Gefälschtes Bewerbungsgespräch führte zu 6,34-Milliarden-Dollar-Hack, sagt Binance
Binance erklärte, Angreifer hätten gefälschte Vorstellungsgespräche, ein manipuliertes Entwicklerwerkzeug und ein kompromittiertes internes KI-Tool genutzt, um an seine Wallet-Signiersysteme zu gelangen und am 29. Oktober 6,34 Milliarden US-Dollar zu stehlen. Die Börse teilte mit, sie habe rund 2,85 Milliarden US-Dollar eingefroren oder abgefangen, 98 Prozent der betroffenen Token-Bestände wieder aufgefüllt und die Auszahlungen seien weitgehend wieder aufgenommen worden.
Verfasst von der KI-Redaktion von CoinArticle · auf Basis von 5 angegebenen Quellen. So arbeiten wir
Berichterstattung: The Defiant – diese Meldung beruht bisher auf einer einzigen Quelle.
Was Binance berichtete
Binance erklärte, Angreifer hätten sich mit einem gefälschten Vorstellungsgespräch einen Zugang im Unternehmen verschafft und den Zugang mit einem Verlust verknüpft, den die Börse auf 6,34 Milliarden US-Dollar beziffert. In seinem Sicherheitsbericht vom 3. November beschrieb das Unternehmen einen Angriff, der sich über mehrere Monate entwickelte und die Täuschung von Mitarbeitern mit kompromittierter Software und unbefugtem Zugriff auf interne Systeme verband.
Die Börse teilte mit, sie habe bis zum 31. Oktober 98 Prozent der betroffenen Token-Bestände aus eigenen Mitteln wieder aufgefüllt und kaufe die übrigen, weniger liquiden Kryptowährungen am offenen Markt nach. Mitgründer und Co-CEO Richard Teng sagte, die Auszahlungen seien weitgehend wieder aufgenommen worden und die Nutzer würden keine Verluste tragen. Binance erklärte außerdem, es habe nach Angaben aus einem Medienbriefing unter Leitung von Teng und Chief Security Officer Jimmy Su rund 2,85 Milliarden US-Dollar der gestohlenen Vermögenswerte eingefroren oder abgefangen.
Zuordnung und offizielle Reaktion
Das FBI hat den umfassenderen Angriff Nordkorea zugeschrieben, dessen Hackingoperationen zunehmend auf Softwareentwickler und Kryptowährungsunternehmen abzielen. Der Bericht von Binance verweist auf diese Feststellung, nimmt aber keine eigene Zuordnung vor. Pjöngjang wies die Behauptung am Montag zurück; Kim Yo Jong, Schwester des Machthabers Kim Jong Un, bezeichnete sie in staatlichen Medien als "schwere politische Provokation".
Wie sich der Eindringversuch entwickelte
Der Bericht verfolgt einen frühen Vorfall bis zum Juni zurück, als ein DevOps-Ingenieur der Wallet-Abteilung auf der Suche nach einem KI-Programmierwerkzeug ein manipuliertes Homebrew-Installationsprogramm herunterlud. Das Sicherheitsteam von Binance erkannte die Anomalie, tauschte das Gerät aus und rotierte die Zugangsdaten. Der Vorfall legte jedoch die Rolle des Ingenieurs offen sowie die Namen von Kollegen im Infrastrukturteam für Wallets.
Im September wurde ein zweiter Ingenieur auf einer seriösen Jobplattform von jemandem angesprochen, der sich als Projektleiter ausgab. Es folgte ein Videointerview mit einer angeblichen Personalverantwortlichen, und ein zweites Gespräch mit einem vermeintlichen CEO endete mit einer "Aufgabe": einem Code-Repository, das auf dem Arbeitsrechner des Ingenieurs installiert werden sollte. Das Repository ersetzte eine legitime pyenv-Komponente durch eine schädliche Version und öffnete einen Kanal zu einem vom Angreifer kontrollierten Server. Binance zufolge hatten seine Endpoint-Werkzeuge die Schadsoftware damals nicht gemeldet.
Am 20. Oktober nutzten die Angreifer diesen Rechner und ein internes KI-Tool, um zwei Wallet-Ingenieure zu erreichen, von denen einer ein Token für die Container-Bereitstellung besaß. Der Bericht von Binance hält fest, dass das KI-Tool im Rahmen einer breiter angelegten Kampagne ausgenutzt wurde, die gestohlene Zugangsdaten, kompromittierte Entwicklersoftware und Social Engineering umfasste; die Untersuchung belegt nicht, dass ein KI-Modell den Diebstahl selbstständig geplant oder ausgeführt hat. Am 29. Oktober, zwischen 17:15 und 19:56 UTC, meldeten sich die Angreifer am Rechner eines dritten Ingenieurs an, stellten mit den gestohlenen Zugangsdaten einen Container bereit und starteten den Abfluss der Mittel. Binance erklärte, es habe in diesem Jahr 57 weitere mutmaßlich mit Nordkorea verbundene Versuche mit ähnlichen Ködern blockiert.
Transfers und Berechtigungen
Zwischen 20:05 und 20:09 UTC am 29. Oktober schickten fünf Hot Wallets laut dem Bericht 233,46 Millionen XRP an eine vom Angreifer kontrollierte Adresse. Wallets auf Solana und Optimism folgten mit etwa 970.500 SOL bzw. 44,2 Millionen OP, anschließend überwies eine Binance-Hot-Wallet 18.270 BTC.
Der Angreifer nutzte danach den Signierdienst, um über den EIP-7702-Mechanismus von Ethereum schädliche Berechtigungen einzurichten; dieser erlaubt es einer Wallet, die Ausführung an Smart-Contract-Code zu delegieren. Frühere Erkenntnisse beschrieben, wie der Angreifer diese Funktion nutzte, um einem schädlichen Smart Contract die Berechtigung zu geben, Mittel aus einer als Binance 14 bekannten Hot Wallet von Binance zu verschieben. Binance erklärte, die Aussetzung der Auszahlungen könne bereits auf Ethereum eingerichtete Berechtigungen nicht ungültig machen, und seine Multi-Party-Computation-Wallet erfordere ein spezielles Verfahren, um diese zu beheben.
Breiterer Kontext zu KI-gestützten Bedrohungen
Der Vorfall hat die Aufmerksamkeit darauf gelenkt, wie interne KI-Werkzeuge die Angriffsfläche vergrößern können. Googles Mandiant berichtete im Februar, nordkoreanische Hacker, die es auf die Kryptoindustrie abgesehen hätten, hätten KI-gestützte Techniken eingesetzt, darunter eine gefälschte Videokonferenz und ein mutmaßlich KI-generiertes Video, das eine Führungskraft imitierte, auch wenn das Unternehmen den Deepfake in diesem Fall nicht unabhängig bestätigen konnte. Bis September berichtete die Threat Intelligence Group von Google, dass Angreifer sich auf automatisierte Abläufe zubewegten, die mehrere Phasen eines Eindringens ausführen können.
Binance hat erklärt, es suche Sicherheitspartnerschaften mit führenden KI-Unternehmen. Dieser Schritt wurde über die Rahmung im Bericht hinaus öffentlich nicht näher erläutert.
Offene Fragen
Mehrere Punkte bleiben unbestätigt, darunter die vollständige Liste der betroffenen Blockchains, die genaue Dauer des Eindringens und die Frage, wie die eingefrorenen oder abgefangenen 2,85 Milliarden US-Dollar im Verhältnis zur Summe von 6,34 Milliarden US-Dollar behandelt werden. Die Zahl von 6,34 Milliarden US-Dollar ist die von der Börse genannte Angabe bis zu weiteren Offenlegungen.
Warum das wichtig ist
Für Trader
Für Investoren
Für Entwickler
Dieser Artikel dient nur zur Information und stellt keine Finanzberatung dar. Vollständigen Haftungsausschluss lesen.
