Binance meldet 57 blockierte Bedrohungen mit Nordkorea-Bezug vor Hack über 6,34 Mrd. USD
Binance erklärte, im Jahr 2026 57 mutmaßliche Cyberbedrohungen mit Nordkorea-Bezug blockiert zu haben. Ein inszeniertes gefälschtes Vorstellungsgespräch verschaffte Angreifern jedoch vor dem Diebstahl über 6,34 Mrd. USD am 29. Oktober Zugang zu Ingenieuren und zu Systemen zur Wallet-Signatur. Das FBI führt den Diebstahl auf die nordkoreanische Gruppe TraderTraitor zurück, was Pjöngjang bestreitet.
Verfasst von der KI-Redaktion von CoinArticle · auf Basis von 2 angegebenen Quellen. So arbeiten wir
Angriffskette über Rekrutierungsköder
Binance erklärte, Angreifer hätten im September über eine legitime Jobplattform einen Softwareingenieur erreicht, wobei sie sich als Projektdirektor ausgegeben hätten. Laut dem Bericht der Börse vom 3. November führte eine gefälschte Personalreferentin ein Videointerview, und ein zweiter Interviewer, der sich als Chief Executive ausgab, bat den Ingenieur, ein Programmieraufgabenpaket auf einen Arbeitsrechner herunterzuladen. Die Aufgabe enthielt Schadsoftware, die während der Einrichtung lief und die im Einsatz befindlichen Endpoint-Security-Werkzeuge umging, so Binance.
Co-CEO Yi He beschrieb in seinem Beitrag auf X vom 3. November das größere Muster: betrügerische Vorstellungsgespräche, manipulierte Softwarepakete und Browser-Erweiterungen, gefälschte Videokonferenz-Apps sowie Kampagnen zum Diebstahl von Zugangsdaten. Die Quellen unterscheiden sich darin, wie der Eindringversuch begann. Die eigene Zeitleiste von Binance, wie sie CryptoSlate zusammenfasst, verweist auf eine frühere Phase im Juni, als ein Ingenieur für Wallet-Infrastruktur beim Versuch, ein KI-Programmierwerkzeug einzurichten, ein manipuliertes Homebrew-Paket installierte. Binance entdeckte diesen Vorfall und ersetzte das Gerät, doch Yis Beitrag und die hier verfügbaren Berichtsauszüge bestätigen das Ereignis im Juni nicht als Teil derselben Kette.
Bis zum 20. Oktober hatten die Angreifer das kompromittierte Gerät und ein internes KI-Werkzeug genutzt, um zwei weitere Ingenieure zu erreichen. CryptoSlate berichtet, sie hätten ein Token für die Container-Bereitstellung erlangt und neun Tage später einen schädlichen Container bereitgestellt, um die Infrastruktur für die Wallet-Signatur zu erreichen. Binance erklärte, die Transfers hätten den normalen Auszahlungsprozess umgangen und Vermögenswerte über mehrere Netzwerke abgezogen.
Kompromittierung der Wallet und Autorisierungsspur
Frühere Erkenntnisse führten einen Teil des Verlusts auf Binance 14 zurück, eine Ethereum-Hot-Wallet. Blockaid identifizierte 50 eingereichte EIP-7702-Autorisierungen, von denen eine die Ausführungsrechte erfolgreich an einen schädlichen Vertrag delegierte. Das Konto von Binance und die Ergebnisse von Blockaid beschreiben denselben Wallet-Pfad, wobei die Börse bislang keine vollständige Zuordnung jeder Autorisierung zum gestohlenen Guthaben veröffentlicht hat.
Stand der Wiederherstellung und umstrittene Zahlen
Binance erklärte am 3. November, es habe 98 % der betroffenen Token-Vermögenswerte ersetzt und kaufe die verbleibenden, weniger liquiden Token. Die Angabe liegt über den rund 95 % Wiederauffüllung, die CEO Richard Teng nannte, als am 1. November die Bitcoin-Auszahlungen wieder geöffnet wurden. Die beiden Zahlen widersprechen sich im Prinzip nicht, da die Ersetzung noch lief, doch die Börse hat sie in einer einzigen Offenlegung nicht abgestimmt. Binance erklärte, es habe mehr als die zur Deckung des Verlusts nötigen Mittel zurückgelegt.
Die Ersatzkäufe wurden laut früheren Offenlegungen zur Wiederherstellung aus dem Secure Asset Fund for Users, aus überschüssigen Reserven des Futures Insurance Fund sowie aus dem Unternehmensschatz finanziert. Am 3. November nahm Binance die Auszahlungen für weitere 31 Assets auf Ethereum und 20 auf Solana wieder auf, nachdem zuvor fünf Ethereum-Stablecoins wieder freigegeben worden waren.
Zuschreibung und Dementi
Die FBI-Warnung vom 31. Oktober, herausgegeben zusammen mit dem US Secret Service und der IRS Criminal Investigation, führte den Diebstahl auf Nordkorea zurück und bezeichnete die Aktivität als TraderTraitor. Ermittler beobachteten, dass die gestohlenen Vermögenswerte vorwiegend in Ether umgewandelt wurden, und rechnen mit weiterer Geldwäsche über dezentrale Finanzdienste und Sofortswap-Dienste. Die Behörden forderten Börsen, Analysefirmen und DeFi-Betreiber auf, Transaktionen mit den aufgeführten Adressen zu blockieren.
Nordkorea wies am 3. November jede Beteiligung zurück. Laut der Nachrichtenagentur Associated Press wies Kim Yo Jong den Vorwurf in einer Erklärung zurück, die von den staatlichen Medien verbreitet wurde. Die Zuschreibung stützt sich daher auf Erkenntnisse der US-Regierung, und Pjöngjang hat auf die angeführten technischen Belege nicht reagiert.
Muster bei aktuellen Operationen
Die Taktiken entsprechen einer Kampagne, die Sicherheitsforscher seit geraumer Zeit verfolgen. Das FBI warnte im September 2024, nordkoreanische Akteure nutzten maßgeschneiderte Jobangebote und fiktive Identitäten gegen Krypto-Unternehmen. Kudelski Security dokumentierte im Juni eine ähnliche Operation namens Contagious Interview, bei der gefälschte Recruiter auf LinkedIn, WhatsApp und Discord Entwickler dazu brachten, schädlichen Code auszuführen. Forscher von Atlassian berichteten später von gefälschten technischen Tests auf etablierten Entwicklungsplattformen. Die Offenlegung von Binance zeigt dieselbe Methode, die die Wallet-Infrastruktur einer großen Börse erreicht.
Warum das wichtig ist
Für Trader
Die fortgesetzte Wiedereröffnung der Auszahlungen durch Binance und die noch ausstehenden 2 % der Ersatz-Token sind die kurzfristigen Faktoren, die für die Liquidität der betroffenen Assets zu beobachten sind.
Für Investoren
Ein Diebstahl über 6,34 Mrd. USD, der einem staatlichen Akteur zugeschrieben wird, wirft Fragen nach der operativen Sicherheit und der Angemessenheit der Reserven auf, die die Bewertung des Börsenrisikos über Monate prägen werden.
Für Entwickler
Angreifer nutzten die EIP-7702-Delegation und interne KI-Werkzeuge aus. Wallet-Teams sollten deshalb jetzt die Autorisierungsabläufe und die Lieferketten der Entwicklerwerkzeuge prüfen.
Dieser Artikel dient nur zur Information und stellt keine Finanzberatung dar. Vollständigen Haftungsausschluss lesen.
