Der Angriff auf Binance, bei dem am 29. Oktober digitale Vermögenswerte im Wert von rund 6,34 Milliarden US-Dollar betroffen waren, begann mit einem gefälschten Vorstellungsgespräch. Das teilte die Kryptobörse in einem vorläufigen Untersuchungsbericht zu dem Vorfall mit.
Laut Binance bereiteten die Angreifer über mehrere Monate hinweg eine mehrstufige Kampagne vor. Sie setzten auf Social Engineering, schädliche Downloads und die Kompromittierung interner KI-Tools und Geräte von Mitarbeitern. Anschließend erlangten sie Zugriff auf die Infrastruktur zum Signieren von Transaktionen mit Hot Wallets.
Die Börse erklärte, dass laut Informationen des FBI Nordkorea hinter dem Angriff stehe. Binance hatte zuvor auch mitgeteilt, im Laufe des Jahres 2026 57 mutmaßliche Cyberangriffe im Zusammenhang mit nordkoreanischen Gruppen entdeckt und abgewehrt zu haben.
Wie Angreifer in die Infrastruktur von Binance eindrangen
Dem Bericht zufolge erhielt im September einer der Binance-Ingenieure auf einer seriösen Jobplattform eine Nachricht von einer Person, die sich als Projektdirektor ausgab. Dem Mitarbeiter wurden zwei Bewerbungsgespräche angeboten.
Zunächst nahm ein vermeintlicher HR-Vertreter des Unternehmens Kontakt zu ihm auf. Er führte einen Videoanruf und teilte einen Link zu seinem Social-Media-Konto mit persönlichen Fotos und Videos, um Vertrauen zu schaffen. In der zweiten Runde sprach der Ingenieur mit einer Person, die sich als Leiter eines nicht existierenden Unternehmens ausgab.
Am Ende des zweiten Bewerbungsgesprächs wurde dem Mitarbeiter vorgeschlagen, eine Testaufgabe – ein Repository mit Schadcode – auf seinen Arbeitscomputer herunterzuladen. Beim Installieren führte die Ausführung des Codes zu unbefugten Aktivitäten auf dem Gerät. Binance zufolge nutzte die Schadsoftware Verschleierungs- und Umgehungstechniken, und ihre Komponenten wurden von den damals eingesetzten Endgeräteschutzsystemen nicht erkannt.
Die Börse schilderte auch einen früheren Vorfall. Im Juni lud ein anderer Ingenieur ein modifiziertes Homebrew-Paket herunter, als er versuchte, ein beliebtes KI-Entwicklungstool zu installieren. Das Sicherheitsteam entdeckte eine Anomalie, ersetzte das Gerät und aktualisierte die zugehörigen Zugangsdaten. Binance zufolge hatten die Angreifer jedoch bereits Informationen über den Mitarbeiter und seine Kollegen aus dem für die Wallet-Infrastruktur zuständigen Team erlangt.
Am 20. Oktober nutzten die Angreifer den kompromittierten Computer des ersten Ingenieurs und ein internes KI-Tool von Binance, um Zugriff auf die Geräte zweier weiterer Mitarbeiter zu erhalten. Später entdeckten sie auf dem Computer eines der Ingenieure ein Token mit Berechtigungen zum Bereitstellen von Containern.
Am 29. Oktober nutzten die Angreifer gestohlene Zugangsdaten, stellten einen Container bereit und führten ein schädliches Skript aus, das es ihnen ermöglichte, in die Transaktionssignierung einzugreifen.
Wie die Gelder abgezogen wurden
Binance zufolge begann der Angriff mit Transfers aus den Hot Wallets der Börse über mehrere Netzwerke. Zwischen 20:05 und 20:09 UTC überwiesen fünf Wallets 233,46 Mio. XRP an eine von den Angreifern kontrollierte Adresse. Außerdem wurden aus Wallets auf Solana und Optimism rund 970.500 $SOL und 44,2 Mio. $OP abgezogen.
Anschließend wurden 18.270 $BTC aus einer Hot Wallet von Binance transferiert.
Für den weiteren Transfer der Vermögenswerte nutzten die Angreifer den EIP-7702-Mechanismus auf Ethereum. Er ermöglicht es einem gewöhnlichen Konto, einem Smart Contract bestimmte Befugnisse zur Ausführung von Vorgängen zu übertragen, ohne den privaten Schlüssel offenzulegen.
In diesem Fall nutzten die Angreifer den Mechanismus, um mit der Hot Wallet von Binance zu interagieren. Dadurch konnten sie Transfers unter Umgehung des standardmäßigen Auszahlungssystems der Börse durchführen.
Binance entdeckte große Transaktionen und begann, Vorgänge einzuschränken, Auszahlungen auszusetzen, mit Partnern zusammenzuarbeiten, um Vermögenswerte einzufrieren, und unbefugte Berechtigungen zu widerrufen.
Die Aussetzung regulärer Auszahlungen stoppte jedoch nicht alle Geldtransfers: Die auf der Blockchain erteilten EIP-7702-Berechtigungen blieben unabhängig von der standardmäßigen Infrastruktur der Börse aktiv. Für ihren Widerruf war ein gesondertes Verfahren erforderlich.
Zusätzliche Schwierigkeiten ergaben sich aus der Architektur der Binance-Hot-Wallets, die die Technologie der Mehrparteienberechnung (MPC) nutzen. Da es keinen einzelnen privaten Schlüssel gibt, konnte das Team ihn nicht einfach verwenden, um die Berechtigungen sofort zu widerrufen.
Die letzte unbefugte Transaktion über 2.961,9 ETH wurde am 29. Oktober um 23:56 UTC auf der Blockchain bestätigt. Am 30. Oktober um 00:10 UTC sendete Binance eine neue Autorisierung an die Nulladresse, um den delegierten EIP-7702-Code zu entfernen.
Binance hat 98 % der betroffenen Vermögenswerte wiederhergestellt
Die Börse schätzt, dass der Vorfall digitale Vermögenswerte im Wert von rund 6,34 Mrd. US-Dollar betraf. Davon konnten etwa 2,85 Mrd. US-Dollar eingefroren oder abgefangen werden. Diese Schätzung kann sich nach dem Datenabgleich und angesichts der Volatilität der Marktpreise noch ändern.
Binance erklärte, die finanziellen Folgen des Angriffs selbst zu tragen. Zum 31. Oktober hatte das Unternehmen rund 98 % der betroffenen Token wiederhergestellt; die Höhe der zurückgelegten Mittel übersteigt den zur Deckung der Verluste erforderlichen Betrag. Die Börse teilte außerdem mit, dass sie die verbleibenden, weniger liquiden Vermögenswerte erwirbt.
Im Rahmen der Reaktion gestaltete Binance die betroffenen Wallet-Systeme und das interne KI-Tool neu, ersetzte Geräte und widerrief die Zugangsdaten und Token, die mit den betroffenen Mitarbeitern verknüpft waren. Das Unternehmen verstärkte außerdem die Kontrolle der Geräte, das Risikomanagement bei Wallet-Diensten und die KI-gestützte Erkennung anomalen Verhaltens.
Die Börse beabsichtigt, unabhängige Cybersicherheitsunternehmen mit der Überprüfung der Untersuchungsergebnisse zu beauftragen. Außerdem plant sie, die Investitionen in KI-Tools zur Bedrohungserkennung, den Schutz von Arbeitsgeräten und Entwicklungsumgebungen sowie die Einrichtung eines Fonds zur Förderung der Forschung im Bereich der Sicherheit von Blockchain-Infrastrukturen auszubauen.
Binance betonte, dass der veröffentlichte Bericht vorläufig sei: Die Untersuchung dauere an, und ihre Schlussfolgerungen würden von unabhängigen Fachleuten überprüft. Einige technische Einzelheiten habe das Unternehmen nicht offengelegt, um potenziellen Angreifern keine Hinweise für die Vorbereitung neuer Angriffe zu geben.
Zur Erinnerung: Der Binance-Hack verschärfte die Debatte darüber, nach welchen Regeln Stablecoin-Emittenten gestohlene Vermögenswerte sperren.