Ein Softwareentwickler erhielt eine scheinbar normale Kontaktaufnahme von einem Recruiter. Der Recruiter hatte eine plausible Identität, führte ein Live-Videointerview und präsentierte in der nächsten Runde eine technische Aufgabe.
Die Aufgabe enthielt Malware.
Binance gibt an, dass der gefälschte Rekrutierungsprozess einer von mehreren vermuteten Eintrittspunkten war, die von Angreifern genutzt wurden, bevor am 29. Oktober 2026 etwa 6,36 Milliarden US-Dollar aus seinen Wallets entwendet wurden. Das FBI hat den Diebstahl inzwischen Nordkorea zugeschrieben und die verantwortliche Aktivität als TraderTraitor identifiziert.
Der Vorfall wird als größter Krypto-Diebstahl aller Zeiten beschrieben. Seine Bedeutung geht über den gestohlenen Betrag hinaus. Er zeigt, wie nordkoreanische Akteure beide Seiten des Arbeitsmarktes ausnutzen: Sie geben sich als Entwickler aus, um in Technologieunternehmen einzudringen, und als Recruiter, um die bereits dort arbeitenden Personen zu kompromittieren.
Was geschah beim Binance-Hack?
Laut dem Blockchain-Analyseunternehmen TRM Labs transferierten Angreifer etwa 6,36 Milliarden US-Dollar aus Binance-Wallets über 10 Blockchains. Die meisten Gelder wurden innerhalb von etwa 20 Minuten bewegt.
Zu den betroffenen Vermögenswerten gehörten Berichten zufolge Token auf Bitcoin, Ethereum, Solana, XRP, Arbitrum und anderen Netzwerken. Binance bestätigte, dass eine seiner verbundenen Hot Wallets beteiligt war, gab jedoch an, dass die meisten Kundenvermögen in Offline-Cold-Storage verblieben seien.
Binance erklärte, dass es mehr als 6,34 Milliarden US-Dollar an Unternehmensmitteln zur Deckung der Verluste reserviert habe. Die Börse und ihre Blockchain-Partner froren auch etwa 3 Milliarden US-Dollar an betroffenen Vermögenswerten ein.
Ein Freeze verhindert, dass bestimmte Vermögenswerte über teilnehmende Netzwerke, Emittenten oder Dienste bewegt werden können. Das bedeutet nicht zwangsläufig, dass die Gelder wiedererlangt und zurückgegeben wurden. Angreifer können immer noch Vermögenswerte kontrollieren, die bereits ausgetauscht, überbrückt oder außerhalb der Reichweite teilnehmender Organisationen bewegt wurden.
Warum das FBI Nordkorea beschuldigte
Das FBI schrieb den Angriff Nordkorea zu und verband ihn mit TraderTraitor, einer Bezeichnung für böswillige Aktivitäten im Zusammenhang mit den Cyberoperationen des Landes.
Das FBI warnte, dass die Angreifer voraussichtlich weiterhin die gestohlenen Vermögenswerte über dezentrale Finanzprotokolle und Instant-Swap-Dienste waschen würden. Diese Tools ermöglichen es Benutzern, Vermögenswerte über Token oder Netzwerke hinweg auszutauschen, was die Geldspur potenziell komplizierter macht.
Blockchain-Transaktionen bleiben sichtbar, aber Sichtbarkeit garantiert keine Wiedererlangung. Ermittler müssen Wallets über verschiedene Netzwerke hinweg verbinden, feststellen, welche Dienste genutzt wurden, und die Personen identifizieren, die die Adressen kontrollieren. Sobald Vermögenswerte Plattformen erreichen, die nicht mit Sanktionsdurchsetzung oder Identitätsanfragen kooperieren, wird die Wiedererlangung schwieriger.
TRM Labs gab an, dass Merkmale des Angriffs früheren, mit Nordkorea verbundenen Diebstählen ähnelten. Chainalysis kam ebenfalls zu dem Schluss, dass TraderTraitor wahrscheinlich verantwortlich war. Die Zuschreibung durch das FBI verleiht der Behauptung offizielles Gewicht, obwohl die vollständige forensische Aufzeichnung nicht veröffentlicht wurde.
Das gefälschte Vorstellungsgespräch war ein Eintrittspunkt
Binance gab an, dass einer seiner Ingenieure im September über eine legitime Job-Suchplattform von jemandem kontaktiert wurde, der vorgab, ein fiktives Unternehmen zu vertreten.
Während des ersten Gesprächs erschien eine Person, die sich als HR-Vertreter ausgab, in einem Live-Videoanruf. Das Profil enthielt genügend persönliche Inhalte und berufliche Geschichte, um glaubwürdig zu erscheinen.
Die zweite Runde beinhaltete eine technische Aufgabe. Der Ingenieur wurde gebeten, ein Code-Repository herunterzuladen, das modifiziert worden war, um Malware zu liefern.
Binance entdeckte auch einen separaten Vorfall, bei dem ein anderer Ingenieur ein manipuliertes Software-Installationsprogramm herunterlud, während er versuchte, ein KI-Codierungstool einzurichten. Das Sicherheitsteam erkannte diese Installation, ersetzte das Gerät und rotierte die Anmeldeinformationen. Das Unternehmen sagte später, dass der Mitarbeiter und seine Kollegen möglicherweise immer noch exponiert gewesen seien.
Binance identifizierte mehrere vermutete Kompromittierungspunkte. Die Beweise stützen daher nicht die Reduzierung des gesamten Diebstahls auf ein einziges Vorstellungsgespräch oder einen einzigen Mitarbeiter. Der Rekrutierungsansatz scheint Teil einer breiteren Kampagne gewesen zu sein, die monatelang Personen mit Zugang zu wertvollen Systemen ins Visier nahm.
Warum Vorstellungsgespräche als Angriffsmethode funktionieren
Ein technisches Vorstellungsgespräch gibt einem Angreifer etwas, das eine gewöhnliche Phishing-E-Mail nicht bietet: einen glaubwürdigen Grund, das Ziel zu bitten, Code auszuführen.
Softwareentwickler klonen routinemäßig Repositories, überprüfen Pakete und installieren Entwicklungstools. Eine Interviewaufgabe, die auf diesen Aktionen basiert, kann als konsistent mit normalen Einstellungspraktiken erscheinen. Der Angreifer muss keine Panik erzeugen oder eine unglaubwürdige Belohnung versprechen. Die Anfrage passt in den Kontext.
Arbeitssuchende sind in einem schwierigen Arbeitsmarkt möglicherweise auch empfänglicher für neue Kontakte. Ein überzeugender Recruiter, ein realistisches Unternehmensprofil und mehrere Gesprächsrunden können den Verdacht senken, bevor eine Datei heruntergeladen wird.
Dies ist Social Engineering, das an Entwickler angepasst ist. Anstatt direkt nach Anmeldeinformationen zu fragen, schafft der Angreifer eine Situation, in der das Ziel freiwillig bösartige Software in eine vertrauenswürdige Umgebung einführt.
Nordkorea nutzt beide Seiten der Remote-Einstellung aus
Gefälschte Rekrutierung ist nur ein Teil der Operation.
Nordkoreanische IT-Arbeiter haben auch gestohlene Identitäten und gefälschte Beschäftigungshistorien verwendet, um echte Jobs bei Technologie- und Finanzunternehmen zu bekommen. Ihre Gehälter können dann über Konten, Kryptowährungs-Wallets und Vermittler transferiert werden, bevor sie Organisationen erreichen, die mit der nordkoreanischen Regierung verbunden sind.
Eine Maßnahme des US-Finanzministeriums vom 28. Oktober sanktionierte 10 Personen und eine Einheit, die mit diesen Machenschaften in Verbindung stehen. Zwei russische Staatsbürger wurden beschuldigt, etwa 5,5 Millionen US-Dollar in Kryptowährung für nordkoreanische IT-Arbeiter-Netzwerke umgetauscht zu haben.
Chainalysis verfolgte einen Geldfluss von einer Wallet, die Gehaltszahlungen in Stablecoins anzeigte, zu sanktionierten Konsolidierungsadressen und dann zu einem russischen Vermittler. Die Gelder wurden schließlich an Garantex, eine sanktionierte russische Börse, zur Umwandlung gesendet.
Die Chainalysis-Untersuchung ergab, dass das breitere IT-Arbeiter-Netzwerk zwischen 250 und 600 Millionen US-Dollar Jahresumsatz für Nordkorea generieren könnte, basierend auf Schätzungen eines UN-Gremiums.
Es gibt keine öffentlichen Beweise dafür, dass die am 28. Oktober sanktionierten Russen am Binance-Diebstahl beteiligt waren. Die Fälle zeigen unterschiedliche Teile derselben breiteren Strategie und nicht eine bewiesene Gruppe von Angeklagten.
KI macht falsche Identitäten überzeugender
Nordkoreanische Betreiber haben Berichten zufolge generative KI genutzt, um Lebensläufe vorzubereiten, Anschreiben zu verfassen und technische Vorstellungsgespräche zu üben. KI-generierte Profilbilder und manipulierte Videos können Bewerbern helfen, ihre wahren Identitäten während Remote-Gesprächen zu verbergen.
Dieselbe Technologie kann gefälschte Recruiter unterstützen. Ein Angreifer kann eine Unternehmensidentität erstellen, professionell aussehende Profile erstellen und überzeugende schriftliche Gespräche führen, ohne die Sprachfehler, die den Betrug einst leichter erkennbar machten.
Deepfake-Videos müssen nicht perfekt sein. In einem kurzen Interview, das über eine komprimierte Videoübertragung geführt wird, können geringfügige visuelle Probleme wie normale Netzwerkprobleme aussehen. Ein Kandidat oder Recruiter kann auch die Kameraqualität, Bandbreite oder Datenschutzbedenken als Grund für einen unscharfen Hintergrund anführen.
KI hat das zugrunde liegende Schema nicht geschaffen. Sie hat die Kosten für die Pflege mehrerer falscher Identitäten gesenkt und die grundlegende Überprüfung weniger zuverlässig gemacht.
Der frühere Sanktionsfall erklärt die Finanzpipeline
Die Sanktionen vom 28. Oktober liefern nützlichen Kontext dafür, was passiert, nachdem nordkoreanische Agenten Krypto-Zahlungen erhalten haben.
Das US-Finanzministerium behauptete, der russische Staatsbürger Ilya Aleksandrovich Boykov habe etwa 3,5 Millionen US-Dollar in Kryptowährung für Alis, ein sanktioniertes Unternehmen, das mit nordkoreanischen IT-Arbeitern verbunden ist, umgetauscht. Vitold Viktorovich Obertas wurde beschuldigt, fast 2 Millionen US-Dollar in Kryptowährung umgetauscht und mindestens 1,25 Millionen US-Dollar in anderen Währungstransaktionen für nordkoreanische Beamte abgewickelt zu haben.
Das Finanzministerium sanktionierte auch das First Financial and Technical Development Center, eine von Nordkorea kontrollierte Organisation, die in Russland tätig ist. Sechs mit der Organisation verbundene Mitarbeiter sollen seit 2025 mehr als 750.000 US-Dollar erwirtschaftet haben.
Diese Bezeichnungen zeigen, dass die Operation mehr erfordert als nur Personen, die technische Vorstellungsgespräche bestehen. Sie erfordert auch Manager, Identitätsanbieter, Laptop-Betreiber, Wallet-Controller und Vermittler, die digitale Vermögenswerte in nutzbare Gelder umwandeln können.
Die Sanktionierung einer Wallet kann eine Route stören. Das Netzwerk kann darauf reagieren, indem es Adressen, Ketten, Vermittler oder Auszahlungsdienste ändert. Deshalb muss die Transaktionsüberwachung Beziehungen und Verhalten untersuchen, anstatt sich nur auf eine statische Blacklist zu verlassen.
Warum Krypto-Unternehmen attraktive Ziele sind
Krypto-Unternehmen kombinieren Remote-Arbeit mit direktem Zugriff auf übertragbare Werte.
Entwickler können Zugriff auf Quellcode, Bereitstellungstools, Cloud-Infrastruktur oder interne Wallet-Systeme haben. Sicherheitstechniker können mit Anmeldeinformationen arbeiten, die mehrere Netzwerke schützen. Ein Angreifer, der einen Endpunkt kompromittiert, kann nach einem Weg in Systeme suchen, die Vermögenswerte halten, die jederzeit bewegt werden können.
Herkömmliche Finanztransfers durchlaufen oft Clearingstellen, Banken und Geschäftskontrollen. Eine Krypto-Transaktion kann innerhalb von Minuten grenzüberschreitend abgewickelt werden. Diese Geschwindigkeit kommt legitimen Nutzern zugute, verkürzt aber auch die Zeit, die zur Verhinderung eines Diebstahls zur Verfügung steht.
Der Binance-Vorfall zeigt das Ausmaß dieses Problems. Obwohl Blockchain-Partner Berichten zufolge fast die Hälfte der gestohlenen Vermögenswerte eingefroren haben, bewegten sich Milliarden von Dollar, bevor eine koordinierte Reaktion wirksam werden konnte.
Hot Wallets bleiben eine kritische Sicherheitsgrenze
Hot Wallets sind mit Online-Systemen verbunden, damit Börsen Abhebungen verarbeiten können. Diese Verfügbarkeit macht sie anfälliger als Cold Wallets, die Signier-Anmeldeinformationen offline aufbewahren.
Der AP-Bericht zitierte einen externen Sicherheitsexperten, der in Frage stellte, ob eine kompromittierte Autorisierung möglicherweise einen zu breiten oder langanhaltenden Zugriff auf die betroffene Wallet gewährt hätte. Binance hat keinen vollständigen technischen Bericht veröffentlicht und seine Untersuchung ist noch im Gange.
Die relevante Frage ist nicht einfach, ob eine Börse Hot Wallets verwendet. Jede aktive Handelsplattform benötigt eine Möglichkeit, Kundenabhebungen zu verarbeiten. Die Fragen sind, wie viel Wert online gehalten wird, wie Transaktionslimits durchgesetzt werden und wie viele unabhängige Genehmigungen für ungewöhnliche Überweisungen erforderlich sind.
Ein sicheres Cold-Storage-System kann den Gesamtverlust begrenzen, schützt aber keine Vermögenswerte, die bereits in eine operative Wallet verschoben wurden. Erkennung und Transaktionskontrollen sind an dieser Grenze immer noch wichtig.
Das Einfrieren von 3 Milliarden US-Dollar beendet den Wiederherstellungsprozess nicht
Das gemeldete Einfrieren von etwa 3 Milliarden US-Dollar ist bedeutsam. Es lässt aber auch einen erheblichen Betrag ungelöst.
Einige Blockchain-Emittenten können Token auf Vertragsebene einfrieren. Börsen können Einzahlungen blockieren, die mit identifizierten Adressen verbunden sind. Validatoren, Bridges und Analysefirmen können schnell Warnungen verteilen, wenn gestohlene Vermögenswerte zu wandern beginnen.
Andere Vermögenswerte sind schwieriger zu stoppen. Angreifer können Token über dezentrale Pools austauschen, Ketten überqueren, Datenschutztools verwenden oder Gelder über Dienste leiten, die sich in Gerichtsbarkeiten befinden, die nicht mit US-Behörden kooperieren.
Das FBI warnte ausdrücklich, dass DeFi und Instant-Swap-Dienste im Geldwäscheprozess auftauchen könnten. Diese Warnung bedeutet nicht, dass diese Dienste wissentlich teilgenommen haben. Erlaubnisfreie Tools können sowohl von legitimen Kunden als auch von sanktionierten Akteuren verwendet werden.
Die Wiedererlangung wird davon abhängen, wie schnell Ermittler neue Adressen identifizieren und wie viel des verbleibenden Geldes Dienste erreicht, die es blockieren können.
Was Unternehmen aus dem Angriff lernen sollten
Der Fall Binance zeigt, warum Rekrutierungssicherheit nicht nur der Personalabteilung gehören kann.
Ein glaubwürdig aussehender Jobkontakt kann zu einem Einfallstor in Produktionssysteme werden. Code, der während eines Vorstellungsgesprächs erhalten wird, sollte als nicht vertrauenswürdige Software behandelt werden, auch wenn er über eine anerkannte Beschäftigungsplattform kommt. Das Testen auf einem isolierten Gerät oder in einer temporären Umgebung kann verhindern, dass ein gewöhnliches Karrieregespräch zu Unternehmensanmeldeinformationen führt.
Identitätsprüfungen müssen auch nach der Einstellung fortgesetzt werden. Ein Unternehmen, das am ersten Tag Dokumente prüft, aber ungewöhnliche Fernzugriffe, Gerätepositionen oder Zahlungsänderungen ignoriert, kann Anzeichen dafür übersehen, dass jemand anderes das Konto übernommen hat.
Die Leitlinien des FBI für nordkoreanische IT-Arbeiter empfehlen die unabhängige Überprüfung der Beschäftigungshistorie, die Prüfung von Identitätsinkonsistenzen und die genaue Beachtung von Unternehmensgeräten, die an Dritte gesendet werden. Sie warnt auch vor nicht autorisierter Fernzugriffssoftware und US-basierten „Laptop-Farmen“, die verwendet werden, um den tatsächlichen Standort eines Arbeitnehmers zu verbergen.
Für Krypto-Unternehmen müssen Rekrutierungskontrollen, Gerätesicherheit, Wallet-Berechtigungen und Sanktionsprüfungen als ein System zusammenarbeiten. Die Angreifer behandeln sie bereits so.
Tapbit veröffentlicht Marktanalysen und Krypto-Bildung für Leser, die sich für die Kräfte interessieren, die die Märkte für digitale Vermögenswerte prägen. Entdecken Sie die neuesten Berichte auf Tapbit, greifen Sie über Tapbit Login auf ein bestehendes Konto zu oder registrieren Sie sich bei Tapbit, um mehr über die Plattform zu erfahren.
Häufig gestellte Fragen
Wer hat Binance im Oktober 2026 gehackt?
Das FBI schrieb den Diebstahl Nordkorea zu und verband ihn mit TraderTraitor. TRM Labs und Chainalysis kamen aufgrund des Verhaltens des Angriffs und der Verbindungen zu früheren Vorfällen zu ähnlichen Einschätzungen.
Wie viel wurde von Binance gestohlen?
Etwa 6,36 Milliarden US-Dollar in Krypto-Assets wurden aus Binance-Wallets über 10 Blockchains transferiert. Es wurde als der größte Krypto-Diebstahl aller Zeiten beschrieben.
Hat Binance Kundengelder verloren?
Binance gab an, mehr als 6,34 Milliarden US-Dollar an Unternehmensmitteln zur Deckung der Verluste reserviert zu haben und versprach, die Nutzer zu schützen. Das Unternehmen berichtete, dass die meisten Kundenvermögen in Offline-Cold-Storage verblieben seien.
