Binance sagt, ein fingiertes Bewerbungsgespräch habe Hackern geholfen, 6,34 Milliarden Dollar zu stehlen

Binance zufolge halfen ein fingiertes Bewerbungsgespräch und der Download schädlicher Software Angreifern, Zugang zu den Systemen des Unternehmens zu erhalten, bevor 6,34 Milliarden Dollar aus den Wallets der Börse entwendet wurden. In einem am Dienstag veröffentlichten Sicherheitsupdate erklärte das Unternehmen, der Diebstahl habe sich am 29. Oktober ereignet und die Angreifer hätten die Gelder innerhalb von etwa 20 Minuten bewegt.

Laut der ersten Untersuchung von Binance nutzten die Angreifer den Zugriff auf die Computer von Ingenieuren, um sich durch das Netzwerk des Unternehmens zu bewegen und ein internes KI-Tool auszunutzen. Schließlich erlangten sie Zugriff auf einen Dienst zur Signierung von Wallet-Transaktionen, der es ihnen ermöglichte, Transaktionen außerhalb des üblichen Auszahlungsprozesses von Binance einzuleiten.

Das Unternehmen verfolgte verdächtige Aktivitäten bis in den Juni zurück, als ein Ingenieur, den es als Engineer A bezeichnete, eine manipulierte Homebrew-Installation herunterlud, die er online gefunden hatte. Binance erklärte, man habe den Vorfall erkannt und behoben, doch Informationen über den Mitarbeiter seien später den Angreifern zugänglich geworden.

Anfang September wurde ein weiterer Ingenieur, Engineer B, über eine Jobplattform kontaktiert und von jemandem, der sich als Personalvermittler ausgab, zu einem Videogespräch eingeladen. Bei einem späteren Interview per Online-Chat wurde der Ingenieur gebeten, eine Aufgabenstellung mit einem schädlichen Code-Repository auf einen Arbeitscomputer herunterzuladen, teilte Binance mit. Die Malware war darauf ausgelegt, sich als legitimes Entwicklungstool zu tarnen und mit einem von den Angreifern kontrollierten Server zu kommunizieren.

Binance zufolge nutzten die Angreifer gegen Ende Oktober den Zugriff auf den Computer von Engineer B, um die Kontrolle über Wallets zu erlangen, die Engineer A und einem weiteren Softwareingenieur zugeordnet waren. Am Tag des Diebstahls nutzten sie außerdem gestohlene Anmeldedaten, um auf den Computer eines Mitarbeiters zuzugreifen, bevor sie den Dienst zur Signierung von Wallet-Transaktionen ins Visier nahmen.

Die Börse erklärte, sie habe Gelder zur Deckung der Verluste zurückgestellt und von dem Angriff betroffene interne Systeme neu aufgebaut oder ersetzt. Sie entschuldigte sich für die Störungen und die Unsicherheit und betonte zugleich, dass es sich bei dem Vorfall um mehr als einen einzelnen Sicherheitsverstoß oder einen einfachen Phishing-Angriff gehandelt habe.

Fast die Hälfte der gestohlenen Kryptowährung sei von Teilen der Branche eingefroren worden, wo dies möglich gewesen sei, erklärte Binance. Die verbleibenden Gelder würden über einen komplexen Geldwäscheprozess bewegt. Tom Robinson von Elliptic sagte, die Aktivitäten hätten in den ersten dreieinhalb Tagen rund 12.000 Wallets auf 11 Blockchains umfasst, mit mehr als 40.000 Transaktionen.

Binance identifizierte die Angreifer nicht direkt, merkte jedoch an, dass das FBI den Hack am 31. Oktober Nordkorea zugeschrieben habe. Auch mehrere Analysefirmen brachten ihn mit nordkoreanischen Hackern in Verbindung, darunter der Gruppe TraderTraitor. Rafe Pilling von der Sicherheitsfirma Sophos sagte, das berichtete Vorgehen entspreche den Taktiken der Gruppe, die darin bestünden, Ingenieure zu kompromittieren und herauszufinden, wie die Systeme eines Opfers Transaktionen verarbeiten.

Binance erklärte, sein Sicherheitsteam habe im Jahr 2026 57 mutmaßliche, mit Nordkorea in Verbindung stehende Cybervorfälle erkannt und verhindert. Die Untersuchung des Diebstahls dauert an.

Quellen: WIRED.