Am 29. Oktober 2026 erlitt Binance einen schwerwiegenden und hochentwickelten Sicherheitsvorfall. Das hätte nicht passieren dürfen. Wir entschuldigen uns für die Sorgen, die Unterbrechungen und die Unsicherheit, die dadurch bei unseren Nutzern, Partnern und der gesamten Branche entstanden sind.

Unsere wichtigste Verantwortung ist der Schutz unserer Nutzer. Binance wird die finanziellen Auswirkungen der gestohlenen Gelder tragen, nicht unsere Nutzer. Wir haben bereits mehr als 100 % der zur Deckung der Verluste benötigten Mittel zurückgestellt. Bis zum 31. Oktober 2026 waren 98 % der betroffenen Token-Assets zurückgeführt worden. Diese lassen sich auf unserer Seite Proof of Reserves (Nachweis der Reserven) überprüfen. Derzeit beschaffen wir die verbleibenden Assets, deren Liquidität geringer ist.

Der Vorfall betraf digitale Vermögenswerte im Wert von etwa 6,34 Milliarden USD. Zum Zeitpunkt dieser Aktualisierung wurden digitale Vermögenswerte im Wert von etwa 2,85 Milliarden USD eingefroren oder abgefangen. Diese Beträge unterliegen dem Abgleich und den Schwankungen der Marktpreise.

Wir haben umgehend Maßnahmen ergriffen, um den Vorfall einzudämmen und die betroffenen Systeme zu stärken. Die als für den Angriff genutzt identifizierten Zugangspunkte wurden geschlossen. Die Systeme entlang des Angriffswegs wurden neu aufgebaut oder ersetzt. Außerdem haben wir strengere Gerätekontrollen eingeführt, die Risikokontrollen für Wallet-Dienste verstärkt und die KI-gestützte Erkennung von Verhaltensanomalien ausgeweitet.

Dies ist unser erster Bericht. Darin legen wir dar, was wir bisher wissen und welche Verbesserungen wir bereits umgesetzt haben. Die Untersuchung läuft noch, und unsere Erkenntnisse werden einer zusätzlichen unabhängigen Prüfung unterzogen. Einige technische Details bleiben vertraulich, um zu verhindern, dass böswillige Akteure sie zur Planung von Angriffen nutzen. Wir arbeiten mit unabhängigen Sicherheitsunternehmen zusammen, um eine zusätzliche Prüfung durchzuführen.

Die neuesten Informationen des US-amerikanischen Federal Bureau of Investigation (FBI) weisen darauf hin, dass die Demokratische Volksrepublik Korea für diesen Vorfall verantwortlich ist.

Wir veröffentlichen diesen ersten Bericht, weil die Sicherheit verbessert wird, wenn die Branche gemeinsam lernt und Wissen austauscht.

Was am 29. Oktober geschah

Der Angriff entwickelte sich rasch über mehrere Netzwerke hinweg.

Der Angreifer nutzte den unbefugten Zugriff auf einen internen Wallet-Transaktionssignaturdienst, um Transaktionen außerhalb des üblichen Auszahlungsprozesses einzuleiten.

Zwischen 20:05 und 20:09 UTC sendeten fünf Binance-Hot-Wallets 233,46 Millionen XRP an eine vom Angreifer kontrollierte Adresse.

Die Binance-Hot-Wallets auf Solana und Optimism sendeten etwa 970.500 SOL und 44,2 Millionen OP an vom Angreifer kontrollierte Adressen.

Anschließend erhielt Binance eine interne Warnung zu Überweisungen großer Beträge und leitete umgehend eine Untersuchung ein.

Eine Binance-Hot-Wallet sendete 18.270 BTC an eine vom Angreifer kontrollierte Adresse.

Anschließend nutzte der Angreifer den Signaturdienst, um den Ethereum-Autorisierungsmechanismus EIP-7702 auszunutzen. EIP-7702 ermöglicht es einem Konto, bestimmte Ausführungsrechte an einen Smart Contract zu delegieren, ohne seinen privaten Schlüssel offenzulegen. In diesem Fall nutzte der Angreifer den Mechanismus, um einem von ihm kontrollierten Smart Contract teilweise Ausführungsrechte über eine Binance-Hot-Wallet zu erteilen.

Binance leitete umgehend verschiedene Eindämmungsmaßnahmen ein. Dazu gehörten die Aussetzung von Auszahlungen, um weitere Abflüsse zu begrenzen, die Koordination mit Partnern zum Einfrieren der betroffenen Token sowie Maßnahmen zum Widerruf der nicht autorisierten Berechtigungen. Dadurch konnten Vermögenswerte im Wert von insgesamt 2,85 Milliarden USD eingefroren werden.

Die Aussetzung von Auszahlungen allein konnte jedoch nicht alle nicht autorisierten Vermögensbewegungen stoppen. Die schädlichen EIP-7702-Autorisierungen waren bereits on-chain vorhanden und funktionierten unabhängig von der üblichen Auszahlungsinfrastruktur von Binance.

Die Angreifer übermittelten 50 Signaturtransaktionen, um den Nonce des Kontos zu manipulieren und schädliche Delegierungsautorisierungen einzurichten. Nach ihrer Einrichtung ermöglichten diese Autorisierungen den Angreifern, weiterhin Vermögenswerte unabhängig von der üblichen Auszahlungsinfrastruktur von Binance zu übertragen. Binance musste daher zusätzliche Transaktionen ausführen, um diese Autorisierungen on-chain zu widerrufen.

Der Eindämmungsprozess war mit zusätzlichen technischen Herausforderungen verbunden. Da die Hot Wallet Multiparty Computation (MPC) nutzte, gab es keinen einzelnen privaten Schlüssel, mit dem sich die schädlichen EIP-7702-Autorisierungen sofort widerrufen ließen. Daher entwickelte und implementierte das Team ein spezielles Verfahren zum Widerruf dieser Autorisierungen, was zusätzliche Zeit erforderte. Auch die Aussetzung von Auszahlungen und die Abschaltung der Hot-Wallet-Dienste machten bestehende Autorisierungen on-chain nicht automatisch ungültig.

Diese Herausforderungen verlängerten die Zeit, die erforderlich war, um die nicht autorisierten Vermögensbewegungen vollständig einzudämmen. Wir überprüfen den Prozess zur Reaktion auf Vorfälle, den Umfang der Signaturrichtlinien und die Kontrollen für Hot Wallets. Außerdem suchen wir nach Möglichkeiten, unsere Fähigkeit zur schnellen Reaktion auf künftige Bedrohungen zu verbessern.

Die letzte nicht autorisierte Überweisung über insgesamt 2.961,9 ETH wurde um 23:56 UTC auf der Blockchain bestätigt. Die Transaktion war zuvor übertragen worden und blieb zunächst ausstehend, bevor sie bestätigt wurde. Nach dieser Transaktion wurden keine weiteren nicht autorisierten Überweisungen beobachtet.

Am 30. Oktober 2026 um 00:10 UTC führte Binance eine neue Autorisierung von der Hot Wallet Binance14 an die Nulladresse aus und entfernte damit den Delegierungscode EIP-7702.

Vorbereitung des Angriffs

Unsere bisherigen Untersuchungen deuten darauf hin, dass es sich um eine ausgeklügelte, mehrstufige Kampagne handelte. Es war weder ein isolierter Einbruch noch ein einfacher Phishing-Vorfall. Die Angreifer kombinierten verschiedene Techniken, darunter Social Engineering über gefälschte Bewerbungsgespräche, das Herunterladen von Schadsoftware, kompromittierte interne KI-Tools, die Kompromittierung von Geräten und eine fortgeschrittene Methode zur Autorisierung von Transaktionen.

Juni 2026: Software-Lieferkettenangriff

Ingenieur A aus dem Wallet-DevOps-Team lud eine modifizierte Homebrew-Installation herunter, um ein beliebtes KI-basiertes Programmierwerkzeug zu installieren, nachdem er über eine Suchmaschine danach gesucht hatte.

Unser Sicherheitsteam erkannte die Anomalie, ersetzte das Gerät und erneuerte vorsorglich alle zugehörigen Zugangsdaten. Der Arbeitsplatz von Ingenieur A und die Arbeitsplätze seiner Kollegen aus dem Wallet-Infrastrukturteam waren dem Angreifer jedoch bereits bekannt.

Im Jahr 2026 erkannte und vereitelte das Sicherheitsteam von Binance 57 potenzielle Cyberbedrohungen mit Verbindungen zu Nordkorea. Diese Versuche spiegeln die anhaltende Bedrohung wider, die staatlich unterstützte Akteure für die Kryptoindustrie darstellen.

Zu den eingesetzten Techniken gehörten betrügerische Bewerbungsgespräche, als beliebte Entwicklertools getarnte Schadsoftware, kompromittierte Softwarepakete und Browsererweiterungen, gefälschte Videokonferenz-Apps sowie Social-Engineering-Kampagnen, die darauf abzielten, Zugangsdaten zu stehlen oder Schadprogramme für den Fernzugriff zu installieren.

September 2026: Social Engineering

Softwareingenieur B wurde über eine legitime Jobsuchplattform von einer Person kontaktiert, die sich als Projektmanager ausgab. Ingenieur B hatte auf dieser Plattform ein Profil, in dem er seine Erfahrung bei Binance erwähnte.

Der angebliche Projektmanager organisierte zunächst ein Gespräch mit einem Vertreter der Personalabteilung und anschließend ein zweites Gespräch mit einer Person, die behauptete, CEO eines fiktiven Unternehmens zu sein.

Beim ersten Gespräch führte der angebliche Vertreter der Personalabteilung einen Live-Videoanruf mit Softwareingenieur B. Um Vertrauen aufzubauen, teilte der Interviewer ein Social-Media-Konto mit ihm, auf dem persönliche Fotos und Videos veröffentlicht waren. Diese Methode war ausgefeilter und irreführender als zuvor beobachtete Social-Engineering-Techniken.

Das zweite Gespräch fand über eine beliebte Social-Messaging-App statt. Gegen Ende des Gesprächs wurde Ingenieur B angewiesen, eine „technische Aufgabe“ mit einem Repository mit Schadcode auf seinen Arbeitscomputer herunterzuladen. Das Repository enthielt Schadcode, der während der Einrichtung ausgeführt wurde und eine Reihe nicht autorisierter Aktivitäten in Gang setzte.

Die Malware nutzte ausgefeilte Verschleierungs- und Umgehungstechniken. Dazu gehörte, eine legitime Komponente eines Entwicklungstools durch eine schädliche Version zu ersetzen, um Befehle auszuführen und eine Verbindung zu einem externen, vom Angreifer kontrollierten Server herzustellen.

Die Zero-Day-Malware wurde zu diesem Zeitpunkt von den Schutztools auf den Geräten nicht erkannt. Der Angreifer unternahm außerdem Schritte, um die schädlichen Aktivitäten zu verschleiern und Spuren des Eindringens zu beseitigen. Dadurch wurden sowohl die Erkennung als auch die anschließenden Untersuchungen erschwert.

Das Skript führte mithilfe von Verschleierungstechniken die folgenden Schritte aus, um Sicherheitsmechanismen zu umgehen:

Text

ERSTELLEN  /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_

ÄNDERN  pyenv_ → 3.414 B

LÖSCHEN  .../libexec/pyenv  (3.344 B)
        ← die legitime pyenv-Datei löschen

UMBENENNEN  pyenv_ → pyenv  (3.414 B)
        ← durch eine schädliche Version ersetzen

LÖSCHEN  /opt/homebrew/bin/pyenv  (3.414 B)

ln  (einen neuen symbolischen Link erstellen)  +  zsh starten

20. Oktober 2026: Ein internes KI-Tool als Einstiegspunkt

Der Angreifer nutzte den kompromittierten Computer von Ingenieur B und ein internes KI-Tool, um die Kontrolle über Ingenieur A aus dem Wallet-DevOps-Team sowie einen weiteren Softwareingenieur des Wallet-Teams, Ingenieur C, zu erlangen.

Kurz darauf entdeckte der Angreifer, dass Ingenieur A auf seinem Computer ein Token mit Berechtigungen zum Bereitstellen von Containern hatte.

29. Oktober 2026: Zugriff auf die Wallet-Signaturvorgänge

Am 29. Oktober zwischen 17:15 und 19:56 UTC meldete sich der Angreifer am Computer von Softwareingenieur C an, verwendete die von Ingenieur A aus dem Wallet-DevOps-Team gestohlenen Zugangsdaten, stellte einen Container bereit und führte ein schädliches Skript aus, um den Angriff zu starten.

Von uns ergriffene Maßnahmen

Bis zum 3. November 2026 haben wir folgende Maßnahmen ergriffen:

• Wir haben das betroffene Wallet-System in einer neuen Umgebung neu aufgebaut.

• Wir haben das betroffene interne KI-Tool neu aufgebaut und seine Zugriffskontrollen verstärkt.

• Wir haben die betroffenen Geräte ersetzt.

• Wir haben die Zugangsdaten und Tokens der betroffenen Ingenieure deaktiviert.

• Wir haben die Geräte aller Mitarbeiter umfassenden Sicherheitsprüfungen unterzogen.

• Wir haben die KI-gestützte Erkennung von Verhaltensanomalien verbessert.

• Wir haben die Risikokontrollen für Wallet-Dienste verstärkt.

• Wir arbeiten mit Behörden, Blockchain-Analyseunternehmen und Branchenpartnern zusammen, um die betroffenen Vermögenswerte nachzuverfolgen und einzufrieren.

Wir werden unsere Maßnahmen im Verlauf der Untersuchung weiter verstärken. Wir haben verschiedene Sicherheitsmaßnahmen eingeführt und setzen weitere um. Diese bleiben vertraulich, um zu verhindern, dass böswillige Akteure unsere Systeme kompromittieren können.

Nächste Schritte

Wir ergreifen umgehend die folgenden Maßnahmen:

1. Unabhängige Cybersicherheitsprüfung

Wir beauftragen unabhängige Cybersicherheitsexperten mit einer umfassenden Prüfung des Vorfalls, der Validierung unserer Erkenntnisse und Empfehlungen für weitere Maßnahmen.

Umfang und Ergebnisse dieser Prüfung werden als Grundlage für unsere laufenden Korrektur- und Verbesserungsmaßnahmen dienen.

2. Verstärkte Investitionen in Sicherheit und KI-gestützte Prävention

Wir erhöhen unsere Investitionen in KI-gestützte Erkennung, Geräteschutz, die Sicherheit von Entwicklungsumgebungen und die Überwachung von Verhaltensanomalien.

3. Sicherheitsforschungsfonds und Brancheninitiativen

Wir arbeiten an der Einrichtung eines Sicherheitsforschungsfonds und an der Entwicklung gezielter Initiativen gemeinsam mit führenden KI-Unternehmen, Branchenakteuren und spezialisierten Sicherheitsunternehmen. Ein besonderer Schwerpunkt liegt dabei auf der KI-Sicherheit in Blockchain-Umgebungen.

Wir werden proaktiv weitere Informationen veröffentlichen, sobald sie verfügbar sind.