Binance: Hack begann mit gefälschtem Vorstellungsgespräch

Der Angriff, der Binance am 29. Oktober 6,34 Milliarden Dollar gekostet hat, war laut der Börse monatelang vorbereitet. In ihrem ersten Untersuchungsbericht vom Dienstag beschreibt sie eine Kette aus einem manipulierten Installationspaket, einem gefälschten Vorstellungsgespräch und einem internen KI-Werkzeug. Manche technischen Einzelheiten hält Binance nach eigenen Angaben bewusst zurück.

“This should not have happened, and we apologise for the concern, disruption and uncertainty it caused our users, partners and the wider industry”, schreibt Binance im Bericht vom 3. November. Der Vorfall hätte also nicht passieren dürfen, die Börse entschuldigt sich bei Nutzern und Partnern. Bisher war vor allem bekannt, wie die Coins abflossen. Jetzt beschreibt Binance, wie der Angreifer überhaupt in die Systeme kam.

Ein Entwickler holte sich im Juni ein manipuliertes Paket

Der Weg beginnt im Juni 2026. Ein Ingenieur aus dem Wallet-Team wollte ein verbreitetes KI-Programmierwerkzeug installieren und lud dafür eine manipulierte Homebrew-Installation herunter, also eine veränderte Fassung eines unter Entwicklern üblichen Paketverwalters für macOS. Binance bemerkte die Auffälligkeit, tauschte das Gerät aus und erneuerte die Zugangsdaten. Das Team des Ingenieurs blieb nach Darstellung der Börse trotzdem im Blick der Angreifer.

Im September folgte der zweite Zugang. Ein Softwareentwickler wurde über eine Jobplattform angesprochen und zu mehreren Vorstellungsgesprächen eingeladen, nach Angaben von CoinDesk zunächst per Video mit einem angeblichen Personalverantwortlichen, dann mit einem angeblichen Firmenchef. Am Ende sollte er eine “Aufgabe” herunterladen. Darin steckte ein Code-Verzeichnis, das einen Bestandteil des Python-Werkzeugs pyenv durch eine Schadversion ersetzte; die Sicherheitssoftware auf dem Rechner schlug damals nicht an.

Am 20. Oktober nutzte der Angreifer von diesem Rechner aus ein internes KI-Werkzeug von Binance und übernahm damit die Konten von zwei weiteren Ingenieuren, darunter ein Token für Software-Auslieferungen. Welches Werkzeug das war, sagt Binance nicht.

Am 29. Oktober zwischen 17:15 und 19:56 Uhr UTC meldete er sich am Rechner eines dritten Entwicklers an, startete mit den erbeuteten Zugangsdaten einen Container und darin ein Skript. Um 20:05 Uhr UTC verließen die ersten Coins die Hot Wallets. Allein zwischen 20:05 und 20:09 Uhr gingen nach dem Bericht 233,46 Millionen XRP aus fünf Hot Wallets an eine Adresse des Angreifers.

Die eigentliche Plünderung dauerte knapp vier Stunden.

Binance verweist auf Nordkorea und trägt den Schaden selbst

Wie der Angreifer eine Hot Wallet über die Ethereum-Funktion EIP-7702 an den Freigaben vorbei leerte, haben wir im Erklärstück zum Hack beschrieben. Der Bericht bestätigt den Ablauf: Weil die Wallet mit Mehrparteien-Signaturen arbeitete, konnte kein einzelner Schlüssel die Delegation zurücknehmen, und das Aussetzen der Auszahlungen allein stoppte die Abflüsse nicht. Die letzte Überweisung von 2.961,9 Ether wurde um 23:56 Uhr UTC endgültig, um 00:10 Uhr am 30. Oktober löschte Binance den Delegationscode.

Das FBI hat den Angriff Nordkorea zugeschrieben, auf diese Zuordnung des FBI verweist auch Binance. Konzernchef Richard Teng sagte nach Angaben von CoinDesk vor Journalisten, der Angriff “was a campaign, built over many months”, sei also über viele Monate aufgebaut worden.

Die Börse schreibt, sie habe 2026 bereits 57 mutmaßlich nordkoreanische Versuche erkannt und abgewehrt. Die Summe bleibt bei rund 6,34 Milliarden Dollar betroffener Coins, davon sind etwa 2,85 Milliarden eingefroren oder abgefangen. Bis zum 31. Oktober hatte Binance nach eigenen Angaben 98 Prozent der betroffenen Token aus Firmenmitteln ersetzt. “Binance will absorb the financial impact of the stolen funds, not our users”, heißt es im Bericht: Den Schaden trage die Börse, nicht ihre Kunden.

Das Wallet-System und das interne KI-Werkzeug hat Binance nach eigener Darstellung neu aufgebaut, betroffene Geräte ersetzt und alle Mitarbeiterrechner zusätzlich durchsucht; eine unabhängige Sicherheitsprüfung soll folgen. Für Kunden im deutschsprachigen Raum ändert der Bericht nichts an Guthaben oder Auszahlungen, er zeigt aber, wo der Angriff ansetzte: nicht an der Blockchain, sondern an den Arbeitsrechnern von Entwicklern.

Wann die angekündigte externe Prüfung beginnt und ob ihr Ergebnis veröffentlicht wird, steht nicht im Bericht.