Der Angriff begann laut Binance nicht mit einem spektakulären Einbruch in seine Wallets. Er begann Monate zuvor mit Aufklärung — und einem Köder, der auf einen Mitarbeiter abzielte.

Im Juni begannen die Angreifer Berichten zufolge, das Wallet-Team der Börse auszuforschen, unter anderem über eine manipulierte Version eines beliebten Softwaretools. Im September kontaktierte dann jemand, der sich als Projektdirektor ausgab, über eine Jobsuche-Plattform einen Softwareingenieur von Binance. Es folgten zwei Vorstellungsgespräche, darunter ein Videoanruf mit einem angeblichen HR-Vertreter. Die letzte „Aufgabe“ bestand aus einer Datei, die auf den Arbeitscomputer des Ingenieurs heruntergeladen werden sollte; sie enthielt Schadcode, den die Sicherheitstools von Binance nicht erkannten.¹

Die Täuschung war darauf ausgelegt, gewöhnlich zu wirken. Binance erklärte, der falsche Interviewer habe ein Social-Media-Konto mit zahlreichen persönlichen Fotos und Videos genutzt, um seine Glaubwürdigkeit zu erhöhen — ein Grad an Ausarbeitung, den das Unternehmen als ausgefeilter und täuschender beschrieb als Taktiken, auf die es zuvor gestoßen war.²

Am 20. Okt., etwa eine Woche vor dem Diebstahl, nutzten die Angreifer den kompromittierten Rechner und ein internes KI-Tool von Binance, um die Kontrolle über die Computer von zwei Ingenieuren des Wallet-Teams zu übernehmen. Einer der Ingenieure war befugt, Software bereitzustellen. Neun Tage später ermöglichte dieser Zugang das Öffnen eines Dienstes zur Transaktionssignierung, sodass die Angreifer über fast vier Stunden Hot Wallets leeren konnten — Gelder, die für schnelle Auszahlungen vorgehalten werden. „Das hätte nicht passieren dürfen“, erklärte Binance.¹

Auszahlungen allein zu stoppen, reichte laut Binance nicht aus. Die Angreifer hatten teilweise Kontrolle über ein Ethereum-Konto erlangt, und zwar auf eine Weise, die auf der Blockchain statt ausschließlich innerhalb der Systeme von Binance verzeichnet war. Dies zwang die Ingenieure dazu, während der Diebstahl andauerte, einen Workaround zu entwickeln.²

Das FBI erklärte am Samstag, dass die nordkoreanische Hackergruppe TraderTraitor die Operation durchgeführt habe; Nordkorea hat den Vorwurf bestritten. Binance erklärt, es habe in diesem Jahr 57 weitere mutmaßliche nordkoreanische Hackingversuche abgewehrt. Dem Unternehmen zufolge wurden etwa 2,85 Milliarden US-Dollar eingefroren oder abgefangen, und 98 % der betroffenen Token seien wieder aufgefüllt worden, während Systeme neu aufgebaut und externe Sicherheitsprüfer hinzugezogen würden.¹