Binance-Hack: Gefälschte Jobinterviews als Einfallstor : Manipulierte Entwicklertools und ein internes KI-Werkzeug ermöglichten den Zugriff auf Wallets

Die Vorbereitungen für den Diebstahl bei Binance am 29. Oktober 2026 liefen bereits Monate zuvor. „Es handelte sich weder um einen einzelnen, isolierten Einbruch noch um einen einfachen Phishing-Vorfall“, erklärte das Unternehmen. „Die Angreifer kombinierten verschiedene Methoden: Sie täuschten Bewerbungsgespräche vor, verleiteten Mitarbeiter zum Herunterladen von Schadsoftware, missbrauchten kompromittierte interne KI-Werkzeuge, übernahmen Arbeitsplatzrechner und nutzten ein ausgefeiltes Verfahren zur Autorisierung von Transaktionen.“

Im Juni lud ein Mitarbeiter des Teams, das die digitalen Geldbörsen (Wallets) betreut, ein manipuliertes Installationsprogramm für Homebrew herunter. Dieses Werkzeug erleichtert die Installation von Software. Der Mitarbeiter wollte damit ein Programm für künstliche Intelligenz (KI) einrichten. Binance bemerkte den Angriff und ersetzte die betroffenen Zugangsdaten. Zu diesem Zeitpunkt hatten die Angreifer jedoch bereits erfahren, welche Aufgaben der Mitarbeiter übernahm und mit welchen Kollegen er zusammenarbeitete.

Gefälschte Jobinterviews schleusten Schadcode ein

Im September sprachen die Angreifer einen weiteren Entwickler über eine echte Jobplattform an. Einer gab sich als Projektleiter aus und organisierte zwei Bewerbungsgespräche: zunächst mit einer angeblichen Mitarbeiterin oder einem angeblichen Mitarbeiter der Personalabteilung, anschließend mit dem vermeintlichen Geschäftsführer einer erfundenen Firma. Im ersten Gespräch sollte ein Social-Media-Profil mit persönlichen Fotos und Videos Vertrauen wecken.

Zum Abschluss des zweiten Gesprächs sollte der Entwickler eine Programmieraufgabe auf seinen Arbeitsrechner herunterladen. Die dazugehörigen Projektdateien enthielten versteckten Schadcode, der bereits beim Einrichten des Projekts ausgeführt wurde. Die Schadsoftware ersetzte einen Bestandteil eines regulären Entwicklerwerkzeugs durch eine manipulierte Version. Darüber konnten die Angreifer Befehle ausführen und eine Verbindung zu ihrem Server herstellen. Außerdem löschten sie Spuren des Angriffs.

Die Falle nutzte einen üblichen Arbeitsschritt aus: Beim Einrichten eines Softwareprojekts können automatisch Befehle ausgeführt werden, die beispielsweise benötigte Zusatzprogramme installieren. Dadurch kann eingeschleuster Schadcode schon aktiv werden, bevor die eigentliche Programmierarbeit beginnt.

Gefälschte Installationswege nutzen das Vertrauen in bekannte Werkzeuge

Ein Beispiel für diese Täuschungsmasche beschreibt das Internet Storm Center (ISC): Eine Werbeanzeige in den Suchergebnissen lockte Nutzer auf eine gefälschte Seite des Softwarewerkzeugs Homebrew. Dort sollten sie einen Befehl kopieren und auf ihrem Rechner ausführen. Statt der erwarteten Software startete dadurch der Datendieb MacSync Stealer. Er sammelte Informationen vom Rechner und schickte sie an einen Server der Angreifer. Ob diese Schadsoftware auch bei Binance zum Einsatz kam, ist damit nicht belegt.

Auch wenn eine Downloadseite den Namen eines bekannten Werkzeugs trägt, kann sie gefälscht sein. Deshalb kommt es darauf an, woher das Installationsprogramm stammt und was ein kopierter Befehl auf dem Rechner ausführt.

Welche Rolle spielte das interne KI-Werkzeug?

Am 20. Oktober verschafften sich die Angreifer vom bereits infizierten Rechner aus Zugang zu zwei weiteren Entwicklerrechnern. Dabei nutzten sie ein internes KI-Werkzeug von Binance. Wie genau ihnen das gelang, ist öffentlich nicht bekannt. Daher bleibt auch offen, ob sie eine Schwachstelle des KI-Werkzeugs ausnutzten. Auf einem der Rechner fanden sie einen digitalen Zugangsnachweis, ein sogenanntes Berechtigungstoken. Damit durften sie einen Container auf einem Binance-System einrichten – eine abgeschirmte Umgebung, in der Programme ausgeführt werden können. Am 29. Oktober starteten sie darin ein schädliches Skript und verschafften sich Zugriff auf den internen Wallet-Signierdienst. Dieser Dienst versieht Kryptotransaktionen mit einer digitalen Unterschrift und gibt sie damit zur Ausführung frei. Über diesen Zugang konnten die Angreifer Überweisungen veranlassen, ohne den regulären Auszahlungsprozess von Binance zu durchlaufen.

Warum ein Auszahlungsstopp nicht genügte

Laut Binance missbrauchten die Täter zusätzlich den Ethereum Improvement Proposal 7702 (EIP-7702). Dieser Mechanismus erlaubt einem Konto, Ausführungsrechte an einen Smart Contract zu delegieren. Die schädlichen Berechtigungen bestanden auf der Blockchain weiter und mussten gesondert widerrufen werden. Ein interner Auszahlungsstopp hob sie nicht automatisch auf.

Binance betont: „Die Untersuchung dauert an.“ Damit stehen auch die bisherigen technischen Befunde unter dem Vorbehalt weiterer Prüfungen.

Welche Schutzmaßnahmen hat Binance umgesetzt?

Binance richtete das betroffene System zur Verwaltung der digitalen Geldbörsen in einer neuen Umgebung ein. Auch das interne KI-Werkzeug und die Regeln dafür, wer darauf zugreifen darf, wurden neu aufgesetzt. Bis zum 3. November meldete das Unternehmen außerdem folgende Maßnahmen:

• Betroffene Geräte ersetzt.
• Zugangsdaten und Berechtigungstoken der betroffenen Entwickler ungültig gemacht.
• Erweiterte Sicherheitsprüfungen aller Mitarbeitergeräte abgeschlossen.
• Die KI-gestützte Erkennung ungewöhnlicher Aktivitäten verbessert.
• Die Schutzmaßnahmen gegen unberechtigte Vorgänge bei den Wallet-Diensten verstärkt.
• Mit Strafverfolgungsbehörden, Blockchain-Analysefirmen und Branchenpartnern zusammengearbeitet, um gestohlene Vermögenswerte aufzuspüren und durch Einfrieren weitere Transfers zu verhindern.

„Die identifizierten Eintrittspunkte sind geschlossen“, erklärt Binance. Nach eigenen Angaben wehrte das Unternehmen 2026 außerdem 57 Angriffsversuche ab, bei denen eine Verbindung zu Nordkorea vermutet wurde. „Zu den Methoden gehören gefälschte Bewerbungsgespräche, Schadsoftware, die als beliebte Entwicklerwerkzeuge getarnt ist, manipulierte Softwarepakete und Browsererweiterungen sowie gefälschte Videokonferenzanwendungen. Hinzu kommen Täuschungskampagnen, die Menschen dazu bringen sollen, Zugangsdaten preiszugeben oder Schadsoftware zu installieren, mit der Angreifer aus der Ferne auf ihre Rechner zugreifen können“, so eine Erklärung von Binance.

Der Fall verdeutlicht, wie wichtig begrenzte Zugriffsrechte sind: Wer einen Entwicklerrechner übernimmt, sollte dadurch nicht auch andere Rechner kontrollieren oder Kryptotransaktionen freigeben können. Fremde Programmieraufgaben sollten deshalb in einer isolierten Testumgebung ausgeführt werden, die keinen Zugang zu internen Systemen und Zugangsdaten bietet.