Binance-Co-CEO Richard Teng zufolge drangen Angreifer über gefälschte Bewerbungsgespräche, manipulierte Entwickler-Tools, Schadsoftware und interne KI-Anwendungen in die Systeme der Kryptobörse ein. Am 29. Oktober stahlen sie Vermögenswerte im Wert von 6,34 Milliarden US-Dollar aus der Wallet-Infrastruktur. Binance hat nach eigenen Angaben 98 Prozent davon zurückgeholt; die noch fehlenden Bestände, insbesondere weniger liquide Token, sollen ersetzt werden.
Der Vorfall rückt die Freigabe von Wallet-Transaktionen, die Sicherheit von Mitarbeitergeräten und die Zugriffsrechte für interne Tools bei zentralisierten Kryptobörsen in den Fokus. Binance hat die betroffenen Wallet-Systeme und internen KI-Tools neu aufgesetzt. Unabhängige Experten sollen die Reaktion der Börse überprüfen.
Binance datiert die Vorbereitungen auf Juni zurück
In einem am Dienstag veröffentlichten Sicherheitsbericht erklärte Binance, dass die Angreifer möglicherweise bereits im Juni mit den Vorbereitungen begannen. Ein Ingenieur aus dem DevOps-Team von Binance Wallet suchte im Internet nach einem verbreiteten KI-Programmierwerkzeug und lud einen manipulierten Homebrew-Installer herunter.
Nachdem Binance verdächtige Aktivitäten festgestellt hatte, tauschte die Börse vorsorglich das Gerät des Mitarbeiters aus und erneuerte die zugehörigen Zugangsdaten. Dem Bericht zufolge hatten die Angreifer zuvor jedoch bereits Informationen über dessen Rolle und Kollegen im Wallet-Infrastrukturteam gesammelt.
Teng sagte, die Angreifer hätten über Monate hinweg Zugänge aufgebaut. Er wies die Darstellung zurück, der Vorfall lasse sich auf einen einzelnen Fehler mit dem Laptop eines Mitarbeiters reduzieren: Im September sei auch ein weiterer Ingenieur ins Visier geraten.
Gefälschte Bewerbungsgespräche schleusten Schadcode ein
Im September gaben sich die Angreifer laut Teng als Personalvermittler aus und führten mehrere Bewerbungsgespräche mit einem Ingenieur. Im Zuge des Verfahrens erhielt dieser eine Programmieraufgabe, die Schadsoftware enthielt, mit der sich Sicherheitsvorkehrungen umgehen ließen. Anschließend nutzten die Angreifer interne KI-Tools von Binance, um ihre Aktivitäten auszuweiten. So erhielten sie Zugriff, mit dem sie das Freigabesystem für Wallet-Transaktionen umgehen konnten.
Der Ablauf deutet darauf hin, dass nicht nur ein einzelnes kompromittiertes Gerät eine Rolle spielte. Die Angreifer kombinierten persönlichen Kontakt, die Installation von Software und den Zugriff auf interne Systeme. Binance deaktivierte nach eigenen Angaben betroffene Geräte und widerrief die zugehörigen Zugangsdaten und Tokens der beteiligten Ingenieure. Zudem weitete die Börse Sicherheitsprüfungen auf Mitarbeitergeräte aus.
98 Prozent der Vermögenswerte zurückgeholt
Binance gibt an, 98 Prozent der betroffenen Vermögenswerte zurückgewonnen zu haben. Die Börse kauft noch nicht ersetzte Bestände nach, darunter weniger liquide Token. Nach dem Vorfall schränkte die Plattform vorübergehend bestimmte Auszahlungen ein, sagte zu, Kundenverluste zu tragen, und füllte die betroffenen Bestände aus eigenen Rücklagen wieder auf.
Unternehmen der Branche, darunter Tether, Circle und Ripple, arbeiteten mit Binance und weiteren Beteiligten daran, Vermögenswerte im Wert von rund 3 Milliarden US-Dollar einzufrieren. Ein Teil der gestohlenen Mittel wurde dennoch über Geldwäschekanäle weiterbewegt. Coinbase erklärte, Transfers an betroffene Wallets blockiert und Binance direkt unterstützt zu haben.
Teng machte Nordkorea nicht direkt für den Angriff verantwortlich. Er bestätigte jedoch, dass das FBI den Vorfall mit nordkoreanischen Hackern und der Gruppe TraderTraitor in Verbindung gebracht habe. Die Zuordnung ist weiterhin Gegenstand der Ermittlungen. Binance arbeitet nach eigenen Angaben mit Strafverfolgungsbehörden und Branchenpartnern daran, die gestohlenen Mittel aufzuspüren und einzufrieren.
Unabhängige Prüfung der Reaktion geplant
Binance will unabhängige Experten mit der Überprüfung seines Umgangs mit dem Vorfall beauftragen. Während die Ermittlungen weiterlaufen, werde die Börse ihre Schutzmaßnahmen verstärken. Die betroffenen Wallet-Systeme und internen KI-Tools seien neu aufgesetzt, Geräte ersetzt sowie relevante Zugangsdaten und Tokens widerrufen worden. Auch die Sicherheitsprüfungen auf Mitarbeitergeräten wurden ausgeweitet.
Der Angriff stellte das Vertrauen in zentralisierte Kryptobörsen kurzzeitig auf die Probe. Binance erklärte, die finanzielle Lage des Unternehmens sei weiterhin solide. Im Mittelpunkt stünden nun die Suche nach Schwachstellen, die Rückholung der restlichen Vermögenswerte und die Verhinderung eines ähnlichen Vorfalls. Für Nutzer und Marktteilnehmer sind dabei vor allem der Verbleib der noch fehlenden Mittel und die Ergebnisse der unabhängigen Prüfung relevant.