Angreifer stahlen am 29. Oktober 2026 über 10 Blockchains hinweg rund 6,34 Milliarden US-Dollar von Binance, was die Börse als größten Hack in der Geschichte der Kryptowährungsbranche bezeichnete. Der Diebstahl übertraf den Angriff auf Bybit im Februar 2025 und umfasste kompromittierte Mitarbeitergeräte, den Transaktionssignierungsdienst von Binance sowie auf Ethereum den Delegierungsmechanismus EIP-7702.

Binance erklärte, Partner hätten gestohlene Vermögenswerte im Wert von 3 Milliarden US-Dollar eingefroren, und die Börse habe mehr als 6,34 Milliarden US-Dollar zur Deckung bestätigter Nutzerverluste zurückgestellt.

Die Angreifer drangen nach monatelanger Vorbereitung in die internen Systeme von Binance ein und hoben Vermögenswerte aus mehreren Wallets der Börse ab. Binance stellte später einige Auszahlungen wieder her, während US-Behörden den Angriff der nordkoreanischen Gruppe TraderTraitor zuschrieben, was Pjöngjang zurückwies.

Monatelange Vorbereitung

Laut dem vorläufigen Bericht von Binance vom 3. November begannen die Vorbereitungen mindestens mehrere Monate vor dem Diebstahl. Eine am 30. Oktober veröffentlichte erste Untersuchung hatte erklärt, der Laptop eines DevOps-Ingenieurs könnte kompromittiert worden sein, obwohl Binance erklärte, eine „weitere Überprüfung deckte zusätzliche Einstiegspunkte auf“.

Binance zufolge lud ein Mitarbeiter von Wallet DevOps im Juni ein gefälschtes Homebrew-Installationsprogramm herunter, als er versuchte, ein KI-Codierungstool zu installieren. Das Unternehmen ersetzte das Gerät und aktualisierte Zugangsdaten, erklärte jedoch, die Angreifer hätten bereits Informationen über den Mitarbeiter und Kollegen erlangt.

Im September brachten Angreifer, die sich als Mitarbeiter eines fiktiven Unternehmens ausgaben, einen weiteren Entwickler während eines gefälschten Vorstellungsgesprächs dazu, ein mit Malware infiziertes Code-Repository herunterzuladen. Binance erklärte, die Malware habe eine pyenv-Komponente ersetzt und die Sicherheitstools des Unternehmens umgangen.

Am 20. Oktober nutzten die Angreifer laut den vorläufigen Erkenntnissen von Binance diesen Computer und ein internes KI-Tool von Binance, um auf die Systeme von zwei weiteren Mitarbeitern zuzugreifen. Sie fanden einen Token mit Berechtigungen zur Bereitstellung von Containern und nutzten ihn am 29. Oktober zur Bereitstellung eines bösartigen Containers. Das Unternehmen erklärte, dies habe unbefugten Zugriff auf einen internen Transaktionssignierungsdienst ermöglicht.

Der Diebstahl

Blockaid zufolge begann die vorbereitende On-Chain-Aktivität am 28. Oktober, als die Wallet des Operators drei kleine Überweisungen über Tornado Cash erhielt. Der Angreifer testete später die Wallet-Delegierung und stellte einen Smart Contract mit einer Sweep-Funktion bereit.

TRM Labs erklärte, die ersten Abhebungen vom 29. Oktober seien über das XRP Ledger erfolgt, bevor sie sich auf andere Blockchains ausweiteten. Auf Ethereum reichte der Angreifer 50 EIP-7702-Autorisierungen für die Binance-14-Hot-Wallet ein, die Nonce-Werte von 18.914.775 bis 18.914.824 abdeckten. Eine davon entsprach dem aktuellen Wert der Wallet.

Der Angreifer nutzte anschließend die Sweep-Funktion, um in einer Transaktion rund 2,5 Milliarden US-Dollar aus Binance 14 abzuziehen, darunter 167.464 ETH und 1,615 Milliarden USDT. Vierundzwanzig Sekunden später verließen 28.005 ETH Binance 16. Die Abhebungen weiteten sich anschließend auf die Netzwerke Optimism, Arbitrum und Avalanche aus.

Weil die EIP-7702-Delegierung aktiv blieb, entnahm der Angreifer in den folgenden Stunden weiterhin mehr als 1 Milliarde US-Dollar an eingehenden USDC und USDT aus Binance 14. Binance erklärte, die Aussetzung von Auszahlungen habe bereits On-Chain erfasste Berechtigungen nicht widerrufen. Der Multi-Party-Computing-Wallet-Architektur des Unternehmens fehlte zudem ein einzelner privater Schlüssel, der die Delegierung sofort hätte aufheben können.

Die letzte unbefugte Überweisung, die 2.961,9 ETH umfasste, wurde am 29. Oktober um 23:56 UTC bestätigt. Am 30. Oktober um 00:10 UTC autorisierte Binance für Binance 14 die Zero Address und löschte damit die Delegierung. Abhebungen über Bitcoin, XRP Ledger, Tron, Solana und andere Netzwerke nutzten reguläre signierte Transaktionen statt EIP-7702, ein Muster, das laut TRM Labs auf eine kompromittierte Transaktionssignierungsinfrastruktur hindeutete.

Vermögensbewegungen und Reaktion

TRM Labs zufolge tauschte der Angreifer über UniswapX und andere Dienste rund 325 Millionen USDT gegen etwa 122.300 ETH. Weitere 60 Millionen USDT wurden bei Aave als Sicherheit hinterlegt, um rund 19.760 ETH zu erhalten, die damals 44,6 Millionen US-Dollar wert waren. Aave fror vorübergehend Hunderte V3- und V4-Kreditreserven über mehrere Blockchains hinweg ein.

Binance setzte Ein- und Auszahlungen aus und kontaktierte Strafverfolgungsbehörden, Stablecoin-Emittenten und Blockchain-Analyseunternehmen. On-Chain-Analyst ZachXBT schätzte, dass Branchenteilnehmer rund 2,8 Milliarden US-Dollar eingefroren hätten, während Blockaid erklärte, Tether und Circle hätten am Hauptsammeladresse rund 1,8 Milliarden US-Dollar eingefroren. Binance bezifferte den eingefrorenen Gesamtbetrag später auf 3 Milliarden US-Dollar.

Binance erklärte, es werde eigene Mittel und den SAFU-Versicherungsfonds nutzen, um bestätigte Nutzerverluste zu decken. Das Unternehmen stellte mehr als 6,34 Milliarden US-Dollar bereit, darunter rund 5 Milliarden US-Dollar, die bereits in den betroffenen Token gehalten wurden, und kaufte verbleibende Vermögenswerte über Markt- und außerbörsliche Kanäle.

Zuschreibung und Wiederherstellung

Binance nahm am 1. November Auszahlungen für einige Ethereum- und BNB-Smart-Chain-Vermögenswerte wieder auf und erklärte, weitere Netzwerke würden nach Sicherheitsprüfungen folgen. Das Unternehmen bestätigte Nutzervermögen über sein Proof-of-Reserves-System mit Stand vom 31. Oktober.

Das FBI schrieb den Angriff der nordkoreanischen Gruppe TraderTraitor zu und veröffentlichte Ethereum-Adressen, die mit den gestohlenen Vermögenswerten verbunden sind. Kim Yo Jong, die Schwester des nordkoreanischen Machthabers Kim Jong Un, wies die Feststellung als politische Provokation zurück.

Bis zum 3. November erklärte Binance, es habe das betroffene Wallet-System migriert, seine internen KI- und Zugriffsverwaltungssysteme neu aufgebaut, kompromittierte Geräte ersetzt und dazugehörige Zugangsdaten widerrufen. Das Unternehmen erklärte zudem, sein Sicherheitsteam habe im Jahr 2026 57 mutmaßlich mit Nordkorea verbundene Cyberbedrohungen erkannt und verhindert. Binance plant eine unabhängige Überprüfung, erklärte jedoch, einige technische Details würden nicht offengelegt, um potenzielle Angreifer nicht zu unterstützen.

Quelle: HODL Press