Binance wurde am 29. Oktober 2024 um 20:24 UTC Opfer eines Exploits im Wert von 6,3 Mrd. $, nach einer fünfmonatigen nordkoreanischen Social-Engineering-Kampagne. So lief der Angriff ab:
Juni: Ein Entwickler installiert ein kompromittiertes Dev-Tool aus einer Anzeige → Binance erkennt den Vorfall, löscht das Gerät und rotiert die Zugangsdaten. Doch der Angreifer hatte die interne Organisationsstruktur bereits kartiert.
September: Ein zweiter Entwickler erhält eine LinkedIn-DM von einem Recruiter. Zwei Vorstellungsgespräche mit dem falschen CEO eines nicht existierenden Unternehmens. Die Programmieraufgabe für zu Hause = Malware-Payload.
20. Oktober: Über einen infizierten Laptop und ein internes KI-Tool nehmen die Angreifer zwei Wallet-Entwickler ins Visier. Einer von ihnen hatte ein Token für Container-Deployments im Klartext auf seinem lokalen Rechner gespeichert.
29. Oktober: 522.409 $ETH + 18.270 $BTC + 2 Mrd. $ in $USDT/$USDC wurden in weniger als einer Stunde abgezogen.
Sechs Tage später: Keine Bewegung. Alle Gelder eingefroren. Das FBI kennt die Identitäten der Angreifer, mehr als 600 Adressen wurden markiert. Binance deckte 98 % des Verlusts aus seinen Rücklagen, Auszahlungen wurden wieder aufgenommen. Der $ETH-Preis blieb unbeeinflusst.
Die Angreifer können nicht einmal einen einzigen Sat liquidieren.
Technische Versäumnisse:
• Nicht vertrauenswürdige Binärdatei aus einem Werbenetzwerk auf einem Entwicklerrechner ausgeführt
• Arbeitslaptop für die Ausführung externen Codes verwendet (Programmieraufgabe im Vorstellungsgespräch)
• Deployment-Token im Klartext lokal statt in einem Vault/HSM gespeichert
• Die Signaturinfrastruktur blockierte EIP-7702-Autorisierungen nicht standardmäßig
Sicherheits-Checkliste:
• Für alle externen Binärdateien Zero-Trust anwenden, besonders bei Anzeigen
• Isolierte Sandbox für jede Prüfung externen Codes
• Hardware-Sicherheitsmodule für alle Deployment-Zugangsdaten
• Der Signierer muss Transaktionstypen explizit auf eine Whitelist setzen
Das teuerste Vorstellungsgespräch aller Zeiten. Fünf Monate Arbeit, 6,3 Mrd. $ gestohlen, 0 $ ausgebbar.
Juni: Ein Entwickler installiert ein kompromittiertes Dev-Tool aus einer Anzeige → Binance erkennt den Vorfall, löscht das Gerät und rotiert die Zugangsdaten. Doch der Angreifer hatte die interne Organisationsstruktur bereits kartiert.
September: Ein zweiter Entwickler erhält eine LinkedIn-DM von einem Recruiter. Zwei Vorstellungsgespräche mit dem falschen CEO eines nicht existierenden Unternehmens. Die Programmieraufgabe für zu Hause = Malware-Payload.
20. Oktober: Über einen infizierten Laptop und ein internes KI-Tool nehmen die Angreifer zwei Wallet-Entwickler ins Visier. Einer von ihnen hatte ein Token für Container-Deployments im Klartext auf seinem lokalen Rechner gespeichert.
29. Oktober: 522.409 $ETH + 18.270 $BTC + 2 Mrd. $ in $USDT/$USDC wurden in weniger als einer Stunde abgezogen.
Sechs Tage später: Keine Bewegung. Alle Gelder eingefroren. Das FBI kennt die Identitäten der Angreifer, mehr als 600 Adressen wurden markiert. Binance deckte 98 % des Verlusts aus seinen Rücklagen, Auszahlungen wurden wieder aufgenommen. Der $ETH-Preis blieb unbeeinflusst.
Die Angreifer können nicht einmal einen einzigen Sat liquidieren.
Technische Versäumnisse:
• Nicht vertrauenswürdige Binärdatei aus einem Werbenetzwerk auf einem Entwicklerrechner ausgeführt
• Arbeitslaptop für die Ausführung externen Codes verwendet (Programmieraufgabe im Vorstellungsgespräch)
• Deployment-Token im Klartext lokal statt in einem Vault/HSM gespeichert
• Die Signaturinfrastruktur blockierte EIP-7702-Autorisierungen nicht standardmäßig
Sicherheits-Checkliste:
• Für alle externen Binärdateien Zero-Trust anwenden, besonders bei Anzeigen
• Isolierte Sandbox für jede Prüfung externen Codes
• Hardware-Sicherheitsmodule für alle Deployment-Zugangsdaten
• Der Signierer muss Transaktionstypen explizit auf eine Whitelist setzen
Das teuerste Vorstellungsgespräch aller Zeiten. Fünf Monate Arbeit, 6,3 Mrd. $ gestohlen, 0 $ ausgebbar.