Binance gibt gefälschte Bewerbungsgespräche und den Missbrauch eines KI-Tools bei Hackerangriff bekannt

Binance erklärte in den am 3. November 2026 veröffentlichten ersten Erkenntnissen, dass gefälschte Bewerbungsgespräche, manipulierte Entwicklersoftware und ein kompromittiertes internes KI-Tool dem Diebstahl digitaler Vermögenswerte im Wert von rund 6,34 Milliarden US-Dollar am 29. Oktober 2026 vorausgingen.

Die Börse wird die finanziellen Folgen selbst tragen und nicht an ihre Nutzer weitergeben. Binance gab an, mehr als 100 % der zur Deckung des Verlusts benötigten Mittel zurückgelegt, bis zum 31. Oktober 2026 98 % der betroffenen Token-Bestände wieder aufgefüllt und Vermögenswerte im Wert von rund 2,85 Milliarden US-Dollar eingefroren oder abgefangen zu haben. Dies steht unter dem Vorbehalt des Abgleichs und der Schwankungen der Marktpreise. Die noch ausstehenden, weniger liquiden Vermögenswerte werden derzeit erworben.

Die zum Nachweis der Wiederauffüllung angeführte Seite zum Nachweis der Reserven beschreibt eine Deckung der verwahrten Nutzervermögen im Verhältnis 1:1. Sie verwendet Merkle-Tree-Datensätze und zk-SNARK-Beweise, damit Nutzer überprüfen können, ob ihre Guthaben im Bericht über die Verbindlichkeiten enthalten sind.

Die Erkenntnisse sind weiterhin vorläufig. Die Untersuchung läuft noch, eine unabhängige Prüfung steht aus, und Binance hält einige technische Einzelheiten zurück, um böswilligen Akteuren keine Hinweise für die Planung von Angriffen zu geben.

Monatelanger Zugriff vor dem Angriff auf die Wallets

Im Juni 2026 lud ein DevOps-Ingenieur für Wallets eine manipulierte Homebrew-Installation herunter, als er versuchte, ein beliebtes, über eine Suchmaschine gefundenes KI-Programmierwerkzeug zu installieren. Binance erkannte die Anomalie, ersetzte das Gerät und erneuerte die zugehörigen Zugangsdaten. Die Funktion des Ingenieurs und seine Kollegen im Team für Wallet-Infrastruktur waren dem Angreifer jedoch bereits bekannt.

Im September 2026 wurde ein weiterer Softwareentwickler über eine legitime Plattform für die Jobsuche von jemandem kontaktiert, der sich als Projektleiter ausgab. Auf ein Live-Videogespräch mit einem angeblichen Personalverantwortlichen folgte ein zweites Bewerbungsgespräch in einer beliebten Social-Chat-App mit jemandem, der behauptete, CEO eines fiktiven Unternehmens zu sein. Gegen Ende des Gesprächs wurde der Ingenieur angewiesen, eine Aufgabenstellung mit einem schädlichen Code-Repository auf einen Arbeitscomputer herunterzuladen. Der darin enthaltene Code wurde während der Einrichtung ausgeführt.

Die Malware ersetzte eine legitime pyenv-Komponente durch eine schädliche Version und kommunizierte mit einem vom Angreifer kontrollierten Server. Binance erklärte, dass der Endgeräteschutz die Zero-Day-Malware zu diesem Zeitpunkt nicht erkannt habe, während der Angreifer Maßnahmen ergriff, um die Aktivitäten zu verschleiern und Spuren der Kompromittierung zu beseitigen.

Am 20. Oktober 2026 nutzte der Angreifer den kompromittierten Computer des zweiten Ingenieurs und ein internes KI-Tool, um auch die Kontrolle über den ursprünglichen DevOps-Ingenieur und einen weiteren Wallet-Softwareentwickler zu erlangen. Anschließend wurde auf dem Computer des DevOps-Ingenieurs ein Berechtigungstoken für die Container-Bereitstellung gefunden. Zwischen 17:15 und 19:56 UTC am 29. Oktober meldete sich der Angreifer am Computer des dritten Ingenieurs an, verwendete vom DevOps-Ingenieur gestohlene Zugangsdaten, stellte einen Container bereit und löste das schädliche Skript aus, das den Angriff auf die Wallets startete.

On-Chain-Autorisierungen erschwerten die Eindämmung

Der Angreifer nutzte den unbefugten Zugriff auf einen internen Dienst zum Signieren von Wallet-Transaktionen, um Transaktionen außerhalb des üblichen Auszahlungsprozesses von Binance auszulösen. Zwischen 20:05 und 20:09 UTC überwiesen fünf Binance-Hot-Wallets 233,46 Millionen XRP an eine vom Angreifer kontrollierte Adresse. Weitere Abflüsse erfolgten aus Solana- und Optimism-Hot-Wallets; außerdem überwies eine Binance-Hot-Wallet 18.270 Bitcoin an eine vom Angreifer kontrollierte Adresse.

Der Angreifer nutzte außerdem Ethereums Autorisierungsmechanismus EIP-7702 aus, mit dem ein Konto bestimmte Ausführungsrechte an einen Smart Contract delegieren kann, ohne seinen privaten Schlüssel offenzulegen. Fünfzig Signaturtransaktionen manipulierten den Kontononce und richteten schädliche Delegierungsautorisierungen ein. Dadurch erhielt ein vom Angreifer kontrollierter Contract teilweise Ausführungsrechte über eine Binance-Hot-Wallet. Diese Autorisierungen ermöglichten es, Vermögenswerte unabhängig von der Auszahlungsinfrastruktur der Börse weiterzubewegen.

Daher machten weder die Aussetzung von Auszahlungen noch die Abschaltung der Hot-Wallet-Dienste die bestehenden On-Chain-Berechtigungen ungültig. Da die Wallet Multi-Party Computation verwendete, gab es keinen einzelnen privaten Schlüssel, mit dem sich die Berechtigungen sofort widerrufen ließen. Deshalb war ein spezielles Verfahren erforderlich, das zusätzliche Zeit in Anspruch nahm. Die letzte unbefugte Überweisung – 2.961,9 Ether – wurde um 23:56 UTC On-Chain endgültig bestätigt, nachdem sie zuvor ausstehend geblieben war; danach wurden keine weiteren unbefugten Überweisungen beobachtet. Am 30. Oktober 2026 um 00:10 UTC führte Binance von seiner Binance14-Hot-Wallet aus eine neue Autorisierung an die Nulladresse aus und entfernte damit den schädlichen Delegierungscode.

Neu aufgebaute Systeme und eine separate Zuschreibung durch das FBI

Am 3. November hatte Binance das betroffene Wallet-System in einer neuen Umgebung sowie das betroffene interne KI-Tool und dessen Zugriffskontrollen neu aufgebaut. Außerdem ersetzte das Unternehmen betroffene Geräte, setzte zugehörige Zugangsdaten und Token außer Kraft, schloss erweiterte Prüfungen der Mitarbeitergeräte ab, baute die KI-gestützte Erkennung von Verhaltensanomalien aus und verschärfte die Risikokontrollen für Wallet-Dienste.

Unabhängige externe Cybersicherheitsexperten werden hinzugezogen, um die Erkenntnisse zu überprüfen und weitere Maßnahmen zu empfehlen. Binance erhöht die Investitionen in KI-gestützte Erkennung, Endpunktschutz, die Sicherheit von Entwicklungsumgebungen und Verhaltensüberwachung. Außerdem arbeitet das Unternehmen daran, einen Fonds für Sicherheitsforschung und gezielte Initiativen mit KI-Unternehmen, Branchenakteuren und Sicherheitsfirmen einzurichten, die sich auf KI-Sicherheit in Blockchain-Umgebungen konzentrieren.

In einer separaten Mitteilung vom 31. Oktober 2026 erklärte das FBI, dass die TraderTraitor-Akteure aus Nordkorea verantwortlich seien, dass die Behörde und ihre Partner vom USSS und IRS-CI beobachtet hätten, wie die Akteure gestohlene Vermögenswerte vorwiegend in Ether umwandelten, und dass mit einer weiteren Geldwäsche über DeFi- und Soforttauschdienste zu rechnen sei. Die Behörden forderten Node-Betreiber, Börsen, DeFi-Dienste, Blockchain-Analysefirmen und andere Anbieter virtueller Vermögenswerte auf, Transaktionen zu blockieren, die die aufgeführten Adressen betreffen oder von ihnen ausgehen.

Der Bericht macht ein Eindämmungsproblem deutlich, das über die Erkennung von Schadsoftware hinausgeht: Der Austausch des zuerst kompromittierten Geräts beendete nicht den Zugriff des Angreifers auf das Wallet-Team, und die Aussetzung von Auszahlungen beseitigte nicht die On-Chain-Befugnisse. Die unabhängige Überprüfung wird nun zeigen, ob Binance diese Angriffskette richtig rekonstruiert hat und ob die neu aufgebauten Kontrollen dem Problem gerecht werden.