Die Operation begann laut Binance mit unauffälligen Erkundungen im Juni, als Angreifer das Wallet-Team ins Visier nahmen und ein Ingenieur eine manipulierte Version eines beliebten Softwaretools herunterlud. Die spätere Anwerbungsmasche war auf Glaubwürdigkeit angelegt: Ein angeblicher Projektdirektor kontaktierte im September über eine Jobplattform einen Softwareingenieur, worauf zwei Vorstellungsgespräche folgten, darunter ein Videoanruf mit einem falschen HR-Vertreter. Die abschließende „Aufgabe“ enthielt Malware, die von den Sicherheitssystemen von Binance nicht erkannt wurde.¹

Am 20. Okt. nutzten die Angreifer diesen kompromittierten Computer und ein internes KI-Tool von Binance, um die Kontrolle über die Arbeitsrechner von zwei Ingenieuren des Wallet-Teams zu übernehmen. Einer der Ingenieure war berechtigt, Software bereitzustellen. Neun Tage später eröffnete dieser Zugriff den Zugang zu einem Dienst zur Transaktionssignierung; die Angreifer räumten daraufhin über fast vier Stunden Hot Wallets leer – Gelder, die für Kundenauszahlungen bereitgehalten werden. Die unverblümte Einschätzung von Binance: „Das hätte nicht passieren dürfen.“¹

Die Börse erklärt, dass ein Aussetzen der Auszahlungen allein den Diebstahl nicht hätte stoppen können, weil die Angreifer die teilweise Kontrolle über ein Binance-Konto auf Ethereum erlangt hatten, wo dieser Zugriff außerhalb der eigenen Systeme von Binance verzeichnet war. Da die Kontrolle auf mehrere Systeme verteilt war, mussten Ingenieure eine Umgehungslösung entwickeln, anstatt den Zugriff einfach zu entziehen.²

Der Einbruch übertrifft den bisherigen Rekord für Kryptodiebstähle: Im Februar 2025 wurden Bybit rund 1,5 Milliarden Dollar entwendet. Das FBI hat den Angriff auf Binance TraderTraitor, einer nordkoreanischen Hackergruppe, zugeschrieben; Nordkorea bestreitet den Vorwurf. Binance zufolge hat das Unternehmen in diesem Jahr 57 weitere mutmaßlich nordkoreanische Versuche blockiert.¹

Binance zufolge wurden rund 2,85 Milliarden Dollar eingefroren oder abgefangen, 98 % der betroffenen Token wieder aufgefüllt, und Kunden werden vollständig entschädigt. Das Unternehmen hat die kompromittierten Systeme neu aufgebaut, betroffene Computer ersetzt und plant eine externe Sicherheitsprüfung – Maßnahmen, die die Folgen angehen, nicht aber die zentrale Blamage: Ein gefälschter Einstellungsprozess drang bis ins Herz der weltweit größten Börse vor.²