Binance hat nach eigenen Angaben 2026 insgesamt 57 mutmaßlich mit Nordkorea verbundene Cyberangriffe erkannt und abgewehrt. Ein fingiertes Bewerbungsgespräch ermöglichte Angreifern dennoch, Malware auf dem Rechner eines Entwicklers einzuschleusen und bis zur Infrastruktur für die Signierung von Wallet-Transaktionen vorzudringen. In einem am 3. November veröffentlichten Sicherheitsbericht schilderte die Kryptobörse den Vorfall. Am 31. Oktober hatte das FBI einen Kryptodiebstahl vom 29. Oktober im Umfang von rund 6,34 Milliarden US-Dollar der nordkoreanischen Gruppe TraderTraitor zugeschrieben. Der Fall zeigt, wie Bewerbungsverfahren und Entwicklungsumgebungen als Einfallstore für Angriffe auf Kryptoplattformen dienen können – auch wenn andere Bedrohungen abgewehrt werden.
Manipulierter Installer führte zu Wallet-Systemen
Die frühesten damit in Verbindung gebrachten Aktivitäten datiert Binance auf Juni. Damals lud ein für die Wallet-Infrastruktur zuständiger Entwickler bei der Einrichtung eines verbreiteten KI-Programmierwerkzeugs einen manipulierten Homebrew-Installer herunter. Nachdem das Sicherheitsteam ungewöhnliche Aktivitäten festgestellt hatte, tauschte Binance das Gerät des Mitarbeiters aus und erneuerte die betroffenen Zugangsdaten. Zu diesem Zeitpunkt hatten die Angreifer jedoch bereits Informationen über dessen Aufgabenbereich und Kollegen erlangt.
Im September nahmen sie über eine seriöse Recruiting-Plattform Kontakt zu einem weiteren Softwareentwickler auf. Dabei gaben sie sich als Projektleitung eines erfundenen Unternehmens aus. Eine Person, die sich als Personalverantwortliche vorstellte, führte anschließend ein Videointerview in Echtzeit. Um glaubwürdig zu wirken, teilte sie Social-Media-Konten mit persönlichen Fotos und Videos. Bei einem zweiten Gespräch trat eine weitere Person als CEO des angeblichen Unternehmens auf.
Gegen Ende des Bewerbungsverfahrens sollte der Entwickler einen Programmier-Test auf seinem Arbeitsrechner herunterladen. Das Repository wirkte wie ein gewöhnliches Entwicklungsprojekt. Bei der Installation wurde jedoch Malware ausgeführt, die Komponenten legitimer Entwicklungswerkzeuge ersetzte und eine Verbindung zu einem von den Angreifern kontrollierten Server herstellte. Binance zufolge entging die zuvor unbekannte Schadsoftware der Endpoint-Sicherheitssoftware und verschleierte Spuren des Eindringens.
Bis zum 20. Oktober hatten die Angreifer über den kompromittierten Rechner und ein internes KI-Werkzeug auch zwei Geräte von Entwicklern unter ihre Kontrolle gebracht, darunter das des im Juni ins Visier genommenen Mitarbeiters. Anschließend erlangten sie ein Token für die Bereitstellung von Containern. Neun Tage später nutzten sie gestohlene Zugangsdaten, um einen schädlichen Container einzuspielen und auf die Infrastruktur zur Wallet-Signierung zuzugreifen.
Binance erklärte, die Angreifer hätten die üblichen Auszahlungsverfahren umgangen und nicht autorisierte Transfers von Vermögenswerten über mehrere Blockchain-Netzwerke veranlasst. Wie viele der 57 abgewehrten Bedrohungen fingierte Bewerbungsgespräche betrafen oder ob weitere Fälle direkt mit den Angreifern des Oktober-Vorfalls verbunden waren, legte das Unternehmen nicht offen.
Binance tauscht Geräte aus und erneuert Zugangsdaten
Die Binance-Co-CEO He Yi sagte, die Sicherheitsteams des Unternehmens hätten 2026 insgesamt 57 mutmaßlich mit Nordkorea verbundene Cyberbedrohungen erkannt und gestoppt. Zu den beobachteten Methoden zählten fingierte Bewerbungsgespräche, als verbreitete Entwicklerwerkzeuge getarnte Malware, manipulierte Softwarepakete und Browser-Erweiterungen, gefälschte Videokonferenz-Apps sowie Social Engineering zum Diebstahl von Zugangsdaten oder zur Installation von Fernzugriffssoftware. He Yi räumte ein, dass trotz der Abwehr zahlreicher Angriffe einer durchgekommen sei und schwerwiegende Folgen gehabt habe. Das hätte nicht passieren dürfen.
Nach dem Vorfall ersetzte Binance die Geräte betroffener Mitarbeiter, sperrte offengelegte Zugangsdaten und baute die betroffene Wallet-Infrastruktur neu auf. Außerdem will das Unternehmen den Schutz von Entwicklungsumgebungen verstärken und die KI-gestützte Verhaltensüberwachung ausweiten. Wie diese Maßnahmen gezielt das in diesem Fall genutzte Bewerbungsverfahren absichern sollen, erläuterte Binance im Bericht nicht.
Bewerbungsgespräche als Einfallstor für Entwickler
Das Vorgehen ähnelt Taktiken, die Sicherheitsforscher und US-Behörden seit Jahren beobachten. Im September 2024 warnte das FBI, nordkoreanische Hacker nutzten maßgeschneiderte Jobangebote, sorgfältig aufgebaute falsche Identitäten und anhaltenden Kontakt, um in Kryptounternehmen einzudringen. Auch technisch versierte Beschäftigte könnten mit Betrugsversuchen angegriffen werden, die auf ihren beruflichen Hintergrund zugeschnitten seien.
Im Juni 2026 dokumentierten Forscher von Kudelski Security eine Operation namens „Contagious Interview“. Dabei gaben sich Angreifer auf LinkedIn, WhatsApp und Discord als Recruiter aus und überzeugten Entwickler anschließend, schädlichen Code auszuführen. Im September identifizierten Forscher von Atlassian gefälschte technische Tests auf etablierten Entwicklungsplattformen. Die schädlichen Anweisungen waren in Projekten verborgen, die auf den ersten Blick legitim erschienen.
Die Fälle verdeutlichen, wie Angreifer über Bewerbungsverfahren und Entwicklerwerkzeuge zunächst Vertrauen aufbauen und danach ihren Zugriff auf Unternehmenssysteme ausweiten. Binance zufolge konnten die Angreifer trotz der Infektion eines Geräts im Juni später über Kontakte unter Mitarbeitern und interne Werkzeuge weitere Zugänge erlangen. Das Unternehmen hat weder aufgeschlüsselt, worauf sich die 57 abgewehrten Bedrohungen verteilten, noch offengelegt, welche Schutzmaßnahmen in diesem Fall versagten. Bestätigt ist, dass die Angreifer bis zur Wallet-Signierungsinfrastruktur vordrangen und nicht autorisierte Transfers über mehrere Blockchain-Netzwerke auslösten.