Der Diebstahl bei Binance begann mit einem Vorstellungsgespräch: Der Zugriff bestimmte den Schaden

Im September führte ein Binance-Softwareingenieur zwei Vorstellungsgespräche mit einem Unternehmen, das gar nicht existierte. Das erste war ein Live-Videoanruf mit einer Personalverantwortlichen, die ihr persönliches Social-Media-Konto mit Fotos und Videos teilte, um zu beweisen, dass sie echt war. Das zweite fand in einer Chat-App statt; dort gab sich jemand als CEO aus. Gegen Ende wurde der Ingenieur gebeten, eine Programmieraufgabe auf seinen Arbeitscomputer herunterzuladen.

Am 29. Oktober transferierten Angreifer rund 6,34 Milliarden US-Dollar aus Binance-Wallets, den größten Teil davon innerhalb von etwa 20 Minuten. Das FBI schreibt den Diebstahl TraderTraitor zu, der nordkoreanischen Gruppe, die auch für den Diebstahl von 1,5 Milliarden US-Dollar bei Bybit im Februar 2025 verantwortlich gemacht wird. Es handelt sich um den größten bekannten Diebstahl von Kryptowährungen.

Binance hat die Verantwortung übernommen und erklärt, die Verluste auszugleichen. Mit Stand vom 3. November meldete das Unternehmen, dass 98 % der betroffenen Token-Bestände wieder aufgefüllt worden seien und rund 2,85 Milliarden US-Dollar eingefroren oder abgefangen worden seien.

Die entscheidende Frage lautet: Worauf konnte ein kompromittierter Laptop zugreifen, und kann jedes Team das heute in seiner eigenen Umgebung testen?

Zwei Angriffswege und eine Kampagne von Juni bis Oktober

Nichts in der Aktualisierung von Binance vom 3. November deutet auf Deepfakes oder andere KI-gestützte Techniken hin. Beide Angriffswege führten über Menschen: ein Ingenieur, der einem Suchergebnis vertraute, und ein anderer, der einem Recruiter vertraute.

Die Kampagne lief mindestens fünf Monate. Im Juni lud ein DevOps-Ingenieur für Wallets, der nach einem KI-Programmierwerkzeug suchte, ein manipuliertes Homebrew-Installationsprogramm herunter. Das Sicherheitsteam von Binance bemerkte die Auffälligkeit, ersetzte das Gerät und erneuerte die Zugangsdaten. Zu diesem Zeitpunkt hatten die Angreifer bereits herausgefunden, wer zum Wallet-Infrastrukturteam gehörte.

Drei Monate später kamen sie über einen anderen Weg zurück. Der Ingenieur, der im September kontaktiert wurde, hatte auf einer seriösen Jobsuchplattform ein Profil, in dem seine Erfahrung bei Binance erwähnt wurde. Seine Programmieraufgabe enthielt Schadsoftware, die während der Einrichtung ausgeführt wurde, eine legitime pyenv-Komponente durch eine bösartige ersetzte, eine Verbindung zu einem von den Angreifern kontrollierten Server herstellte und ihre Spuren verwischte. Binance zufolge wurde sie von dessen Endgeräteschutz nicht erkannt.

Am 20. Oktober nutzten die Angreifer diesen Laptop und ein internes KI-Tool, um zwei weitere Ingenieursrechner unter ihre Kontrolle zu bringen. Einer davon gehörte dem DevOps-Ingenieur, dessen Gerät bereits im Juni kompromittiert worden war. Auf diesem Rechner fanden sie ein Token mit Berechtigungen für die Bereitstellung von Containern. Am 29. Oktober meldeten sie sich am Computer des anderen Ingenieurs an, nutzten die gestohlenen Zugangsdaten, um einen Container bereitzustellen, und führten das Skript aus, das den Diebstahl in Gang setzte.

Warum Köder von Recruitern weiterhin funktionieren

Gefälschte Recruiter und manipulierte Programmieraufgaben sind ein altbekanntes Vorgehen. Nordkoreanische Akteure setzen es seit Jahren gegen Entwickler ein, besonders prominent in der als „Ansteckendes Vorstellungsgespräch“ bekannten Kampagne. Binance zufolge hat das Unternehmen allein 2026 57 mutmaßlich mit Nordkorea verbundene Versuche abgewehrt.

Der Köder funktioniert, weil Ingenieure damit zu etwas aufgefordert werden, das sie täglich tun. Ein unbekanntes Repository auszuführen, gehört bei einem technischen Vorstellungsgespräch zum normalen Ablauf. Es gibt weder eine verdächtige Absenderadresse noch einen Link, dessen Ziel man erst prüfen müsste – nur einen glaubwürdigen Arbeitgeber, eine Person im Video und eine Aufgabe, die wie normale Arbeit aussieht.

Die Nachricht eines Recruiters ist außerdem eine der wenigen unaufgeforderten Kontaktaufnahmen, über die sich Menschen freuen. Kein Awareness-Programm kann garantieren, dass jeder Ingenieur jede überzeugende Nachricht erkennt. Deshalb müssen Schutzmaßnahmen davon ausgehen, dass eine durchkommt.

Wie ein einzelner Laptop Zugriff auf die Wallets ermöglichte

Meine erste Frage betrifft die Sicherheitsmaßnahmen in der Arbeitsumgebung dieses Ingenieurs. Dass ein Arbeitscomputer für eine externe Programmieraufgabe verwendet wird, sollte kritisch geprüft werden. Noch größere Sorgen bereitet, wie dieser eine Sicherheitsvorfall den Zugriff auf andere Systeme und schließlich auf sensible Finanzinfrastruktur ermöglichte.

Jeder Schritt nach der ursprünglichen Infektion beruhte auf Vertrauen, das innerhalb von Binance bereits bestand. Ein internes KI-Tool nahm Anweisungen von einem kompromittierten Rechner entgegen und setzte sie auf den Geräten von Kollegen um. Ein Bereitstellungs-Token befand sich auf dem Laptop eines Ingenieurs. Eine Container-Bereitstellung mit gültigen Zugangsdaten brachte Milliarden in Bewegung. Für all das war kein weiterer Köder nötig.

Interne KI-Tools verdienen besondere Aufmerksamkeit. Sie verfügen häufig über weitreichende Berechtigungen für Repositories, Endgeräte und Dienste. Wer also einen Rechner kontrolliert, der einem solchen Tool Anweisungen geben kann, erbt dessen gesamte Reichweite.

Entwickler schützen, ohne die Entwicklung auszubremsen

Entwickler müssen Pakete herunterladen, unbekannten Code ausführen und Software testen können. Ihre Laptops so stark einzuschränken wie einen Arbeitsplatz in der Finanzabteilung würde die Entwicklung zum Erliegen bringen und Entwickler zu Umgehungslösungen drängen. Eine Richtlinie, die Jobsuche auf Unternehmensgeräten untersagt, ist sinnvoll – doch niemand hält sich ausnahmslos immer daran. Das praktische Ziel besteht darin, zu begrenzen, was ein kompromittierter Entwicklerrechner als Nächstes tun kann.

Einige wenige Maßnahmen machen den größten Unterschied. Nicht vertrauenswürdiger Code sollte in kurzlebigen virtuellen Maschinen ohne Zugriff auf Unternehmenszugangsdaten ausgeführt werden. Zugangsdaten für Bereitstellungen sollten eine kurze Gültigkeitsdauer haben, eng begrenzte Berechtigungen umfassen und nach Möglichkeit nur für kontrollierte Bereitstellungsabläufe ausgestellt werden. Signaturschlüssel oder Schlüsselanteile für Wallets sollten getrennt von Entwicklerarbeitsplätzen geschützt werden. Die Signaturrichtlinien sollten einschränken, welche Transaktionen und Autorisierungen genehmigt werden können. Für Aktionen, die Wallets, Zahlungssysteme oder Produktionssysteme betreffen, sollte die Genehmigung einer zweiten Person auf einem separaten Gerät erforderlich sein. Interne KI-Tools sollten mit den geringstmöglichen Berechtigungen ausgeführt werden und protokollieren, was sie tun.

Die Erkennung muss auch dann funktionieren, wenn die Zugangsdaten legitim sind. Eine Verhaltensüberwachung, die eine Bereitstellung von einem unerwarteten Gerät oder zu einer ungewöhnlichen Uhrzeit meldet, gibt einem Team die Möglichkeit einzugreifen, selbst wenn alle Zugangsdaten gültig sind. Binance zufolge hat das Unternehmen diese Art der Erkennung seit dem Vorfall ausgeweitet.

Welche Rolle Threat Intelligence spielt

Die Warnung war bereits sechs Wochen vor dem Diebstahl öffentlich. Die gemeinsame Warnmeldung zu Contagious Interview beschrieb, wie Angreifer sich als Personalvermittler von KI-, Krypto- und NFT-Unternehmen ausgaben, um IT-Fachkräfte ins Visier zu nehmen und Kryptowährungen zu stehlen. Binance wurde nach demselben Muster angegriffen.

Threat Intelligence erfüllt bei solchen Kampagnen eine konkrete Aufgabe. Die Angreifer können wechseln, doch ihre Taktiken sind bekannt. Teams, die sie verfolgen, können bekannte Infrastruktur blockieren und Entwickler vor den derzeit eingesetzten Vorwänden warnen.

Erkenntnisse aus der Bedrohungsanalyse zeigen einem Team auch, wer besonderen Schutz benötigt. Sobald ein Vorfall offenlegt, wer über vertrauliche Zugriffsrechte verfügt – wie beim Sicherheitsvorfall bei Binance im Juni –, sollten diese Personen monatelang als wahrscheinliche Ziele gelten. Ihre Geräte und die Kontaktversuche, denen sie ausgesetzt sind, sollten dann genauer überwacht werden.

Was das für Bereiche außerhalb der Kryptobranche bedeutet

Kryptobörsen sind ein naheliegendes Ziel, weil sich gestohlene Gelder schnell bewegen und nur schwer zurückholen lassen. Dasselbe Muster zeigt sich überall dort, wo ein Entwicklerarbeitsplatz nur wenige Schritte von kritischen Systemen entfernt ist – sei es von der Zahlungsabwicklung einer Bank oder vom Build- und Release-Prozess eines Softwareanbieters. Anwerbungsmaschen erreichen Entwickler in all diesen Bereichen.

Für Sicherheitsverantwortliche, die diese Woche ihre eigenen Umgebungen überprüfen, sind vor allem zwei Prüfungen wichtig. Erstens sollten sie erfassen, worauf ein einzelner kompromittierter Entwicklerlaptop heute zugreifen könnte – darunter gespeicherte Token, SSH-Schlüssel, Cloud-Zugangsdaten und interne KI-Tools. Zweitens sollten sie sicherstellen, dass für Produktionsbereitstellungen und Transaktionen mit hohen Beträgen eine unabhängige Genehmigung erforderlich ist, die nicht von einer einzelnen kompromittierten Identität erteilt werden kann.

Binance hat die betroffenen Systeme wiederhergestellt und unabhängige Prüfer hinzugezogen; die entsprechenden Entscheidungen wurden nach dem Verlust getroffen. Organisationen, die dieselbe Übung jetzt durchführen, können diese Entscheidungen nach ihrem eigenen Zeitplan treffen.