Ein gefälschtes Bewerbungsgespräch war der erste Schritt zum 6,3-Milliarden-Hack bei Binance

Binance hat den ersten Bericht darüber veröffentlicht, wie rund 6,3 Milliarden Dollar das System verließen – und der Einstiegspunkt war kein fehlerhafter Smart Contract, sondern ein Bewerbungsgespräch.

Laut dem am 3. November veröffentlichten Bericht suchte ein Softwareentwickler von Binance im September eine neue Stelle. Eine Person, die sich als Projektleiterin ausgab, kontaktierte ihn über eine legitime Recruiting-Plattform, führte ein Online-Interview mit einer falschen HR-Mitarbeiterin und teilte Social-Media-Konten mit persönlichen Fotos, um Vertrauen aufzubauen. Ein angeblicher CEO kam per Videoanruf hinzu und bat den Entwickler, eine Programmierübung auf dem Arbeitsrechner zu laden. Die Datei enthielt bislang unbekannte Malware, die Endpoint-Sicherheit umgehen sollte.

Ein früherer Versuch

Das September-Gespräch war nicht der erste Versuch. Im Juni installierte ein anderer Entwickler auf der Suche nach einem KI-Werkzeug ein manipuliertes Homebrew-Paket. Angreifer hatten eine veränderte Version mit Schadcode verbreitet und den Rechner kompromittiert. Binance erkannte den Vorfall und tauschte das Gerät, doch die Entwickler des Wallet-Teams blieben exponiert.

Am 20. Oktober nutzte der Angreifer den über das falsche Gespräch kompromittierten Rechner sowie ein internes KI-Werkzeug, um die Computer von zwei Wallet-Entwicklern zu erreichen. Am 29. Oktober richtete er mit gestohlenen Zugangsdaten eine Softwareumgebung ein und führte Code aus. Gelder begannen um 20:05 UTC das System zu verlassen.

EIP-7702 und die Hot Wallet

Der Angreifer nutzte EIP-7702, eine Ethereum-Funktion, um unbefugte Ausführungsrechte für Transaktionen auf Binances Hot Wallets zu setzen. Da das System auf Multi-Party Computation (MPC) basiert, konnte kein einzelner privater Schlüssel diese Berechtigung allein widerrufen. Die Incident-Kontrolle lief vom späten 29. Oktober bis 00:10 UTC am 30. Oktober.

Binance spricht von rund 2,85 Milliarden Dollar eingefrorener Vermögenswerte und etwa 98 % zurückgeholter betroffener Token; Nutzer hätten keinen finanziellen Schaden erlitten.

Zuschreibung und Dementi

Reuters berichtet, das FBI schreibe den Angriff TraderTraitor zu, einer Nordkorea-nahen Gruppe, und habe Wallet-Adressen veröffentlicht sowie Börsen zum Blockieren aufgefordert. AP meldet, Kim Yo Jong, Schwester des nordkoreanischen Machthabers, habe die Anschuldigung als politische Provokation zurückgewiesen und erklärt, Washington versuche, Pjöngjang mit weltweiter Cyberkriminalität zu verbinden.

Binance habe dieses Jahr 57 mutmaßlich nordkoreanische Angriffsversuche blockiert und wolle unabhängige Experten hinzuziehen, mehr in KI-Threat-Detection investieren, einen Sicherheitsforschungsfonds auflegen und mit großen KI-Firmen zusammenarbeiten.

Was der Fall zeigt

Das schwächste Glied war ein Mensch bei einer normalen Handlung: sich bewerben, ein Entwicklerwerkzeug installieren. Der Angriff brauchte keine Lücke im Code der Börse, sondern einen Mitarbeiter, der einem vertrauten Ablauf vertraut.

Zweitens kaufte die Wallet-Architektur Zeit, keine Immunität. MPC verhinderte, dass ein einzelner Schlüssel die Berechtigung rückgängig macht – und begrenzte zugleich die Reaktionsgeschwindigkeit. 2,85 Milliarden einzufrieren und den Großteil zurückzuholen ist ein starkes Ergebnis; entscheidend ist aber das Rückholfenster, nicht die gestohlene Summe.

Quelle: Binance-Incident-Report vom 3. November 2026, mit Reuters- und AP-Berichten über VnExpress.

AUTOR

Über ABN Asia: Ai-Banking-NetworkSecurity (ABN), ABN Asia wurde 2012 von Akademikern und ehemaligen Studierenden aus Ungarn, den Niederlanden, Russland, Deutschland und Japan gegründet. Wir teilen eine Leidenschaft und eine klare technologische Vision und bringen Innovation und höchste Qualität zu unseren Kunden. Unser Motto: Besser. Schneller. Sicherer. In den meisten Fällen: Günstiger.

Kontaktieren Sie uns für IT-Dienstleistungen, Digitalberatung, passende Softwarelösungen oder wenn Sie eine IT-Ausschreibung (RFP) haben. Sie erreichen uns unter [email protected]. Wir unterstützen Sie bei allen technologischen Anforderungen.