Binance-Hack: Wie Social Engineering den Weg zu 6,3 Mrd. Dollar ebnete

Trending Topics auf Google als bevorzugte Nachrichtenquelle festlegen.

Ein Bewerbungsgespräch, eine Hausaufgabe, 6,3 Milliarden Dollar weg: Binance hat soeben erste Ergebnisse seiner Untersuchung zum größten Krypto-Diebstahl der Geschichte vorgelegt. Demnach haben die Angreifer:innen monatelang Mitarbeiter:innen der Börse ins Visier genommen, unter anderem mit einem gefälschten Jobinterview. Das FBI macht die nordkoreanische Hackergruppe TraderTraitor verantwortlich, Pjöngjang bestreitet jede Beteiligung.

Insgesamt waren laut Binance digitale Assets im Wert von rund 6,34 Milliarden Dollar (rund 5,7 Milliarden Euro) betroffen. Davon wurden bisher rund 2,85 Milliarden Dollar eingefroren oder abgefangen. Den Schaden will Binance vollständig selbst tragen, 98 Prozent der gestohlenen Token hat die Börse nach eigenen Angaben bereits aus eigenen Mitteln ersetzt. „Das hätte nicht passieren dürfen“, schreibt Binance.

Vom Fake-Recruiter zum Wallet-Server

Laut Binance war es weder ein einzelner Einbruch noch eine simple Phishing-Attacke, sondern eine mehrstufige Kampagne. Die Angreifer:innen kombinierten gefälschte Bewerbungsgespräche, manipulierte Software, kompromittierte interne KI-Tools und eine ausgefeilte Methode zur Freigabe von Transaktionen. So lief der Angriff laut Binance ab:

• Juni: Ein Engineer aus dem Wallet-Team suchte über eine Suchmaschine nach einem populären KI-Coding-Tool und lud dabei eine manipulierte Homebrew-Installation herunter. Das Sicherheitsteam bemerkte den Vorfall, tauschte das Gerät aus und erneuerte alle Zugangsdaten. Die Angreifer:innen wussten nun aber, welche Rolle er hatte und wer seine Kolleg:innen im Wallet-Team waren.
• September: Über eine seriöse Jobplattform meldete sich ein angeblicher Projektleiter bei einem zweiten Software-Engineer, dessen Profil auf seine Erfahrung bei Binance verwies. Im ersten Videointerview mit einer angeblichen HR-Mitarbeiterin teilte diese ihr Social-Media-Profil samt privater Fotos und Videos, um Vertrauen aufzubauen. Binance nennt das raffinierter als alle bisher bekannten Social-Engineering-Versuche.
• Die Hausaufgabe: In der zweiten Runde, diesmal mit dem angeblichen CEO der Fake-Firma über eine Chat-App, sollte der Engineer eine „Aufgabe“ auf seinen Arbeitsrechner laden. Das Code-Repository enthielt Schadsoftware, die beim Setup startete und einen Bestandteil des Entwicklerwerkzeugs pyenv durch eine manipulierte Version ersetzte. Die Endpoint-Sicherheitssoftware erkannte die bis dahin unbekannte Malware nicht, die Angreifer:innen verwischten zudem ihre Spuren.
• Interne KI als Sprungbrett: Rund eine Woche vor dem Angriff nutzten die Hacker:innen den kompromittierten Laptop und ein internes KI-Tool von Binance, um die Rechner des ersten Engineers und eines dritten Kollegen zu übernehmen. Auf dem Rechner des ersten fanden sie ein Token, mit dem sich Container ausrollen ließen.
• Der Angriffstag: Am Tag des Diebstahls loggten sich die Angreifer:innen auf dem Rechner des dritten Engineers ein, rollten mit den gestohlenen Zugangsdaten einen Container aus und starteten ein Skript. Damit verschafften sie sich Zugriff auf einen internen Signierdienst für Wallets und konnten Transaktionen an der normalen Auszahlungslogik vorbei auslösen.

Vier Minuten, 233 Millionen XRP

Dann ging alles sehr schnell. Innerhalb von vier Minuten schickten fünf Hot Wallets von Binance 233,46 Millionen XRP an eine Adresse der Angreifer:innen, dazu kamen rund 970.500 SOL, 44,2 Millionen OP und 18.270 Bitcoin. Auf Ethereum missbrauchten die Hacker:innen den Mechanismus EIP-7702, um einem eigenen Smart Contract Ausführungsrechte über eine Hot Wallet von Binance zu verschaffen.

Genau das machte die Eindämmung schwierig. Die Börse stoppte zwar die Auszahlungen, die bösartigen Freigaben lagen aber direkt auf der Blockchain und funktionierten unabhängig von der Binance-Infrastruktur. Weil die Wallet per Multi-Party Computation abgesichert war, gab es keinen einzelnen privaten Schlüssel, mit dem sich die Freigaben sofort hätten widerrufen lassen. Das Team musste dafür erst ein eigenes Verfahren entwickeln. Die letzte unautorisierte Transaktion ging knapp vier Stunden nach dem ersten Abfluss durch. Hinweise auf gestohlene private Schlüssel hat Binance nach eigenen Angaben nicht gefunden.

FBI und Chainalysis zeigen auf Nordkorea

Das FBI hat am vergangenen Samstag die Gruppe TraderTraitor für den Angriff verantwortlich gemacht, die mit Nordkorea in Verbindung gebracht wird. Dieselbe Gruppe soll laut FBI auch hinter dem Hack der Krypto-Börse Bybit im Februar 2025 stecken, bei dem 1,5 Milliarden Dollar (rund 1,35 Milliarden Euro) verschwanden. Auch die Blockchain-Analysefirma Chainalysis ordnet den Angriff TraderTraitor zu. Der stärkste Beleg: Gestohlene Binance-Gelder vermischten sich on-chain mit Beute aus dem Hack bei Bitget im September, der ebenfalls Nordkorea zugeschrieben wird.

Chainalysis beschreibt zudem, wie die Angreifer:innen gegen die Uhr arbeiteten. Weil Stablecoins wie USDT und USDC eingefroren werden können, tauschten sie in knapp 20 Minuten Stablecoins im Wert von 325 Millionen Dollar in Ether um. Rund eine Stunde nach den ersten Abflüssen begannen Tether, Circle und Co. mit dem Einfrieren. Beim Waschen der Beute beobachtet Chainalysis neue Muster: Tausende Transaktionen in kurzer Zeit, viele Adressen erhalten zunächst exakt 1 TRX, bevor weitere Gelder fließen. Das deute auf einen automatisierten Prozess hin.

Binance ist nicht die einzige Börse, die Nordkorea ins Visier nimmt. Nach Bybit und Bitget traf es zuletzt auch Mercado Bitcoin, Brasiliens größte Kryptobörse. Binance selbst hat nach eigenen Angaben heuer bereits 57 mutmaßlich nordkoreanische Angriffe erkannt und abgewehrt, von Fake-Jobinterviews über manipulierte Entwicklerwerkzeuge bis zu gefälschten Videokonferenz-Apps. „Wir haben viele davon abgefangen, aber schon ein einziger Fehlschlag hatte schwere Folgen“, sagte Co-CEO Yi He laut Financial Times.

Pjöngjang spricht von Provokation

Nordkorea weist die Vorwürfe zurück. Kim Yo Jong, Schwester von Machthaber Kim Jong Un, bezeichnete die Zuschreibung durch das FBI in einer über die Staatsagentur KCNA verbreiteten Erklärung als „schwere politische Provokation“. Washington versuche, die internationale Öffentlichkeit zu täuschen, indem es Cyberverbrechen weltweit Nordkorea anlaste. Laut Decrypt deutete sie sogar an, die USA könnten selbst hinter dem Diebstahl stecken, und verwies auf die Pläne der Trump-Regierung, beschlagnahmte Kryptowährungen in einer strategischen Reserve zu halten. Wer am Ende die angeblich gestohlenen Coins besitze, werde zeigen, wer verantwortlich sei. Nordkorea hat bereits frühere Hacking-Vorwürfe stets bestritten.

Was Binance jetzt ändert

Binance hat das betroffene Wallet-System in einer neuen Umgebung neu aufgebaut, das interne KI-Tool samt Zugriffsrechten erneuert, alle betroffenen Geräte ausgetauscht und Zugangsdaten gesperrt. Dazu kommen strengere Gerätekontrollen und eine ausgebaute KI-gestützte Erkennung von Verhaltensanomalien. Externe Sicherheitsfirmen sollen die Ergebnisse unabhängig prüfen. Außerdem plant Binance einen Fonds für Sicherheitsforschung sowie Initiativen mit KI-Unternehmen zur Absicherung von KI in Blockchain-Umgebungen. Manche technische Details will die Börse bewusst geheim halten, damit Angreifer:innen sie nicht für künftige Attacken nutzen können.