Sicherheit · 8. November 2026
Binance meldet Cyberangriff mit Verlusten von 6,34 Milliarden Dollar
Die Kryptobörse Binance hat einen Bericht über einen erfolgreichen Cyberangriff veröffentlicht, bei dem Angreifer Vermögenswerte im Wert von 6,34 Milliarden US-Dollar entwendeten. Der Vorfall ereignete sich am 29. Oktober 2026 und betraf die interne Infrastruktur der Plattform.
Laut dem Bericht begann die Vorbereitung der Attacke bereits im Juni 2026. Ein DevOps-Ingenieur, der mit der Infrastruktur für Kryptowallets arbeitete, lud einen gefälschten Installer für Homebrew herunter, um ein beliebtes KI-Programmierungstool zu installieren. Die Sicherheitsabteilung entdeckte die Infektion zwar schnell und ersetzte den Laptop sowie die Zugangsdaten des Mitarbeiters, doch die Angreifer hatten bereits Informationen über ihn und seine Kollegen gesammelt.
Im September 2026 startete die nächste Phase. Die Täter kontaktierten einen weiteren Ingenieur über eine legitime Jobplattform und luden ihn zu einem Vorstellungsgespräch bei einer fiktiven Firma ein. Ein gefälschter Personalverantwortlicher baute zunächst Vertrauen auf, gefolgt von einem zweiten Gespräch mit einem angeblichen Geschäftsführer. Am Ende des Gesprächs wurde der Ingenieur aufgefordert, eine Testaufgabe aus einem Repository herunterzuladen. Beim Einrichten dieses Projekts auf seinem Arbeits-Mac startete eine Schadsoftware, die von den Sicherheitslösungen nicht erkannt wurde. Der Schädling ersetzte eine legitime ausführbare Datei in der Homebrew-Verzeichnisstruktur, änderte einen symbolischen Link und startete eine zsh-Shell, die mit den Servern der Angreifer kommunizierte. Die Malware versteckte ihre Aktivitäten und löschte Spuren der Kompromittierung.
Am 20. Oktober nutzten die Angreifer den infizierten Laptop und ein internes KI-Tool von Binance, um auf die Rechner zweier weiterer Ingenieure zuzugreifen. Auf einem dieser Geräte fanden sie einen Token mit Rechten für das Bereitstellen von Containern. Neun Tage später, am 29. Oktober, verwendeten die Angreifer die gestohlenen Zugangsdaten, um auf den Computer des kompromittierten Mitarbeiters zuzugreifen. Sie bereiteten einen Container vor und starteten ein schädliches Skript. Dadurch erlangten sie Zugriff auf den internen Dienst für die Transaktionssignierung und konnten Gelder umgehen der regulären Auszahlungssysteme transferieren.
Zusätzlich missbrauchten die Angreifer den Mechanismus Ethereum EIP-7702. Sie sendeten 50 Transaktionen, um schädliche delegierte Berechtigungen einzurichten. Dadurch konnte ein von den Hackern kontrollierter Smart Contract die Auszahlung von Vermögenswerten fortsetzen, auch nachdem Binance die Operationen pausiert hatte.
Das FBI bestätigte später, dass die Attacke mit nordkoreanischen Hackern der Gruppe TraderTraitor in Verbindung stand, deren Aktivität Forscher auch mit Lazarus Group, Jade Sleet und APT38 in Zusammenhang bringen. Bis zum 3. November gelang es den Spezialisten der Börse, gestohlene Vermögenswerte in Höhe von etwa 2,85 Milliarden US-Dollar einzufrieren oder zu interceptieren. Nach dem Angriff wurde die betroffene Wallet-Infrastruktur und das interne KI-Tool umgebaut, kompromittierte Geräte wurden ersetzt und alle damit verbundenen Zugangsdaten und Tokens widerrufen. Die Ermittlungen zum Vorfall laufen weiterhin und unabhängige Sicherheitsexperten wurden hinzugezogen.