Die Operation begann laut Binance unauffällig im Juni, als Angreifer damit begannen, das Wallet-Team zu sondieren, und ein Ingenieur eine manipulierte Version eines weit verbreiteten Softwaretools herunterlud. Die Börse erklärt, die Kampagne sei ausgefeilter gewesen als frühere Angriffsversuche, mit denen sie konfrontiert war, und habe auf Social Engineering statt auf einem direkten Angriff auf ihre Systeme beruht.¹

Bis September sollen sich die Angreifer auf einer Recruiting-Plattform als Projektdirektor ausgegeben und einen Binance-Softwareingenieur durch zwei Vorstellungsgespräche geködert haben, darunter einen Videoanruf mit einem angeblichen HR-Vertreter. Die abschließende „Aufgabe“, die auf den Arbeitscomputer des Mitarbeiters heruntergeladen wurde, enthielt Schadcode, den die Sicherheitstools von Binance nicht erkannten.¹

Am 20. Oktober — neun Tage vor dem Diebstahl — wurden laut Binance die kompromittierte Maschine und ein internes KI-Tool genutzt, um die Computer von zwei Ingenieuren des Wallet-Teams zu übernehmen. Einer von ihnen verfügte über Berechtigungen zur Softwarebereitstellung. Anschließend erreichten die Angreifer einen Dienst zur Transaktionssignierung und begannen über fast vier Stunden hinweg, die Hot Wallets der Börse zu leeren. „Das hätte nicht passieren dürfen“, erklärte Binance.¹

Der Einbruch endete nicht, als die Auszahlungen gestoppt wurden. Binance zufolge erlangten die Angreifer über kompromittierte Systeme teilweise Kontrolle über ein Ethereum-Konto; da diese Berechtigung auf der Blockchain und nicht ausschließlich innerhalb von Binance verzeichnet war, erwies sich ein rascher Entzug als schwierig. Während die Gelder laut Elliptic weiter durch rund 12.000 Wallets bewegt wurden, mussten Ingenieure einen Workaround entwickeln.¹

Das FBI erklärte am Samstag, dass die nordkoreanische Hackergruppe TraderTraitor den Angriff ausgeführt habe, eine Anschuldigung, die Pjöngjang zurückweist. Binance zufolge hatte das Unternehmen in diesem Jahr bereits 57 weitere mutmaßlich nordkoreanische Versuche abgefangen.¹

Binance erklärt, 2,85 Milliarden US-Dollar seien eingefroren oder abgefangen worden, 98 % der betroffenen Token seien wieder aufgefüllt worden, und Kunden würden vollständig entschädigt. Das Unternehmen hat kompromittierte Systeme neu aufgebaut, betroffene Computer ersetzt und plant eine externe Sicherheitsprüfung — Maßnahmen nach einem Versagen, das nach eigener Einschätzung niemals hätte eintreten dürfen.¹