Am 30. Oktober 2026 (UTC+8) kam es bei Binance zu einem schwerwiegenden und äußerst komplexen Sicherheitsvorfall. Das hätte nicht passieren dürfen. Wir entschuldigen uns aufrichtig für die Sorgen, Beeinträchtigungen und Unsicherheiten, die dieser Vorfall bei unseren Nutzern, Partnern und der gesamten Branche ausgelöst hat.
Der Schutz unserer Nutzer hat für uns oberste Priorität. Binance wird den gesamten Verlust der gestohlenen Gelder tragen, nicht unsere Nutzer. Wir haben mehr als 100 % der Mittel zurückgelegt, um die durch diesen Vorfall entstandenen Verluste abzudecken. Bis zum 31. Oktober 2026 (UTC+8) wurden 98 % der betroffenen Token-Vermögenswerte wieder aufgefüllt. Nutzer können dies auf unserer Seite Nachweis der Reserven überprüfen. Wir kaufen derzeit die verbleibenden, weniger liquiden Vermögenswerte.
Der Vorfall betraf digitale Vermögenswerte im Wert von etwa 6,34 Milliarden US-Dollar. Bis zu diesem Update wurden digitale Vermögenswerte im Wert von etwa 2,85 Milliarden US-Dollar eingefroren oder abgefangen. Der genaue Betrag muss noch weiter überprüft werden und kann von Marktschwankungen beeinflusst werden.
Wir haben umgehend Maßnahmen ergriffen, um die Auswirkungen des Vorfalls einzudämmen und die Sicherheit der betroffenen Systeme zu verbessern. Alle bei diesem Angriff ausgenutzten Schwachstellen wurden geschlossen, und die entlang des Angriffswegs betroffenen Systeme wurden neu aufgebaut oder ersetzt. Darüber hinaus haben wir die Gerätekontrollen und das Risikokontrollsystem für Wallet-Dienste verstärkt und unsere KI-gestützte Erkennung von Verhaltensanomalien ausgebaut.
Dies ist unser vorläufiger Untersuchungsbericht. Er umfasst den aktuellen Kenntnisstand sowie die bereits umgesetzten Verbesserungsmaßnahmen. Die Untersuchung läuft noch, und die Ergebnisse werden einer weiteren unabhängigen Prüfung unterzogen. Einige technische Details bleiben vertraulich, um zu verhindern, dass böswillige Angreifer die Informationen für weitere Angriffe nutzen. Wir laden unabhängige Sicherheitsunternehmen zu einer weiterführenden Prüfung ein.
Laut den neuesten Informationen des Federal Bureau of Investigation (FBI) ist die Demokratische Volksrepublik Korea (DVRK) für diesen Vorfall verantwortlich.
Wir veröffentlichen diesen Bericht, weil sich die Sicherheit nur dann kontinuierlich verbessern lässt, wenn die gesamte Branche gemeinsam daraus lernt und Erfahrungen austauscht.
Rückblick auf den Vorfall vom 30. Oktober
Der Angriff breitete sich rasch über mehrere Blockchain-Netzwerke aus.
Die Angreifer nutzten unbefugten Zugriff auf den internen Signaturdienst für Wallets, um Transaktionen außerhalb des regulären Auszahlungsprozesses auszulösen.
Zwischen 04:05 und 04:09 Uhr (UTC+8) überwiesen fünf Binance-Hot-Wallets insgesamt 233,46 Millionen XRP an von den Angreifern kontrollierte Adressen.
Die Hot-Wallets von Binance im Solana- und Optimism-Netzwerk überwiesen etwa 970.500 SOL beziehungsweise 44,2 Millionen OP an von den Angreifern kontrollierte Adressen.
Anschließend erhielt Binance interne Warnmeldungen zu großen Überweisungen und leitete umgehend eine Untersuchung ein.
Die Hot-Wallets von Binance überwiesen 18.270 BTC an von den Angreifern kontrollierte Adressen.
Anschließend missbrauchten die Angreifer über den Signaturdienst den Autorisierungsmechanismus EIP-7702 von Ethereum. EIP-7702 ermöglicht es einem Konto, einen Teil seiner Ausführungsrechte an einen Smart Contract zu delegieren, ohne den privaten Schlüssel offenzulegen. Bei diesem Vorfall nutzten die Angreifer den Mechanismus, um einem von ihnen kontrollierten Smart Contract teilweise Ausführungsrechte für betroffene Binance-Hot-Wallets zu erteilen.
Binance leitete daraufhin mehrere Notfallmaßnahmen ein. Dazu gehörten die Aussetzung von Auszahlungen, um weitere Abflüsse zu verhindern, die Koordination mit Partnern zum Einfrieren betroffener Token sowie Maßnahmen zum Widerruf nicht autorisierter Berechtigungen. Insgesamt wurden dadurch Vermögenswerte im Wert von etwa 2,85 Milliarden US-Dollar eingefroren.
Die Aussetzung von Auszahlungen allein reichte jedoch nicht aus, um alle nicht autorisierten Vermögensübertragungen zu verhindern. Die schädlichen EIP-7702-Autorisierungen waren bereits on-chain vorhanden und funktionierten unabhängig von der regulären Auszahlungsinfrastruktur von Binance. Die Angreifer reichten 50 signierte Transaktionen ein, um den Account-Nonce zu manipulieren und schädliche delegierte Autorisierungen einzurichten. Sobald diese Autorisierungen eingerichtet waren, konnten die Angreifer die reguläre Auszahlungsinfrastruktur von Binance umgehen und weiterhin Vermögenswerte übertragen. Binance musste zusätzliche On-Chain-Transaktionen ausführen, um diese Autorisierungen zu widerrufen.
Die Eindämmung des Vorfalls war mit weiteren technischen Herausforderungen verbunden. Da die betroffenen Hot-Wallets die Multi-Party-Computing-Technologie (MPC) verwendeten, gab es keinen einzelnen privaten Schlüssel, mit dem sich die schädlichen EIP-7702-Autorisierungen unmittelbar widerrufen ließen. Das Team benötigte daher zusätzliche Zeit, um ein spezielles Widerrufsverfahren zu entwickeln und separat auszuführen. Außerdem werden bestehende On-Chain-Autorisierungen nicht automatisch ungültig, wenn Auszahlungen ausgesetzt oder Hot-Wallet-Dienste deaktiviert werden.
Diese Herausforderungen verlängerten die Zeit, die wir benötigten, um die nicht autorisierten Vermögensübertragungen vollständig einzudämmen. Wir überprüfen unsere Abläufe zur Reaktion auf Sicherheitsvorfälle, den Umfang unserer Signaturstrategien und die Kontrollmechanismen für Hot-Wallets. Dabei ermitteln wir, wo Verbesserungen möglich sind, damit wir künftig schneller auf Sicherheitsbedrohungen reagieren können.
Die letzte nicht autorisierte Überweisung von 2.961,9 ETH wurde um 07:56 Uhr (UTC+8) endgültig on-chain bestätigt. Die Transaktion war zuvor an das Netzwerk übertragen worden und hatte zunächst den Status „ausstehend“, bevor sie endgültig bestätigt wurde. Danach wurden keine weiteren nicht autorisierten Überweisungen festgestellt.
Am 30. Oktober 2026 um 08:10 Uhr (UTC+8) führte Binance über die Hot-Wallet Binance14 eine neue Autorisierungstransaktion an eine Burn-Adresse aus und entfernte damit den EIP-7702-Delegierungscode.
Vorbereitung des Angriffs
Die bisherigen Untersuchungsergebnisse deuten darauf hin, dass es sich bei diesem Vorfall um eine komplexe, mehrstufige Angriffsoperation handelte und nicht um einen isolierten Einbruch oder einen einfachen Phishing-Angriff. Die Angreifer kombinierten verschiedene Techniken, darunter Social Engineering durch fingierte Bewerbungsgespräche, den Download von Schadsoftware, den Einbruch in interne KI-Tools, die Kompromittierung von Endgeräten und fortschrittliche Transaktionsautorisierungsverfahren.
Juni 2026 – Lieferkettenangriff. Um ein beliebtes KI-Programmiertool zu installieren, suchte und lud Ingenieur A aus dem Wallet-Entwicklungs- und Betriebsteam über eine Suchmaschine ein verändertes Homebrew-Installationsprogramm herunter. Unser Sicherheitsteam erkannte die Anomalie proaktiv, ersetzte das Gerät und wechselte alle zugehörigen Zugangsdaten. Dennoch wurden die Position von Ingenieur A sowie Informationen über relevante Kolleginnen und Kollegen aus dem Wallet-Infrastrukturteam gegenüber den Angreifern offengelegt.
Seit Anfang 2026 hat das Sicherheitsteam von Binance 57 mutmaßlich mit Nordkorea in Verbindung stehende Cyberbedrohungen erkannt und verhindert. Diese Angriffe verdeutlichen die anhaltende Bedrohung, die staatlich unterstützte Angreifer für die Kryptowährungsbranche darstellen. Zu den Angriffsmethoden gehörten fingierte Bewerbungsgespräche, als beliebte Entwicklertools getarnte Schadsoftware, manipulierte Softwarepakete und Browsererweiterungen, gefälschte Videokonferenz-Apps sowie Social-Engineering-Angriffe, die darauf abzielten, Zugangsdaten zu stehlen oder Fernzugriffs-Schadsoftware einzusetzen.
September – Social-Engineering-Angriff. Softwareingenieur B wurde über eine seriöse Jobplattform von jemandem kontaktiert, der sich als Projektleiter ausgab. In seinem Profil auf der Plattform erwähnte Ingenieur B seine Tätigkeit bei Binance. Die Kontaktperson vereinbarte als Projektleiter ein erstes Vorstellungsgespräch, an dem eine Personalverantwortliche teilnahm. Anschließend wurde ein zweites Gespräch angesetzt, bei dem sich die interviewende Person als CEO des fiktiven Unternehmens ausgab.
Im ersten Gespräch führte die Person, die sich als Personalverantwortliche ausgab, ein Live-Videointerview mit Ingenieur B. Um Vertrauen aufzubauen, teilte die interviewende Person auch ihre Social-Media-Konten mit Ingenieur B, auf denen persönliche Fotos und Videos zu sehen waren. Diese Vorgehensweise war komplexer und täuschender als frühere Social-Engineering-Methoden.
Das zweite Vorstellungsgespräch fand über eine beliebte Social-Media-Chat-App statt. Gegen Ende des Gesprächs wurde Ingenieur B aufgefordert, eine „Aufgabe“ mit einem Code-Repository auf den Arbeitscomputer herunterzuladen. Das Repository enthielt Schadcode, der während der Installation ausgeführt wurde und eine Reihe nicht autorisierter Aktionen auslöste.
Die Schadsoftware nutzte ausgefeilte Code-Verschleierungs- und Umgehungstechniken. Dazu gehörte, eine Komponente eines legitimen Entwicklungstools durch eine schädliche Version zu ersetzen, um Befehle auszuführen und eine Verbindung zu einem externen, von den Angreifern kontrollierten Server herzustellen. Die Endgerätesicherheitssoftware konnte diese Zero-Day-Schadsoftware damals nicht erkennen. Die Angreifer ergriffen außerdem Maßnahmen, um schädliche Aktivitäten zu verbergen und Spuren des Eindringens zu beseitigen, was die Erkennung und die anschließende Untersuchung zusätzlich erschwerte.
Das Skript umging mithilfe von Code-Verschleierung die Sicherheitserkennung und führte folgende Aktionen aus:
CREATE /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_
MODIFY pyenv_ → 3,414 B
DELETE .../libexec/pyenv (3,344 B) ← das gültige pyenv entfernen
RENAME pyenv_ → pyenv (3,414 B) ← durch eine schädliche Version ersetzen
DELETE /opt/homebrew/bin/pyenv (3,414 B)
ln (neuen symbolischen Link erstellen) + zsh starten
20. Oktober – Nutzung interner KI-Tools als Sprungbrett für den Angriff. Über den kompromittierten Computer von Ingenieur B verschafften sich die Angreifer mithilfe interner KI-Tools Zugriff auf die Geräte von Ingenieur A aus dem Wallet-Entwicklungs- und Betriebsteam sowie von Ingenieur C, einem weiteren Wallet-Softwareingenieur. Die Angreifer entdeckten schnell, dass auf dem Computer von Ingenieur A ein Token mit Berechtigungen zur Containerbereitstellung gespeichert war.
30. Oktober – Eindringen in den Signaturprozess der Wallets. Zwischen 01:15 und 03:56 Uhr (UTC+8) meldeten sich die Angreifer am Computer von Softwareingenieur C an, stellten mithilfe der von Ingenieur A gestohlenen Zugangsdaten einen Container bereit und führten ein schädliches Skript aus, das den Angriff auslöste.
Ergriffene Maßnahmen
Bis zum 3. November 2026 haben wir folgende Maßnahmen ergriffen:
Die betroffenen Wallet-Systeme wurden in einer neuen Umgebung neu aufgebaut.
Die betroffenen internen KI-Tools wurden neu aufgebaut und die entsprechenden Zugriffskontrollen verstärkt.
Die betroffenen Geräte wurden ersetzt.
Die Zugangsdaten und Tokens der betroffenen Ingenieure wurden deaktiviert.
Sicherheitsscans aller Mitarbeitergeräte wurden abgeschlossen und verstärkt.
Die KI-gestützte Erkennung von Verhaltensanomalien wurde verbessert.
Die Risikokontrollen für Wallet-Dienste wurden verstärkt.
Wir arbeiten mit Strafverfolgungsbehörden, Blockchain-Intelligence-Unternehmen und Branchenpartnern zusammen, um betroffene Vermögenswerte nachzuverfolgen und einzufrieren.
Während die Untersuchung weiterläuft, werden wir unsere Sicherheitsmaßnahmen weiter verstärken. Einige der bereits abgeschlossenen und derzeit laufenden Sicherheitsmaßnahmen bleiben vertraulich, damit böswillige Angreifer diese Informationen nicht nutzen können, um unsere Sicherheitsvorkehrungen zu umgehen.
Nächste Schritte
Wir werden unverzüglich die folgenden Arbeiten vorantreiben:
1. Eine unabhängige Cybersicherheitsprüfung durchführen
Wir laden unabhängige externe Cybersicherheitsexperten ein, den Vorfall umfassend zu prüfen, unsere Untersuchungsergebnisse zu verifizieren und weitere Empfehlungen zur Verbesserung der Sicherheit auszusprechen. Umfang und Ergebnisse dieser Prüfung werden als Grundlage für unsere fortlaufenden Abhilfemaßnahmen dienen.
2. Investitionen in KI-Sicherheit und Prävention ausbauen
Wir werden unsere Investitionen in KI-gestützte Bedrohungserkennung, Endgeräteschutz, die Sicherheit von Entwicklungsumgebungen und die Überwachung von Verhaltensanomalien erhöhen.
3. Einen Fonds für Sicherheitsforschung einrichten und die Zusammenarbeit in der Branche fördern
Wir arbeiten mit führenden KI-Unternehmen, Branchenakteuren und Sicherheitsorganisationen zusammen, um einen Fonds für Sicherheitsforschung einzurichten und gezielte Initiativen zur KI-Sicherheit in Blockchain-Umgebungen auf den Weg zu bringen.
Wir werden weiterhin proaktiv die neuesten Erkenntnisse weitergeben.