Von diesem Ausgangspunkt aus nutzten die Angreifer weitere Kompromittierungspunkte sowie einen Mechanismus zur Konto-Delegation in Ethereum, um Befugnisse zur Transaktionsfreigabe über eine Hot Wallet zu erlangen. Innerhalb von etwa 20 Minuten zogen sie Vermögenswerte in Milliardenhöhe ab. Dabei umgingen sie offenbar die regulären Freigabekontrollen von Binance. Das Unternehmen erklärte, es gebe keine Hinweise darauf, dass die Täter durchgesickerte Wallet-Schlüssel verwendet hätten.

„Die ersten Erkenntnisse von Binance deuteten auf einen kompromittierten Laptop eines Mitarbeiters als Ausgangspunkt hin. Die anschließende Untersuchung hat weitere Einbruchspunkte identifiziert, was zeigt, dass der Vorfall über ein einzelnes Gerät hinausging", teilte die Kryptobörse mit.

Nach dem Angriff ließ Binance rasch rund drei Milliarden Dollar einfrieren. Zudem gibt das Unternehmen an, etwa 95 Prozent der betroffenen Vermögenswerte ersetzt zu haben — ersetzt, nicht wiederbeschafft: Binance hat dafür eigene Mittel eingesetzt. Wie genau die unautorisierten Transaktionen zustande kamen und welche Schutzmechanismen dagegen vorhanden waren, ist weiterhin weitgehend unklar.

Fehlende unabhängige Schutzschichten?

Der Vorfall wirft nach den bislang verfügbaren Details die Frage auf, ob Binance über ausreichend voneinander unabhängige Sicherungen verfügte, um zu verhindern, dass ein kompromittiertes System unautorisierte Auszahlungen freigibt und ausführt.

„Eine Plattform, die digitale Vermögenswerte hält, sollte mindestens mehrere Sicherheitsschichten haben, damit keine einzelne Kompromittierung — etwa ein gehackter Mitarbeiterlaptop — eine Überweisung autorisieren kann", sagt Tim Rawlins, Senior Adviser und Director of Security bei NCC Group. „Diese Schichten müssen voneinander unabhängig sein."

Mittel sollten laut Rawlins auf Hot und Cold Wallets verteilt werden, um die Folgen einer Kompromittierung zu begrenzen. Entwickler und Administratoren bräuchten dedizierte Privileged Access Workstations, damit Systeme für kritische Operationen von jenen für E-Mail oder Web-Browsing getrennt sind. Entscheidend sei zudem eine Rund-um-die-Uhr-Überwachung auf anomales Verhalten, um kompromittierte Endpunkte und verdächtige Aktivitäten zu erkennen, bevor Angreifer privilegierte Zugänge ausnutzen.

Der Fokus müsse auf der Identifikation einzelner Kompromittierungspunkte liegen — also Komponenten oder privilegierter Rollen, deren Übernahme einem Angreifer die Kontrolle über Gelder verschaffen kann. „Der Schutz privater Schlüssel ist nur ein Teil der Aufgabe. Auch die Systeme, die ihre Nutzung anfordern und freigeben, müssen abgesichert sein. Ein ordentlich abgesichertes System hat geschichtete, unabhängige Kontrollen, eine Trennung von Hot und Cold Wallets und hat Threat Modelling sowie Ende-zu-Ende-Sicherheitstests durchlaufen", so Rawlins.

Kryptobörsen sehen sich vielen derselben Bedrohungen gegenüber wie klassische Finanzinstitute. Anders als Banken, die seit Langem Regulierungen zu operationellen Risiken und Sicherheit unterliegen, standen Kryptobörsen bislang nicht unter vergleichbarer Aufsicht — was sie zu einem beliebten Ziel für Angreifer macht.

John Bruggeman, vCISO beim IT-Dienstleister CBTS, sagt, große Kryptobörsen wie Binance müssten davon ausgehen, dass sie permanent im Visier von Angreifern stehen. Neben Kontrollen, die den Perimeter schützen oder Nutzer authentifizieren, müssten diese Unternehmen auch wissen, was vertrauenswürdige Identitäten und Systeme tun dürfen, wirkungsstarke Aktionen verifizieren und verhindern, dass eine kompromittierte Komponente zum Pfad zu wertvollen Assets wird.

Konkret nennt Bruggeman:

  • Funktionstrennung, sodass kein einzelner Nutzer eine Überweisung sowohl anstoßen als auch abschließen kann
  • Verwaltung der privaten Schlüssel, die Überweisungen autorisieren
  • Obergrenzen für Transfervolumen
  • MFA bei der Nutzung des privaten Schlüssels samt Überwachung
  • Alarmierung bei großen Transfers
  • Endpoint Detection auf allen Mitarbeitergeräten
  • Verhaltensanalyse für alle Nutzer
  • Custody-Mechanismen für Kryptowährungen und Wallets, Transaktionskontrollen und Rate Limits für Auszahlungen sowie Identitäts- und Zugriffskontrollen

Angriffspfade testen, nicht Einzelkontrollen

Der Fall sei eine Erinnerung daran, dass Organisationen den Pfad testen müssten, den Angreifer nach einem Erstzugriff nehmen können, statt anzunehmen, einzelne korrekt funktionierende Kontrollen seien ausreichender Schutz, so die befragten Fachleute. „Einstiegspunkt und Schaden können sehr weit auseinanderliegen — hören Sie also auf, Ihre Sicherheit danach zu bewerten, wie gut die Haustür hält", sagt Waseem Ahmed, Head of Engineering bei Secure.com.

Der traditionelle Ansatz prüfe, ob eine Anfrage gültig sei, fast nie aber, ob die dahinterliegende Aktion überhaupt stattfinden sollte. Verfügbare Informationen deuteten darauf hin, dass die Angreifer das eigene Signiersystem von Binance nutzten, um die Transfers zu signieren — nach außen wirkten sie damit gültig. „Richtige Mathematik, falsche Entscheidung", sagt Ahmed.

Sicherheit müsse sich vom Nachweis der Identität hin zur Steuerung von Konsequenzen entwickeln. Das bedeute eine menschliche Freigabestufe vor jeder Aktion, die Geld oder Daten bewegt, mit Limits, die systemübergreifend zählen. „Und testen Sie die gesamte Strecke vom Laptop bis zur Auszahlung, nicht jede Box für sich", rät Ahmed.

Das Szenario lasse sich auf jedes Unternehmen übertragen: „Ersetzen Sie den Auszahlungsdienst durch ein Zahlungssystem, eine Kundendatenbank oder eine Deployment-Pipeline, und Sie haben einen ganz gewöhnlichen Unternehmenseinbruch", sagt er. „Ein sauberer Bericht aus jedem Werkzeug, das Sie besitzen, sagt nichts darüber aus, ob jemand vom Laptop bis zum Geld durchlaufen kann — weil kein einzelnes Werkzeug diese Frage gestellt bekommt."

Blast Radius begrenzen

Robert Coles, Senior Manager Threat Intelligence Security bei Black Duck, sieht die eigentliche Lehre weder in Kryptowährungen noch im Angriff auf Binance selbst, sondern im sogenannten Blast Radius — dem, was nach dem Ersteinbruch passiert. Es sei eine Sache, initialen Zugang zu erlangen, und eine völlig andere, daraus einen Diebstahl in Milliardenhöhe zu machen.

„Jede Organisation hat kritische Systeme und privilegierte Konten, bei denen eine Kompromittierung eine deutlich größere Wirkung hat", sagt Coles. „Wir verbringen viel Zeit mit der Frage, wie wir Angreifer draußen halten. Wir sollten genauso viel Zeit mit der Frage verbringen: Wenn sie doch hereinkommen, was hält sie dann auf?" Sicherheitsteams müssten davon ausgehen, dass irgendwann etwas kompromittiert werde, und dafür sorgen, dass eine einzelne Kompromittierung nicht zu einem katastrophalen Geschäftsereignis wird.

Der Binance-Vorfall ist dem Umfang nach der bislang größte, aber nicht der erste bei einer großen Kryptobörse. Im Februar 2025 verlor Bybit rund 1,5 Milliarden Dollar, nachdem Angreifer einen Transaktionsfreigabeprozess rund um eine Ethereum-Cold-Wallet manipuliert hatten. Im Mai 2019 verlor Binance selbst 7.000 Bitcoin, nachdem Angreifer API-Schlüssel und Zwei-Faktor-Codes von Nutzern erlangt und damit bestehende Sicherheitsprüfungen umgangen hatten. Im Oktober dieses Jahres kompromittierten Angreifer ein Drittanbieter-Skript auf der Website von Polymarket und bewegten darüber Gelder aus Nutzer-Wallets.

Nordkoreanische Akteure gehen besonders aggressiv gegen Kryptobörsen und Wallets vor: Auf sie entfallen 76 Prozent aller Gelder, die Händler im bisherigen Jahr 2026 als gestohlen gemeldet haben. In sechs der vergangenen neun Jahre gingen mindestens ein Drittel aller gemeldeten Kryptodiebstähle auf Gruppen aus dem finanzschwachen Land zurück.