Am 29. Oktober 2026 erlitt Binance einen schwerwiegenden und hochkomplexen Sicherheitsvorfall. Das hätte nicht passieren dürfen. Wir entschuldigen uns für die Unannehmlichkeiten, die Unterbrechungen und die Unsicherheit, die dadurch für unsere Nutzer, Partner und die Branche insgesamt entstanden sind.

Unsere oberste Verantwortung ist der Schutz unserer Nutzer. Binance trägt die finanziellen Folgen der gestohlenen Gelder – nicht unsere Nutzer. Wir haben bereits mehr als 100 % der benötigten Mittel zur Deckung des Verlusts zurückgelegt. Bis heute, dem 3. November 2026, wurden 98 % der betroffenen Token-Assets wiederbeschafft und können auf unserer Seite zum Proof of Reserves überprüft werden. Die verbleibenden, weniger liquiden Assets sind derzeit Gegenstand des Beschaffungsprozesses.

Von dem Vorfall waren virtuelle Vermögenswerte im Wert von etwa 6,34 Milliarden US-Dollar betroffen. Bis zu diesem Update wurden virtuelle Vermögenswerte im Wert von etwa 2,85 Milliarden US-Dollar eingefroren oder abgefangen; die Beträge unterliegen dem Abgleich und der Volatilität der Marktpreise.

Wir haben umgehend Maßnahmen ergriffen, um den Vorfall einzudämmen und die betroffenen Systeme zu stärken. Die als Angriffspunkte identifizierten Zugänge wurden geschlossen. Die Systeme, die über den Angriffsweg erreicht wurden, wurden neu aufgebaut oder ersetzt. Außerdem haben wir strengere Gerätekontrollen eingeführt, die Risikokontrollen für Wallet-Dienste verbessert und die KI-gestützte Erkennung von Verhaltensanomalien ausgeweitet.

Dies ist unser erster Bericht. Er umfasst unseren derzeitigen Kenntnisstand und die bereits vorgenommenen Verbesserungen. Die Ermittlungen dauern an, und unsere Feststellungen werden einer zusätzlichen unabhängigen Prüfung unterzogen. Einige technische Einzelheiten bleiben vertraulich, damit böswillige Akteure sie nicht zur Planung von Angriffen nutzen können. Wir beauftragen unabhängige Sicherheitsunternehmen mit einer zusätzlichen Prüfung.

Die jüngsten vom Federal Bureau of Investigation (FBI) veröffentlichten Informationen weisen darauf hin, dass die Demokratische Volksrepublik Korea für diesen Vorfall verantwortlich ist.

Wir veröffentlichen diesen vorläufigen Bericht, weil die Sicherheit davon profitiert, wenn die Branche gemeinsam aus Vorfällen lernt.

Was am 29. Oktober geschah

Der Angriff entwickelte sich schnell über mehrere Netzwerke hinweg.

Der Angreifer nutzte den nicht autorisierten Zugriff auf einen internen Wallet-Signaturdienst, um Transaktionen außerhalb des regulären Auszahlungsprozesses einzuleiten.

Zwischen 17:05 und 17:09 Uhr (Brasília-Zeit) sendeten fünf Binance-Hot-Wallets 233,46 Millionen XRP an eine vom Angreifer kontrollierte Adresse.

Binance-Hot-Wallets auf Solana und Optimism sendeten etwa 970.500 SOL und 44,2 Millionen OP an vom Angreifer kontrollierte Adressen.

Binance erhielt daraufhin eine interne Warnung zu Überweisungen mit hohem Volumen und leitete umgehend Ermittlungen ein.

Ein Binance-Hot-Wallet sendete 18.270 BTC an eine vom Angreifer kontrollierte Adresse.

Der Angreifer nutzte anschließend den Signaturdienst, um den Ethereum-Autorisierungsmechanismus EIP-7702 auszunutzen. EIP-7702 ermöglicht es einem Konto, bestimmte Ausführungsrechte an einen Smart Contract zu delegieren, ohne den privaten Schlüssel offenzulegen. In diesem Fall nutzte der Angreifer den Mechanismus, um einem Smart Contract unter seiner Kontrolle teilweise Ausführungsrechte für ein Binance-Hot-Wallet zu erteilen.

Binance leitete umgehend mehrere Eindämmungsmaßnahmen ein, darunter die Aussetzung von Auszahlungen, um weitere Abflüsse einzuschränken, die Abstimmung mit Partnern zum Einfrieren der betroffenen Token und Maßnahmen zum Widerruf nicht autorisierter Berechtigungen. Durch diese Maßnahmen wurden Vermögenswerte im Gesamtwert von 2,85 Milliarden US-Dollar eingefroren.

Die Aussetzung von Auszahlungen allein konnte jedoch nicht alle nicht autorisierten Vermögensbewegungen stoppen. Die schädlichen EIP-7702-Autorisierungen bestanden on-chain und funktionierten unabhängig von der regulären Auszahlungsinfrastruktur von Binance. Die Angreifer übermittelten 50 Signaturtransaktionen, um den NONCE des Kontos zu manipulieren und schädliche Delegierungsautorisierungen einzurichten. Nach ihrer Einrichtung ermöglichten diese Autorisierungen den Angreifern, Vermögenswerte unabhängig von der regulären Auszahlungsinfrastruktur von Binance weiterzubewegen. Binance musste zusätzliche Transaktionen ausführen, um diese Autorisierungen on-chain zu widerrufen.

Der Eindämmungsprozess war mit zusätzlichen technischen Komplexitäten verbunden. Da das Hot-Wallet die Mehrparteienberechnung (MPC) verwendete, gab es keinen einzelnen privaten Schlüssel, mit dem sich die schädlichen EIP-7702-Autorisierungen sofort widerrufen ließen. Daher entwickelte und ausführte das Team ein spezielles Verfahren zum Widerruf dieser Autorisierungen, was zusätzliche Zeit erforderte. Darüber hinaus machten die Aussetzung von Auszahlungen und die Abschaltung der Hot-Wallet-Dienste bestehende Autorisierungen on-chain nicht automatisch ungültig.

Diese Herausforderungen verlängerten die Zeit, die zur vollständigen Eindämmung der nicht autorisierten Vermögensbewegungen erforderlich war. Wir überprüfen den Prozess zur Reaktion auf Vorfälle, den Umfang der Signaturrichtlinien und die Kontrollen für Hot-Wallets und ermitteln Möglichkeiten, unsere Fähigkeit zur schnellen Reaktion auf ähnliche Bedrohungen künftig weiter zu stärken.

Die letzte nicht autorisierte Überweisung über 2.961,9 ETH wurde um 20:56 Uhr (Brasília-Zeit) on-chain finalisiert. Die Transaktion war zuvor übermittelt worden und zunächst ausstehend, bevor sie später finalisiert wurde. Danach wurden keine weiteren nicht autorisierten Überweisungen beobachtet.

Am 29. Oktober 2026 um 21:10 Uhr (Brasília-Zeit) führte Binance eine neue Autorisierung des Binance-Hot-Wallets 14 an die Nulladresse aus und entfernte damit den EIP-7702-Delegierungscode.

Vorbereitung des Angriffs

Unsere bisherigen Ermittlungen deuten darauf hin, dass es sich um eine ausgeklügelte, mehrstufige Angriffskampagne handelte. Es war weder ein einzelner, isolierter Sicherheitsverstoß noch ein einfacher Phishing-Vorfall. Die Angreifer kombinierten verschiedene Techniken, darunter Social Engineering durch gefälschte Bewerbungsgespräche, Downloads schädlicher Software, die Kompromittierung interner KI-Tools, die Kompromittierung von Endgeräten und eine fortgeschrittene Methode zur Transaktionsautorisierung.

● Juni 2026 — Angriff auf die Lieferkette. Ingenieur A aus dem DevOps-Team für Wallets lud eine manipulierte Version von Homebrew herunter, um ein beliebtes KI-Programmierwerkzeug zu installieren, nachdem er in einer Suchmaschine danach gesucht hatte. Unser Sicherheitsteam erkannte die Anomalie, ersetzte das Gerät und änderte vorsorglich alle zugehörigen Zugangsdaten. Die Rolle von Ingenieur A und die Identität seiner betreffenden Kollegen in unserem Infrastrukturteam für Wallets waren dem Hacker jedoch bekannt.

● Im Laufe des Jahres 2026 erkannte und verhinderte das Sicherheitsteam von Binance 57 Fälle von Cyberbedrohungen, bei denen ein mutmaßlicher Zusammenhang mit Nordkorea bestand. Diese Versuche spiegeln die anhaltende Bedrohung durch staatlich unterstützte Akteure wider, die es auf den Kryptosektor abgesehen haben. Zu den Techniken zählen betrügerische Bewerbungsgespräche, als beliebte Entwicklerwerkzeuge wie Claude und Codex getarnte Schadsoftware, kompromittierte Softwarepakete und Browsererweiterungen, gefälschte Videokonferenz-Apps sowie Social-Engineering-Kampagnen, die darauf abzielen, Zugangsdaten zu stehlen oder Fernzugriffs-Malware einzuschleusen.

● September — Social Engineering. Softwareentwickler B wurde über eine legitime Jobsuchplattform von einer Person kontaktiert, die sich als Projektdirektor ausgab. Softwareentwickler B hatte auf der Plattform ein Profil, in dem seine Erfahrung bei Binance erwähnt wurde. Der angebliche Projektdirektor organisierte eine erste Gesprächsrunde mit einem Personalvertreter, gefolgt von einer zweiten Runde mit einer Person, die behauptete, CEO eines fiktiven Unternehmens zu sein.

○ In der ersten Gesprächsrunde führte der angebliche Personalvertreter ein Live-Video-Gespräch mit Softwareentwickler B. Um Vertrauen aufzubauen, teilte der Interviewer mit ihm ein Social-Media-Konto mit persönlichen Fotos und Videos, die auf der Plattform veröffentlicht worden waren. Dies war ausgefeilter und irreführender als die zuvor beobachteten Social-Engineering-Methoden.

○ Das zweite Gespräch fand in einer beliebten Social-Messaging-App statt. Gegen Ende des Gesprächs wurde Softwareentwickler B angewiesen, eine „Aufgabe“ mit einem Repository mit schädlichem Code auf seinen Arbeitscomputer herunterzuladen. Das Repository enthielt Schadcode, der während der Einrichtung ausgeführt wurde und eine Reihe nicht autorisierter Aktivitäten in Gang setzte.

○ Die Malware nutzte ausgefeilte Verschleierungs- und Umgehungstechniken. Dazu gehörte, eine legitime Komponente eines Entwicklungstools durch eine schädliche Version zu ersetzen, um Befehle auszuführen und eine Verbindung zu einem externen, vom Angreifer kontrollierten Server herzustellen. Die Zero-Day-Malware wurde zu diesem Zeitpunkt von den Endgeräteschutz-Tools nicht erkannt. Der Angreifer unternahm außerdem Schritte, um die schädlichen Aktivitäten zu verbergen und Spuren der Kompromittierung zu beseitigen, wodurch die Erkennung und die anschließenden Ermittlungen erschwert wurden.

○ Das Skript führte die folgenden Schritte aus und nutzte dabei Verschleierungstechniken, um der Erkennung durch Sicherheitslösungen zu entgehen.

CREATE /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_

MODIFY pyenv_ → 3,414 B

DELETE .../libexec/pyenv (3,344 B) ← entfernt das gültige pyenv

RENAME pyenv_ → pyenv (3,414 B) ← ersetzt es durch eine schädliche Version

DELETE /opt/homebrew/bin/pyenv (3,414 B)ln (erstellt einen neuen symbolischen Link) + spawn zsh

● 20. Oktober — Nutzung eines internen KI-Tools als Sprungbrett. Der Angreifer nutzte den kompromittierten Computer von Ingenieur B und ein internes KI-Tool, um die Kontrolle über Ingenieur A aus dem DevOps-Team für Wallets sowie einen weiteren Softwareentwickler für Wallets, C, zu erlangen. Der Angreifer entdeckte bald, dass sich auf dem Computer von Ingenieur A aus dem DevOps-Team für Wallets ein Token mit Berechtigungen zur Bereitstellung von Containern befand.

● 29. Oktober — Zugriff auf die Signiervorgänge für Wallets. Am 29. Oktober zwischen 17:15 und 19:56 Uhr griff der Angreifer auf den Computer von Softwareentwickler C zu, verwendete die gestohlenen Zugangsdaten von Ingenieur A aus dem DevOps-Team für Wallets, stellte einen Container bereit und löste ein schädliches Skript aus, um den Angriff zu starten.

Was wir unternommen haben

Bis zum 2. November 2026 haben wir folgende Maßnahmen ergriffen:

● Wir haben das betroffene Wallet-System in einer neuen Umgebung neu aufgebaut.● Wir haben das betroffene interne KI-Tool und die Zugriffskontrollen neu aufgebaut.● Wir haben die betroffenen Geräte ersetzt.● Wir haben die Zugangsdaten und Tokens der betroffenen Ingenieure deaktiviert.● Wir haben erweiterte Sicherheitsscans auf allen Geräten der Mitarbeitenden abgeschlossen.● Wir haben die KI-gestützte Erkennung von Verhaltensanomalien verbessert.● Wir haben die Risikokontrollen für Wallet-Dienste verstärkt.● Wir arbeiten mit Strafverfolgungsbehörden, Blockchain-Analyseunternehmen und Branchenpartnern zusammen, um die betroffenen Vermögenswerte nachzuverfolgen und einzufrieren.

Wir werden unsere Maßnahmen im Zuge der weiteren Ermittlungen kontinuierlich verstärken. Wir haben verschiedene Sicherheitsmaßnahmen umgesetzt und setzen weitere um, die vertraulich bleiben, damit böswillige Akteure unsere Sicherheitsvorkehrungen nicht kompromittieren können.

Weitere Maßnahmen

Wir ergreifen umgehend die folgenden Maßnahmen.

1. Unabhängige CybersicherheitsprüfungWir beauftragen unabhängige Cybersicherheitsexperten und -unternehmen mit einer umfassenden Prüfung des Vorfalls, der Validierung unserer Feststellungen und Empfehlungen für zusätzliche Maßnahmen. Umfang und Ergebnisse dieser Prüfung werden unsere laufenden Abhilfemaßnahmen leiten.

2. Erhöhte Investitionen in KI-Sicherheit und PräventionWir erhöhen unsere Investitionen in KI-gestützte Erkennung, Endgeräteschutz, Sicherheit der Entwicklungsumgebung und die Überwachung von Verhaltensanomalien.

3. Fonds für Sicherheitsforschung und BrancheninitiativenWir arbeiten daran, gemeinsam mit führenden KI-Unternehmen, Branchenakteuren und Sicherheitsunternehmen einen Fonds für Sicherheitsforschung sowie gezielte Initiativen einzurichten, die sich auf KI-Sicherheit in Blockchain-Umgebungen konzentrieren.

Wir werden weiterhin proaktiv Informationen weitergeben, sobald sie uns vorliegen.