Binance erklärt Milliardenhack über falsches Jobgespräch

Nach dem Abfluss von Kryptowährungen im Wert von 6,3 Milliarden Dollar hat Binance den mutmaßlichen Ablauf des Angriffs beschrieben. Die Kryptobörse sieht den Beginn der Attacke bereits im Juni. Nach Unternehmensangaben nutzten die Täter unter anderem manipulierte Software, ein kompromittiertes KI-Werkzeug und ein vorgetäuschtes Vorstellungsgespräch. Das FBI und private Analysefirmen machen nordkoreanische Staatsakteure verantwortlich; die Führung in Pjöngjang weist die Vorwürfe zurück.

Angriff begann Monate vor dem Diebstahl

Binance schildert den Vorfall als über längere Zeit aufgebaute Operation gegen die eigene Technik. Im Juni habe ein Entwickler aus dem Bereich der digitalen Geldbörse eine manipulierte Anwendung heruntergeladen. Das Unternehmen bemerkte demnach zwar eine Auffälligkeit und änderte die Zugangsdaten des Mitarbeiters. Den Angreifern sei es aber gelungen, seine Identität und die Identitäten mehrerer Kolleginnen und Kollegen zu ermitteln.

Im September kam nach Angaben von Binance ein weiterer Zugriff hinzu. Ein zweiter Softwareentwickler habe sich auf Jobsuche befunden und an einem virtuellen Gespräch teilgenommen. Sein Gegenüber habe sich als Chef eines erfundenen Unternehmens ausgegeben. In diesem Zusammenhang habe der Entwickler eine weitere Schadsoftware auf seinen Rechner geladen.

Über diesen Computer und ein KI-Tool sollen die Täter anschließend Zugriff auf Systeme eines Wallet-Entwicklers und eines weiteren Mitarbeiters erlangt haben. Mithilfe des kompromittierten Rechners und entwendeter Passwörter platzierten sie demnach ein bösartiges Skript. Dieses Skript führte schließlich den Angriff aus, bei dem in der vergangenen Woche Kryptowährungen im Umfang von 6,3 Milliarden Dollar abgezogen wurden.

Binance räumt Fehler ein

Das Unternehmen entschuldigte sich für die Folgen des Vorfalls. Binance erklärte, der Angriff habe Nutzerinnen und Nutzer, Geschäftspartner und die Branche insgesamt verunsichert. Zugleich räumte die Plattform eigenes Versagen ein. In einer Stellungnahme hieß es: „Das hätte nicht passieren dürfen.“

Die Darstellung zeigt, dass die Täter offenbar nicht nur technische Schwachstellen suchten. Sie kombinierten mehrere Methoden, darunter soziale Manipulation, Schadsoftware und gestohlene Zugangsdaten. Besonders heikel ist der Einsatz eines falschen Jobkontakts, weil er private Karrierepläne eines Mitarbeiters als Einfallstor nutzte. Auch ein KI-Tool spielte nach Angaben des Unternehmens eine Rolle bei der Ausweitung des Zugriffs.

Binance ist eine der zentralen Plattformen im internationalen Kryptohandel. Ein Angriff dieser Größenordnung trifft daher nicht nur ein einzelnes Unternehmen, sondern kann das Vertrauen in Handelsplätze, Verwahrungssysteme und interne Sicherheitsprozesse der Branche belasten.

Spur führt nach Nordkorea

Nach Einschätzung des FBI und privater Analysefirmen stehen staatlich gelenkte Hacker aus Nordkorea hinter dem Angriff. Die nordkoreanische Führung bestreitet eine Beteiligung. Binance verweist zugleich auf frühere sicherheitsrelevante Erkenntnisse aus diesem Jahr: Das eigene Sicherheitsteam habe 2026 bereits 57 mögliche Cyberbedrohungen mit Bezug zu Nordkorea festgestellt.

Nordkorea wird international seit Jahren mit professionellen Cyberoperationen in Verbindung gebracht. Im aktuellen Fall steht nach den Angaben von Ermittlern und Analysefirmen besonders die Kombination aus langfristiger Vorbereitung und gezielter Ansprache einzelner Beschäftigter im Mittelpunkt. Die technische Spurensuche dürfte sich daher nicht nur auf die entwendeten Kryptowährungen richten, sondern auch auf die Frage, wie interne Zugänge über Monate hinweg ausgespäht und ausgenutzt werden konnten.

Für Kryptobörsen ist der Fall ein weiterer Hinweis darauf, dass klassische Sicherheitsmaßnahmen wie Passwortwechsel allein nicht ausreichen, wenn Angreifer Identitäten, Arbeitsabläufe und Kommunikationswege auskundschaften. Entscheidend wird nun sein, wie Binance die Schwachstellen in der eigenen Sicherheitsarchitektur bewertet und welche Konsequenzen daraus für den Schutz von Wallet-Systemen und Entwicklerzugängen folgen.