Binance: Monatelange Kampagne nordkoreanischer Angreifer führte zu Diebstahl von 6,3 Milliarden Dollar

Binance-Chef Richard Teng sprach von einer „monatelangen Kampagne", die nicht das Ergebnis „eines Fehlers oder eines Einbruchs" gewesen sei. „Unsere laufende Untersuchung zeigt, dass es sich um eine ausgefeilte, mehrstufige Kampagne handelte. Es war kein einzelner isolierter Einbruch und kein einfacher Phishing-Vorfall", erklärte das Unternehmen. Die Angreifer hätten verschiedene Techniken kombiniert: Social Engineering über gefälschte Bewerbungsgespräche, den Download von Schadsoftware, kompromittierte interne KI-Werkzeuge, die Übernahme von Endgeräten sowie eine fortgeschrittene Methode zur Transaktionsautorisierung.

Den Ermittlern zufolge begann alles im Juni, als ein Entwickler bei der Installation eines verbreiteten KI-Programmierwerkzeugs Schadsoftware herunterlud. Das Sicherheitsteam von Binance entdeckte die Software und tauschte das Gerät aus, doch die Angreifer hatten bereits wichtige Informationen über den Entwickler und weitere Mitglieder des Entwicklerteams erlangt.

Im Lauf des Jahres 2026 hat Binance nach eigenen Angaben 57 gesonderte Versuche nordkoreanischer Akteure erkannt und gestoppt, in das Unternehmen einzudringen, Beschäftigte zu kompromittieren oder in Unternehmenssysteme einzubrechen. Dabei ging es um gefälschte Jobangebote, als Entwickler-Werkzeuge getarnte Schadsoftware, kompromittierte Browser-Erweiterungen, manipulierte Videokonferenz-Software und weitere Social-Engineering-Kampagnen.

Im September hatte eine dieser Kampagnen Erfolg: Ein Software-Entwickler wurde mit einem gefälschten Jobangebot kontaktiert und sollte während des zweiten Gesprächs eine Aufgabe herunterladen, die ein bösartiges Code-Repository enthielt. Dieser Download setzte die Angriffskette in Gang, verschaffte den Tätern Zugang zu Binance-Systemen und erlaubte ihnen, legitime Werkzeuge durch manipulierte zu ersetzen. Die Schadsoftware wurde von den Endpunktschutz-Werkzeugen des Unternehmens nicht erkannt; die Angreifer verwischten zudem Spuren der ursprünglichen Kompromittierung.

Ab dem 20. Oktober bewegten sich die Angreifer seitlich im Netz und übernahmen vom Gerät des Entwicklers aus zwei weitere Geräte. Am 29. Oktober erlangten sie Zugriff auf kritische Werkzeuge für Krypto-Wallets und lösten mit Zugangsdaten der kompromittierten Beschäftigten den eigentlichen Angriff aus.

Für die ersten Transaktionen nutzten die Täter laut Binance einen internen Signaturdienst für Wallets; dabei flossen knapp 400 Millionen Dollar in verschiedenen Kryptowährungen ab. Das Unternehmen wurde auf die großen Überweisungen aufmerksam und leitete eine Untersuchung ein, doch dann verließen Bitcoin im Wert von 1,4 Milliarden Dollar die Plattform. Über weitere Mechanismen führten die Angreifer 50 zusätzliche Transaktionen aus, mit denen die Gesamtsumme von 6,34 Milliarden Dollar erbeutet wurde.

Binance stimmte sich rasch mit anderen Plattformen ab und ließ rund 2,85 Milliarden Dollar an Vermögenswerten einfrieren; außerdem wurden Auszahlungen ausgesetzt. Den Abfluss weiterer Millionenbeträge konnte das Unternehmen jedoch nicht verhindern. Wertvolle Zeit ging nach eigener Darstellung verloren, weil erst im laufenden Vorfall spezielle Verfahren entwickelt werden mussten, um Zugänge und Autorisierungen zu entziehen.

„Wir haben sofort Maßnahmen ergriffen, um den Vorfall einzudämmen und die betroffenen Systeme zu härten. Die identifizierten Einstiegspunkte, die bei dem Angriff genutzt wurden, sind geschlossen", teilte Binance mit. Systeme im Angriffspfad seien neu aufgebaut oder ersetzt worden, dazu kämen strengere Gerätekontrollen, verbesserte Risikokontrollen im Wallet-Dienst und eine ausgeweitete KI-gestützte Erkennung von Verhaltensanomalien. Alle kompromittierten Geräte und Wallets wurden ausgetauscht, die im Angriff verwendeten Zugangsdaten außer Betrieb genommen. Zusätzlich beauftragte das Unternehmen eine Sicherheitsfirma mit einer Überprüfung des Vorfalls, die die eigenen Erkenntnisse validieren und weitere Maßnahmen empfehlen soll.

Die beschriebene Vorgehensweise ähnelt Dutzenden Angriffen, die nordkoreanische Akteure in den vergangenen fünf Jahren ausgeführt haben. Mehrere Kryptounternehmen nannten mit Schadsoftware infizierte Laptops als Ursache von Einbrüchen; Google und andere Sicherheitsfirmen warnten vor nordkoreanischen Kampagnen, die über gefälschte Bewerbungsgespräche und Tests Zugang zu Blockchain-Firmen suchen. In diesem Jahr stahlen mutmaßlich nordkoreanische Gruppen 290 Millionen Dollar von der Kryptoplattform Drift – ebenfalls in einer ausgefeilten Operation mit Scheinfirmen und vorgeblichen Akteuren.

Am Wochenende hatten das FBI und weitere US-Behörden den Diebstahl TraderTraitor zugeschrieben, einer staatlich unterstützten Gruppe, die seit Jahren einträgliche Angriffe auf Kryptobörsen und -plattformen verfeinert. Die nordkoreanische Sprecherin Kim Yo Jong wies die Verantwortung ihres Landes am Montag zurück und bezeichnete die Zuschreibung als „absurden" Versuch, „das internationale Ansehen der DVRK zu beschädigen". Es sei „die beständige politische Haltung der Regierung der DVRK, allen Arten bösartiger Handlungen im Cyberraum, dem gemeinsamen Reichtum der Menschheit, entschieden entgegenzutreten und jeden Versuch entschieden zurückzuweisen, die Cyberfrage zu politisieren und als Mittel der Einmischung in die inneren Angelegenheiten anderer Länder zu nutzen". Zugleich warf sie den USA die Beschlagnahme „illegal gestohlener Kryptowerte" vor – offenbar mit Blick auf die Sicherstellung von Bitcoin im Wert von 15 Milliarden Dollar durch das US-Justizministerium. Die Konten sollen mit dem Vorsitzenden eines bekannten kambodschanischen Konglomerats verbunden sein, der angeklagt wurde, weil sein Unternehmen hinter einem weitverzweigten Betrugsimperium stehen soll.

Blockchain-Sicherheitsfirmen wie Elliptic berichten, die Angreifer hätten rund 12.000 Wallets auf elf Blockchains für etwa 40.000 Transaktionen genutzt und die Mittel alle 25 Sekunden in eine neue Wallet verschoben. Ermittler der Vereinten Nationen und mehrerer Staaten führen Diebstähle in Milliardenhöhe bei Kryptounternehmen seit 2017 auf Nordkorea zurück; ein großer Teil des Geldes fließe in das sanktionierte Programm für ballistische Raketen.