Am 29. Oktober 2026 kam es bei Binance zu einem schwerwiegenden und hochentwickelten Sicherheitsvorfall. Das hätte nicht passieren dürfen. Wir entschuldigen uns für die Besorgnis, die Beeinträchtigungen und die Unsicherheit, die dadurch bei unseren Nutzern, Partnern und in der gesamten Branche entstanden sind.

Unsere oberste Verantwortung ist der Schutz unserer Nutzer. Binance wird die finanziellen Auswirkungen der gestohlenen Gelder tragen, nicht unsere Nutzer. Wir haben bereits mehr als 100 % der zur Deckung des Verlusts erforderlichen Gelder zurückgelegt. Mit Stand vom 31. Oktober 2026 wurden 98 % der betroffenen Token-Vermögenswerte wieder aufgefüllt und sind auf unserer Seite zum Nachweis der Reserven verifizierbar. Wir sind dabei, die noch ausstehenden, weniger liquiden Vermögenswerte zu erwerben.

Der Vorfall betraf digitale Vermögenswerte im Wert von etwa 6,34 Milliarden US-Dollar. Bis zu diesem Stand wurden digitale Vermögenswerte im Wert von etwa 2,85 Milliarden US-Dollar eingefroren oder abgefangen. Die Zahlen unterliegen noch dem Abgleich und Schwankungen der Marktpreise.

Wir haben umgehend Maßnahmen ergriffen, um den Vorfall einzudämmen und die betroffenen Systeme zu stärken. Die als Einstiegspunkte des Angriffs identifizierten Zugänge wurden geschlossen. Systeme, die Teil des Angriffspfads waren, wurden wiederaufgebaut oder ersetzt. Außerdem haben wir strengere Gerätekontrollen eingeführt, die Risikokontrollen für Wallet-Dienste verbessert und die KI-gestützte Erkennung von Verhaltensanomalien ausgeweitet.

Dies ist unser erster Bericht. Er behandelt unseren derzeitigen Kenntnisstand und die bereits vorgenommenen Verbesserungen. Die Untersuchung dauert an, und unsere Ergebnisse werden einer weiteren unabhängigen Prüfung unterzogen. Einige technische Details bleiben vertraulich, damit böswillige Akteure sie nicht zur Planung von Angriffen nutzen können. Wir ziehen unabhängige Sicherheitsfirmen für eine weitere Prüfung hinzu. 

Den neuesten Informationen des Federal Bureau of Investigation zufolge ist die Demokratische Volksrepublik Korea für diesen Vorfall verantwortlich.

Wir veröffentlichen diesen ersten Bericht, weil die Sicherheit davon profitiert, wenn die Branche gemeinsam aus Vorfällen lernt.

Was am 29. Oktober geschah

Der Angriff breitete sich rasch über mehrere Netzwerke aus.

Der Angreifer nutzte unbefugten Zugriff auf einen internen Wallet-Signaturdienst aus, um Transaktionen außerhalb des normalen Auszahlungsprozesses einzuleiten.

Zwischen 20:05 und 20:09 UTC überwiesen fünf Binance-Hot-Wallets 233.46 Millionen XRP an eine vom Angreifer kontrollierte Adresse.

Binance-Hot-Wallets auf Solana und Optimism überwiesen etwa 970,500 SOL und 44.2 Millionen OP an vom Angreifer kontrollierte Adressen.

Binance erhielt daraufhin eine interne Warnmeldung zu Überweisungen großer Beträge und leitete umgehend eine Untersuchung ein.

Ein Binance-Hot-Wallet überwies 18,270 BTC an eine vom Angreifer kontrollierte Adresse. 

Anschließend nutzte der Angreifer den Signaturdienst, um den Autorisierungsmechanismus EIP-7702 von Ethereum auszunutzen. EIP-7702 ermöglicht es einem Konto, bestimmte Ausführungsrechte an einen Smart Contract zu delegieren, ohne den privaten Schlüssel offenzulegen. In diesem Fall nutzte der Angreifer den Mechanismus, um einem von ihm kontrollierten Smart Contract teilweise Ausführungsrechte für ein Binance-Hot-Wallet zu erteilen. 

Binance leitete umgehend mehrere Eindämmungsmaßnahmen ein. Dazu gehörten die Aussetzung von Auszahlungen, um weitere Abflüsse zu begrenzen, die Abstimmung mit Partnern zum Einfrieren betroffener Tokens sowie Schritte zum Widerruf unbefugter Berechtigungen. Durch diese Maßnahmen wurden Vermögenswerte im Gesamtwert von 2,85 Milliarden US-Dollar eingefroren.

Die Aussetzung von Auszahlungen allein konnte jedoch nicht alle unbefugten Vermögensbewegungen stoppen. Die schädlichen EIP-7702-Autorisierungen waren On-Chain vorhanden und funktionierten unabhängig von der normalen Auszahlungsinfrastruktur von Binance. Die Angreifer reichten 50 Signaturtransaktionen ein, um den Nonce des Kontos zu manipulieren und schädliche Delegierungsautorisierungen einzurichten. Nach ihrer Einrichtung ermöglichten diese Autorisierungen den Angreifern, Vermögenswerte weiterhin unabhängig von der normalen Auszahlungsinfrastruktur von Binance zu bewegen. Binance musste zusätzliche Transaktionen ausführen, um diese On-Chain-Autorisierungen zu widerrufen.

Die Eindämmung war mit zusätzlichen technischen Herausforderungen verbunden. Da das Hot-Wallet Multi-Party Computation (MPC) verwendete, gab es keinen einzelnen privaten Schlüssel, mit dem sich die schädlichen EIP-7702-Autorisierungen sofort widerrufen ließen. Das Team entwickelte und führte daher ein spezielles Verfahren zum Widerruf dieser Autorisierungen aus, was zusätzliche Zeit erforderte. Außerdem machten die Aussetzung von Auszahlungen und die Abschaltung der Hot-Wallet-Dienste bestehende On-Chain-Autorisierungen nicht automatisch ungültig.

Diese Herausforderungen verlängerten die Zeit, die erforderlich war, um die unbefugten Vermögensbewegungen vollständig einzudämmen. Wir überprüfen den Prozess der Reaktion auf Sicherheitsvorfälle, die Abdeckung durch Signaturrichtlinien und die Kontrollen für Hot-Wallets und ermitteln Möglichkeiten, unsere Fähigkeit zur schnellen Reaktion auf künftige Bedrohungen weiter zu stärken.

Die letzte unbefugte Überweisung von 2,961.9 ETH wurde um 23:56 UTC On-Chain endgültig bestätigt. Die Transaktion war zuvor übertragen worden und hatte noch ausstehend auf ihre Bestätigung gewartet. Danach wurden keine weiteren unbefugten Überweisungen festgestellt.

Am 30. Oktober 2026 um 00:10 UTC führte Binance eine neue Autorisierung von der Binance14-Hot-Wallet an die Nulladresse aus und löschte damit den EIP-7702-Delegierungscode.

Vorbereitung des Angriffs 

Unsere laufenden Ermittlungen deuten darauf hin, dass es sich um eine ausgeklügelte, mehrstufige Kampagne handelte. Es war weder ein einzelner, isolierter Sicherheitsvorfall noch ein einfacher Phishing-Angriff. Die Angreifer kombinierten verschiedene Techniken, darunter Social Engineering durch gefälschte Vorstellungsgespräche, das Herunterladen von Schadsoftware, kompromittierte interne KI-Tools, die Kompromittierung von Endgeräten und ein fortschrittliches Verfahren zur Transaktionsautorisierung.

• Juni 2026 — Angriff auf die Lieferkette. Ingenieur A aus dem Wallet-DevOps-Team lud eine manipulierte Homebrew-Installation herunter, um ein beliebtes KI-Programmierwerkzeug zu installieren, nachdem er über eine Suchmaschine danach gesucht hatte. Unser Sicherheitsteam erkannte die Anomalie, ersetzte das Gerät und änderte vorsorglich alle zugehörigen Zugangsdaten. Die Rolle von Ingenieur A und die seiner Kollegen im Wallet-Infrastrukturteam waren dem Hacker jedoch bekannt geworden. 

• Im Laufe des Jahres 2026 erkannte und verhinderte das Sicherheitsteam von Binance 57 mutmaßliche Cyberbedrohungen mit Verbindungen zu Nordkorea. Diese Angriffe spiegeln die anhaltende Bedrohung durch staatlich unterstützte Akteure wider, die es auf die Kryptowährungsbranche abgesehen haben. Zu den angewandten Techniken zählen betrügerische Vorstellungsgespräche, als beliebte Entwicklerwerkzeuge getarnte Schadsoftware, kompromittierte Softwarepakete und Browser-Erweiterungen, gefälschte Videokonferenz-Apps sowie Social-Engineering-Kampagnen, die darauf abzielen, Zugangsdaten zu stehlen oder Fernzugriffsschadsoftware einzusetzen.

• September 2026 — Social Engineering. Softwareentwickler B wurde über eine seriöse Plattform für Arbeitssuchende von einer Person kontaktiert, die sich als Projektdirektor ausgab. Softwareentwickler B hatte auf der Plattform ein Profil, in dem seine Tätigkeit bei Binance erwähnt wurde. Der vermeintliche Projektdirektor vereinbarte zunächst ein Vorstellungsgespräch mit einem HR-Mitarbeiter, gefolgt von einem zweiten Gespräch mit einer Person, die behauptete, CEO eines fiktiven Unternehmens zu sein.

  • In der ersten Runde führte der vermeintliche HR-Mitarbeiter ein Live-Videointerview mit Softwareentwickler B. Um Vertrauen aufzubauen, teilte der Interviewer einen Social-Media-Account mit ihm, auf dem persönliche Fotos und Videos veröffentlicht waren. Dies war ausgefeilter und raffinierter als bisher bekannte Social-Engineering-Methoden. 

  • Das zweite Gespräch fand in einer beliebten Social-Chat-App statt. Gegen Ende des Gesprächs wurde Ingenieur B angewiesen, eine „Aufgabe“ mit einem schädlichen Code-Repository auf seinen Arbeitscomputer herunterzuladen. Das Repository enthielt Schadcode, der während des Einrichtungsprozesses ausgeführt wurde und eine Reihe unbefugter Aktivitäten auslöste.

  • Die Malware setzte ausgefeilte Verschleierungs- und Umgehungstechniken ein. Dazu gehörte, eine Komponente eines legitimen Entwicklungstools durch eine schädliche Version zu ersetzen, um Befehle auszuführen und eine Verbindung zu einem externen, vom Angreifer kontrollierten Server herzustellen. Die Zero-Day-Malware wurde zu diesem Zeitpunkt von den Endgeräteschutz-Tools nicht erkannt. Der Angreifer unternahm außerdem Schritte, um die schädlichen Aktivitäten zu verbergen und Spuren der Kompromittierung zu beseitigen, wodurch die Erkennung und anschließende Untersuchung erschwert wurden.

  • Das Skript führte die folgenden Schritte aus und wandte dabei Verschleierungstechniken an, um der Erkennung durch Sicherheitssysteme zu entgehen.

ERSTELLEN  /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_  

ÄNDERN  pyenv_ → 3,414 B  

LÖSCHEN  .../libexec/pyenv  (3,344 B)      ← das gültige pyenv entfernen

UMBENENNEN  pyenv_ → pyenv  (3,414 B)  ← durch eine schädliche Version ersetzen

LÖSCHEN  /opt/homebrew/bin/pyenv  (3,414 B)

ln  (einen neuen symbolischen Link erstellen)  +  zsh starten

• 20. Oktober 2026 — Einsatz eines internen KI-Tools als Sprungbrett. Der Angreifer nutzte den kompromittierten Computer von Ingenieur B und ein internes KI-Tool, um die Kontrolle über Wallet-DevOps-Ingenieur A und einen weiteren Wallet-Softwareentwickler, Ingenieur C, zu erlangen. Kurz darauf entdeckte der Angreifer, dass Wallet-DevOps-Ingenieur A auf seinem Computer ein Token mit Berechtigung zur Containerbereitstellung gespeichert hatte.

• 29. Oktober 2026 — Zugriff auf Wallet-Signaturvorgänge. Am 29. Oktober zwischen 17:15 und 19:56 Uhr meldete sich der Angreifer am Computer von Softwareentwickler C an, verwendete die von Wallet-DevOps-Ingenieur A gestohlenen Zugangsdaten, stellte einen Container bereit und löste ein schädliches Skript aus, um den Angriff zu starten.

Unsere Maßnahmen

Bis zum 3. November 2026 haben wir folgende Maßnahmen ergriffen:

• Das betroffene Wallet-System wurde in einer neuen Umgebung wiederaufgebaut.

• Das betroffene interne KI-Tool wurde wiederaufgebaut und seine Zugriffskontrollen wurden erneuert.

• Betroffene Geräte wurden ersetzt.

• Zugangsdaten und Tokens der betroffenen Ingenieure wurden außer Betrieb genommen.

• Erweiterte Sicherheitsscans auf allen Geräten der Mitarbeitenden wurden abgeschlossen.

• Die KI-gestützte Erkennung von Verhaltensanomalien wurde verbessert.

• Die Risikokontrollen für Wallet-Dienste wurden verstärkt.

• Wir haben mit Strafverfolgungsbehörden, Blockchain-Analysefirmen und Branchenpartnern zusammengearbeitet, um betroffene Vermögenswerte nachzuverfolgen und einzufrieren.

Wir werden unsere Maßnahmen im Verlauf der Untersuchung weiter verstärken. Einige der von uns umgesetzten und geplanten Sicherheitsmaßnahmen werden vertraulich bleiben, damit böswillige Akteure unsere Sicherheitsvorkehrungen nicht kompromittieren können.

Weitere Maßnahmen

Wir ergreifen umgehend die folgenden Maßnahmen.

1. Unabhängige Cybersicherheitsprüfung

Wir ziehen unabhängige Cybersicherheitsexperten hinzu, die den Vorfall umfassend untersuchen, unsere Erkenntnisse überprüfen und zusätzliche Maßnahmen empfehlen sollen. Umfang und Ergebnisse dieser Prüfung fließen in unsere laufenden Abhilfemaßnahmen ein.

2. Ausbau der Investitionen in KI-Sicherheit und Prävention

Wir erhöhen unsere Investitionen in KI-gestützte Erkennung, Endgeräteschutz, Sicherheit von Entwicklungsumgebungen und die Überwachung von Verhaltensanomalien.

3. Fonds für Sicherheitsforschung und Brancheninitiativen

Wir arbeiten an der Einrichtung eines Fonds für Sicherheitsforschung und gezielter Initiativen gemeinsam mit führenden KI-Unternehmen, Branchenakteuren und Sicherheitsfirmen, die sich auf KI-Sicherheit in Blockchain-Umgebungen konzentrieren.

Wir werden weiterhin proaktiv Informationen weitergeben, sobald sie uns vorliegen.