Die Security Alliance (SEAL), eine gemeinnützige Cybersicherheitsorganisation, sagt, dass der mit Nordkorea in Verbindung stehende Bedrohungsakteur TraderTraitor wahrscheinlich im September Zugriff auf die Systeme von Binance erlangte – etwa acht Wochen bevor Binance am 29. Oktober bekannt gab, Opfer eines Exploits im Umfang von 6,3 Milliarden Dollar geworden zu sein. In einer am Donnerstag veröffentlichten Analyse argumentiert SEAL, dass der Angriff Monate früher begann, als der öffentlich bekannte Zeitrahmen des Vorfalls vermuten lässt. Dadurch hatten die Angreifer Zeit, unbemerkt vorzugehen und interne Kontrollmechanismen zu erfassen.

SEAL bringt TraderTraitor außerdem mit einem Netzwerk von Briefkastenfirmen in Verbindung, das bei betrügerischen Kampagnen im Stil von Rekrutierungsangeboten im Jahr 2026 zum Einsatz kam. Dabei identifizierte die Organisation mindestens vier Domains, die mit der Kampagne in Verbindung stehen. Die Erkenntnisse der Organisation unterstreichen zudem ein wiederkehrendes Muster bei größeren Krypto-Hacks: mehrstufiger Zugriff, der wochenlang bestehen kann, bevor schließlich Gelder abgezogen werden.

Die wichtigsten Erkenntnisse

• SEAL schätzt, dass TraderTraitor im September Zugang zu Binance-Systemen erlangte, etwa acht Wochen vor dem Exploit vom 29. Oktober, bei dem 6,3 Milliarden US-Dollar erbeutet wurden.

• Dem Bericht zufolge bewahrten die Angreifer nach dem ersten Eindringen ein „hohes Maß an Tarnung“, wodurch sie sich längere Zeit innerhalb des Systems bewegen konnten.

• SEAL identifizierte mindestens vier „Briefkastenfirmen“ aus dem Jahr 2026, die mit den Rekrutierungskampagnen von TraderTraitor in Verbindung stehen: citalab.net, citalab.com, bitfit.io und oddium.io.

• SEAL verweist auf ähnliche Zeitabläufe bei anderen Krypto-Hacks. Das deutet darauf hin, dass Angreifer häufig schon Wochen vor dem Exploit Zugang erlangen.

• Binance führte den Hack auf ein gefälschtes Bewerbungsgespräch zurück, durch das ein Gerät eines Mitarbeiters kompromittiert und Zugangsdaten gestohlen wurden. Binance erklärte, die Kampagne lasse sich bis Juni zurückverfolgen.

Der frühzeitige Zugang könnte lange vor dem öffentlich bekannten Angriff begonnen haben

Die zentrale Aussage von SEAL lautet, dass die operative Kompromittierung von Binance nicht erst zum Zeitpunkt des öffentlich bekannt gewordenen Exploits begann. In dem am Donnerstag veröffentlichten Bericht schrieb die Gruppe, dass das Eindringen von TraderTraitor in die Systeme von Binance wahrscheinlich im September begann und die Angreifer sich über längere Zeit mit erheblicher Tarnung im System aufhalten konnten.

Das ist für Sicherheitsteams und Marktteilnehmer wichtig, da das „Datum des Vorfalls“ oft zum einzigen öffentlich sichtbaren Meilenstein wird. Können Angreifer wochenlang in Systemen verbleiben, bevor sie einen schwerwiegenden Angriff ausführen, könnte der tatsächliche Zeitraum der Gefährdung Schwächen bei der internen Überwachung, dem Umgang mit Zugangsdaten und der Zugriffskontrolle umfassen, die möglicherweise erst nach dem entstandenen Schaden erkennbar werden.

Verbindungen zu Betrugsmaschen bei der Personalgewinnung und zur Infrastruktur

SEAL erklärte außerdem, mindestens vier „Briefkastenfirmen“ identifiziert zu haben, die 2026 mit den gefälschten Rekrutierungskampagnen von TraderTraitor in Verbindung standen. Die in der Analyse genannten Domains – citalab.net, citalab.com, bitfit.io und oddium.io – werden als Teil einer umfassenderen Strategie dargestellt, um Glaubwürdigkeit aufzubauen, Opfer anzulocken und Zugang zu Zielorganisationen zu schaffen.

Diese Analyse deckt sich mit den öffentlichen Darstellungen von Binance. Wie aus früheren Berichten hervorgeht, auf die sich SEAL bezieht, führte Binance den Hack im Umfang von 6,3 Milliarden US-Dollar auf ein gefälschtes Bewerbungsgespräch zurück. Dadurch konnten die Angreifer das Gerät eines Mitarbeiters kompromittieren und Zugangsdaten stehlen, mit denen sie in die Wallet-Infrastruktur der Börse eindrangen.

Wie laut SEAL dieser Fall mit anderen großen Krypto-Hacks vergleichbar ist

Neben Binance führte SEAL weitere aufsehenerregende Vorfälle an, um zu argumentieren, dass mehrstufige Angriffe ein wiederkehrendes Merkmal groß angelegter Krypto-Angriffe sind. Die Organisation schätzte für mehrere Fälle die ungefähren Zeiträume, in denen die Angreifer vor dem Exploit Zugang hatten. Dazu gehörten:

• Etwa sechs Wochen Zugang vor dem Bitget-Hack im Umfang von 388 Millionen US-Dollar.

• Etwa sechs Wochen Zugang zu LayerZero vor der Schwachstelle, die zum Kelp-DAO-Exploit im Umfang von 293 Millionen US-Dollar führte.

• Etwa drei Wochen vor der Ausführung des AFX-Exploits im Umfang von 24 Millionen US-Dollar.

Die Zeitabläufe unterscheiden sich zwar von Vorfall zu Vorfall, doch allen ist gemeinsam, dass die Kompromittierung Wochen vor dem Exploit stattfinden kann. In der Praxis verlagert sich der Fokus bei Sicherheitsfragen dadurch von der reinen Vorbereitung auf die Reaktion auf Vorfälle hin zur frühzeitigen Erkennung – etwa dem Erkennen einer anhaltenden Präsenz von Angreifern, ungewöhnlicher Zugriffsmuster und offengelegter Zugangsdaten, lange bevor Vermögenswerte bewegt werden.

Binances Darstellung und die breitere Debatte über die Zuordnung der Angriffe

Die Schätzungen von SEAL warfen Fragen dazu auf, wann und wie das Eindringen begann. Cointelegraph versuchte, die Analyse zu überprüfen, und bat Binance um eine Stellungnahme. Cointelegraph berichtete, dass Binance bis zur Veröffentlichung nicht geantwortet hatte.

Binance hatte zuvor einen anderen Ablauf beschrieben. Nach Angaben von Binance lässt sich die Angriffskampagne bis Juni zurückverfolgen, als das Gerät eines anderen Mitarbeiters kompromittiert wurde. Binance erklärte, den früheren Angriff erkannt und das Gerät ersetzt zu haben, fügte jedoch hinzu, dass die Angreifer möglicherweise bereits Informationen über Mitarbeiter und die Wallet-Infrastruktur von Binance gesammelt hatten. Binance verwies auch auf den gefälschten Bewerbungsgesprächs-Mechanismus als den Weg, der den Exploit letztlich ermöglichte. Dieser wurde nach dem Vorfall vom 29. Oktober öffentlich ausführlich beschrieben.

Auch auf geopolitischer Ebene ist die Zuordnung umstritten. Das US-amerikanische Federal Bureau of Investigation machte Nordkoreas TraderTraitor in einem am Samstag veröffentlichten Bericht für den Angriff verantwortlich. Kim Yo Jong, die Schwester des nordkoreanischen Machthabers Kim Jong Un, wies die Anschuldigungen laut früherer Berichterstattung, auf die sich Cointelegraph bezog, zurück.

Zusammengenommen verdeutlicht der Streit eine bekannte Asymmetrie bei Cybervorfällen: Ermittler und betroffene Organisationen können unterschiedliche Phasen derselben Angriffskette in den Vordergrund stellen (den ersten Zugang, den Diebstahl von Zugangsdaten oder den endgültigen Angriff auf die Wallets). SEAL konzentriert sich darauf, wann die Angreifer wahrscheinlich Zugang zu den Systemen erhielten und wie lange sie sich vor dem Datum des öffentlich bekannt gewordenen Exploits möglicherweise darin aufhielten.

Wer diese Geschichte weiterverfolgt, sollte darauf achten, ob zusätzliche technische Details auftauchen, die den von Binance beschriebenen Zeitablauf der Kompromittierung im Juni mit SEALs Schätzung eines Systemzugriffs ab September in Einklang bringen. Ebenso bleibt abzuwarten, ob bei künftigen Berichten über Vorfälle bei anderen Börsen und Protokollen ähnliche Muster eines „wochenlangen Zugriffs“ deutlicher zutage treten.

Dieser Artikel wurde ursprünglich unter dem Titel „Binance-Hacker hatten vor dem Exploit im Umfang von 6,3 Milliarden US-Dollar acht Wochen lang Zugang, so die Alliance“ auf Crypto Breaking News veröffentlicht – Ihrer vertrauenswürdigen Quelle für Kryptonachrichten, Bitcoin-News und Blockchain-Updates.