendeten 50 Signaturtransaktionen, um den Nonce des Kontos zu manipulieren und bösartige Delegierungsautorisierungen einzurichten. Nach ihrer Einrichtung ermöglichten diese Autorisierungen den Angreifern, weiterhin Vermögenswerte unabhängig von der üblichen Auszahlungsinfrastruktur von Binance zu übertragen. Daher musste Binance zusätzliche Transaktionen ausführen, um diese Autorisierungen auf der Blockchain zu widerrufen.

Der Eindämmungsprozess war mit zusätzlichen technischen Herausforderungen verbunden. Da das Hot-Wallet Multiparty Computation (MPC) verwendete, gab es keinen einzelnen privaten Schlüssel, mit dem die bösartigen EIP-7702-Autorisierungen sofort widerrufen werden konnten. Daher entwickelte und implementierte das Team ein spezielles Verfahren zum Widerruf dieser Autorisierungen, was mehr Zeit in Anspruch nahm. Auch durch die Aussetzung von Auszahlungen und die Abschaltung der Hot-Wallet-Dienste wurden bestehende Autorisierungen auf der Blockchain nicht automatisch ungültig.

Diese Herausforderungen verlängerten die Zeit, die erforderlich war, um die unbefugten Vermögensbewegungen vollständig einzudämmen. Wir überprüfen den Prozess der Reaktion auf Vorfälle, den Umfang der Signaturrichtlinien und die Kontrollen für Hot-Wallets. Außerdem ermitteln wir Möglichkeiten, unsere Fähigkeit zu verbessern, schnell auf künftige Bedrohungen zu reagieren.

Die letzte unbefugte Überweisung über insgesamt 2.961,9 ETH wurde um 23:56 UTC auf der Blockchain bestätigt. Die Transaktion war zuvor übermittelt worden und blieb vor ihrer Bestätigung ausstehend. Danach wurden keine weiteren unbefugten Überweisungen beobachtet.

Am 30. Oktober 2026 um 00:10 UTC führte Binance eine neue Autorisierung vom Binance-Hot-Wallet Binance14 an die Nulladresse aus und entfernte damit den EIP-7702-Delegierungscode.

Vorbereitung des Angriffs

Unsere laufenden Untersuchungen deuten darauf hin, dass es sich um eine ausgefeilte, mehrstufige Kampagne handelte. Es war weder ein isolierter Einbruch noch ein einfacher Phishing-Vorfall. Die Angreifer kombinierten verschiedene Techniken, darunter Social Engineering mit fingierten Bewerbungsgesprächen, das Herunterladen von Schadsoftware, kompromittierte interne KI-Tools, die Kompromittierung von Geräten und eine fortgeschrittene Methode zur Autorisierung von Transaktionen.

Juni 2026: Angriff auf die Software-Lieferkette

Ingenieur A aus dem DevOps-Team für Wallets lud eine manipulierte Homebrew-Installation herunter, um ein beliebtes KI-basiertes Programmiertool zu installieren, nachdem er in einer Suchmaschine danach gesucht hatte.

Unser Sicherheitsteam erkannte die Anomalie, ersetzte das Gerät und erneuerte vorsorglich alle zugehörigen Zugangsdaten. Der Arbeitsplatz von Ingenieur A und die Arbeitsplätze seiner Kollegen aus dem Wallet-Infrastrukturteam waren dem Angreifer jedoch offengelegt.

Im Laufe des Jahres 2026 erkannte und verhinderte das Sicherheitsteam von Binance 57 mögliche Cyberbedrohungen mit Verbindungen zu Nordkorea. Diese Versuche spiegeln die anhaltende Bedrohung wider, die staatlich unterstützte Akteure für die Kryptowährungsbranche darstellen.

Zu den eingesetzten Techniken gehörten betrügerische Bewerbungsgespräche, als beliebte Entwicklertools getarnte Schadsoftware, kompromittierte Softwarepakete und Browsererweiterungen, gefälschte Videokonferenz-Apps sowie Social-Engineering-Kampagnen, die darauf ausgelegt waren, Zugangsdaten zu stehlen oder Schadsoftware für den Fernzugriff zu installieren.

September 2026: Social Engineering

Softwareentwickler B wurde über eine legitime Jobsuchplattform von einer Person kontaktiert, die sich als Projektleiter ausgab. Entwickler B hatte auf dieser Plattform ein Profil, in dem er seine Erfahrung bei Binance erwähnte.

Der vermeintliche Projektleiter organisierte zunächst ein Gespräch mit einem Vertreter der Personalabteilung, gefolgt von einem zweiten Gespräch mit einer Person, die behauptete, CEO eines fiktiven Unternehmens zu sein.

Während des ersten Gesprächs führte der vermeintliche Vertreter der Personalabteilung einen Live-Videoanruf mit Softwareentwickler B. Um Vertrauen aufzubauen, teilte der Interviewer ein Social-Media-Konto mit ihm, auf dem persönliche Fotos und Videos veröffentlicht waren. Diese Methode war ausgefeilter und irreführender als die zuvor beobachteten Social-Engineering-Techniken.

Das zweite Gespräch fand über eine beliebte Social-Messaging-App statt. Gegen Ende des Gesprächs wurde Entwickler B angewiesen, einen „Programmiertest“ mit einem bösartigen Code-Repository auf seinen Arbeitscomputer herunterzuladen. Das Repository enthielt Schadcode, der während der Einrichtung ausgeführt wurde und eine Reihe nicht autorisierter Aktivitäten in Gang setzte.

Die Schadsoftware verwendete ausgefeilte Verschleierungs- und Umgehungstechniken. Dazu gehörte, eine legitime Komponente eines Entwicklungstools durch eine schädliche Version zu ersetzen, um Befehle auszuführen und eine Verbindung zu einem externen, vom Angreifer kontrollierten Server herzustellen.

Die Zero-Day-Schadsoftware wurde zu diesem Zeitpunkt von den Schutztools der Geräte nicht erkannt. Der Angreifer ergriff außerdem Maßnahmen, um die bösartigen Aktivitäten zu verbergen und Spuren des Eindringens zu beseitigen, was sowohl die Erkennung als auch die anschließende Untersuchung erschwerte.

Das Skript führte mithilfe von Verschleierungstechniken die folgenden Schritte aus, um Sicherheitserkennungsmechanismen zu umgehen:

Text

CREATE /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_

MODIFY pyenv_ → 3.414 B

DELETE .../libexec/pyenv (3.344 B)

← die legitime pyenv-Datei löschen

RENAME pyenv_ → pyenv (3.414 B)

← durch eine schädliche Version ersetzen

DELETE /opt/homebrew/bin/pyenv (3.414 B)

ln (einen neuen symbolischen Link erstellen) + spawn zsh

20. Oktober 2026: Ein internes KI-Tool als Einstiegspunkt

Der Angreifer nutzte den kompromittierten Computer von Entwickler B und ein internes KI-Tool, um die Kontrolle über Ingenieur A aus dem DevOps-Team für Wallets sowie über einen weiteren Softwareentwickler im Wallet-Team, Ingenieur C, zu erlangen.

Kurz darauf entdeckte der Angreifer, dass sich auf dem Computer von Ingenieur A ein Token mit Berechtigungen zum Bereitstellen von Containern befand.

29. Oktober 2026: Zugriff auf die Wallet-Signaturvorgänge

Am 29. Oktober meldete sich der Angreifer zwischen 17:15 und 19:56 UTC am Computer von Softwareentwickler C an, verwendete die von Ingenieur A aus dem DevOps-Team für Wallets gestohlenen Zugangsdaten, stellte einen Container bereit und führte ein bösartiges Skript aus, um den Angriff in Gang zu setzen.

Ergriffene Maßnahmen

Bis zum 3. November 2026 haben wir folgende Maßnahmen ergriffen:

• Wir haben das betroffene Wallet-System in einer neuen Umgebung neu aufgebaut.

• Wir haben das betroffene interne KI-Tool neu aufgebaut und seine Zugriffskontrollen verstärkt.

• Wir haben die betroffenen Geräte ersetzt.

• Wir haben die Zugangsdaten und Tokens der betroffenen Ingenieure deaktiviert.

• Wir haben verstärkte Sicherheitsprüfungen auf den Geräten aller Mitarbeitenden abgeschlossen.

• Wir haben die KI-gestützte Erkennung von Verhaltensanomalien verbessert.

• Wir haben die Risikokontrollen für Wallet-Dienste verstärkt.

• Wir arbeiten mit Behörden, Blockchain-Analyseunternehmen und Branchenpartnern zusammen, um die betroffenen Vermögenswerte zurückzuverfolgen und einzufrieren.

Wir werden unsere Maßnahmen im weiteren Verlauf der Untersuchung weiter verstärken. Wir haben bereits verschiedene Sicherheitsmaßnahmen umgesetzt und setzen weitere um. Diese bleiben vertraulich, damit böswillige Akteure unsere Systeme nicht kompromittieren können.

Nächste Schritte

Wir ergreifen unverzüglich folgende Maßnahmen:

1. Unabhängige Cybersicherheitsprüfung

Wir beauftragen unabhängige Cybersicherheitsexperten mit einer umfassenden Prüfung des Vorfalls. Sie sollen unsere Erkenntnisse überprüfen und weitere Maßnahmen empfehlen.

Umfang und Ergebnisse dieser Prüfung werden als Grundlage für unsere laufenden Korrektur- und Verbesserungsmaßnahmen dienen.

2. Höhere Investitionen in KI-gestützte Sicherheit und Prävention

Wir erhöhen unsere Investitionen in KI-gestützte Erkennung, Geräteschutz, Sicherheit von Entwicklungsumgebungen und Überwachung von Verhaltensanomalien.

3. Sicherheitsforschungsfonds und Brancheninitiativen

Wir arbeiten an der Einrichtung eines Sicherheitsforschungsfonds und der Entwicklung gezielter Initiativen gemeinsam mit führenden KI-Unternehmen, Branchenakteuren und spezialisierten Sicherheitsfirmen. Ein besonderer Schwerpunkt liegt dabei auf der Sicherheit von KI in Blockchain-Umgebungen.

Wir werden weiterhin proaktiv Informationen teilen, sobald sie verfügbar sind.