Binance hat seinen ersten ausführlichen Bericht zum Sicherheitsvorfall veröffentlicht, der auf den ausgeklügelten Cyberangriff vom 29. Oktober 2026 folgte. Der Vorfall betraf mehrere Blockchain-Netzwerke und legte schwerwiegende Schwachstellen in Teilen der internen Infrastruktur zur Wallet-Signierung offen.
Binance räumte ein, dass dieser Vorfall niemals hätte passieren dürfen, und entschuldigte sich bei Nutzern, Partnern und der gesamten Kryptowährungsbranche für die dadurch verursachten Sorgen, Beeinträchtigungen und Unsicherheiten.
Die Börse betonte außerdem, dass die Nutzer keine finanziellen Verluste tragen werden. Binance zufolge wird das Unternehmen die gesamten finanziellen Folgen der gestohlenen Gelder übernehmen.
Sehen wir uns an, was passiert ist, wie die Angreifer Zugriff erlangten und was Binance unternommen hat, um die Sicherheit zu verbessern.
🔴 1. WIE VIEL GING VERLOREN?
Laut dem neuesten Bericht von Binance:
Betroffene digitale Vermögenswerte insgesamt: etwa 6,34 Milliarden US-Dollar.
Eingefrorene oder abgefangene Vermögenswerte: etwa 2,85 Milliarden US-Dollar.
Fortschritt bei der Wiederauffüllung: 98 % der betroffenen Token-Vermögenswerte.
Verbleibende Vermögenswerte: Binance kauft die noch ausstehenden, weniger liquiden Token.
Finanzielle Deckung: Binance gibt an, mehr als 100 % der zur Deckung des Verlusts erforderlichen Mittel zurückgelegt zu haben.
Binance bestätigte außerdem, dass sich die wiederaufgefüllten Vermögenswerte über die Seite zum Proof of Reserves verifizieren lassen.
Das Unternehmen erklärte, dass die Nutzergelder weiterhin geschützt seien und es die Verantwortung für die Deckung der finanziellen Auswirkungen des Vorfalls übernehmen werde.
⚠️ 2. WAS GESCHAH AM 29. OKTOBER?
Der Angriff breitete sich rasch über mehrere Blockchain-Netzwerke aus.
Zwischen 20:05 und 20:09 UTC überwiesen fünf Binance-Hot-Wallets etwa 233,46 Millionen XRP an eine von den Angreifern kontrollierte Adresse.
Weitere unbefugte Überweisungen umfassten:
Etwa 970.500 SOL von Binance-Hot-Wallets auf Solana.
Etwa 44,2 Millionen OP von Binance-Hot-Wallets auf Optimism.
Etwa 18.270 BTC, die an eine von den Angreifern kontrollierte Adresse überwiesen wurden.
Weitere ETH-Bewegungen unter Einsatz des EIP-7702-Autorisierungsmechanismus von Ethereum.
Binance erhielt eine interne Warnmeldung zu Überweisungen mit hohem Volumen und leitete umgehend eine Untersuchung ein.
Die Angreifer hatten unbefugten Zugriff auf einen internen Wallet-Signaturdienst ausgenutzt und konnten so Transaktionen außerhalb des normalen Auszahlungsprozesses initiieren.
🔴 3. WIE NUTZTEN DIE ANGREIFER EIP-7702 AUS?
Einer der technisch bedeutsamsten Aspekte dieses Vorfalls betraf den EIP-7702-Autorisierungsmechanismus von Ethereum.
EIP-7702 ermöglicht es einem extern verwalteten Konto, bestimmte Ausführungsberechtigungen an einen Smart Contract zu delegieren, ohne seinen privaten Schlüssel direkt offenzulegen.
Bei diesem Vorfall nutzten die Angreifer den Mechanismus, um einem von ihnen kontrollierten Smart Contract teilweise Ausführungsrechte über eine Binance-Hot-Wallet zu erteilen.
Berichten zufolge reichten die Angreifer 50 Signaturtransaktionen ein, um Konto-Nonces zu manipulieren und bösartige Delegierungsautorisierungen einzurichten.
Sobald diese Berechtigungen eingerichtet waren, konnten die Angreifer Vermögenswerte unabhängig von Binances normaler Auszahlungsinfrastruktur weiterbewegen.
Das erklärt, warum die bloße Aussetzung von Auszahlungen nicht ausreichte, um alle unbefugten Transaktionen zu stoppen.
Binance stand außerdem vor zusätzlichen technischen Herausforderungen, da die betroffene Hot Wallet Multi-Party Computation (MPC) verwendete.
Bei MPC gibt es keinen einzelnen privaten Schlüssel, mit dem die böswillige Autorisierung einfach sofort widerrufen werden kann.
Das Sicherheitsteam musste ein spezielles Verfahren entwickeln und ausführen, um die unbefugten On-Chain-Berechtigungen zu widerrufen.
Die letzte unbefugte Überweisung von etwa 2.961,9 ETH wurde um 23:56 UTC auf der Blockchain bestätigt.
Am 30. Oktober um 00:10 UTC führte Binance eine neue Autorisierung von der Binance14-Hot-Wallet an die Nulladresse aus und entfernte damit den EIP-7702-Delegierungscode.
Danach wurden keine weiteren unbefugten Überweisungen festgestellt.
🕵️ 4. WIE WURDE DER ANGRIFF VORBEREITET?
Binances Untersuchung deutet darauf hin, dass es sich nicht um einen einfachen Phishing-Angriff oder einen einzelnen Sicherheitsvorfall handelte.
Es war eine ausgeklügelte, mehrstufige Kampagne, die Social Engineering, Schadsoftware, kompromittierte Entwicklerumgebungen, interne KI-Tools und unbefugten Zugriff auf Wallet-Signaturvorgänge umfasste.
Der Bericht beschreibt mehrere wichtige Phasen.
Juni 2026 – Angriff auf die Lieferkette
Ein Ingenieur aus dem Wallet-DevOps-Team lud eine manipulierte Homebrew-Installation herunter, als er über eine Suchmaschine ein beliebtes KI-Codierungstool installieren wollte.
Binance erkannte die verdächtigen Aktivitäten, ersetzte das betroffene Gerät und erneuerte die zugehörigen Zugangsdaten.
Die Angreifer hatten jedoch bereits Einblick in Informationen über die Rolle des Ingenieurs und seine Kollegen erhalten, die an der Wallet-Infrastruktur arbeiteten.
September 2026 – Gefälschte Vorstellungsgespräche
Ein anderer Softwareingenieur wurde über eine legitime Jobsuchplattform von jemandem kontaktiert, der sich als Projektdirektor ausgab.
Die Angreifer organisierten zwei Gesprächsrunden.
Im ersten Gespräch baute ein falscher Personalvertreter Vertrauen auf, indem er einen Live-Videoanruf führte und persönliche Fotos und Videos aus sozialen Medien zeigte.
Im zweiten Gespräch wurde der Ingenieur angewiesen, eine Aufgabe herunterzuladen, die ein bösartiges Code-Repository enthielt.
Das Repository führte während der Einrichtung bösartigen Code aus.
Die Schadsoftware nutzte fortgeschrittene Verschleierungs- und Umgehungstechniken und ersetzte eine Komponente eines legitimen Entwicklungstools durch eine bösartige Version.
Anschließend führte sie Befehle aus und stellte eine Verbindung zu einem externen, von den Angreifern kontrollierten Server her.
Berichten zufolge konnte die Schadsoftware zu diesem Zeitpunkt der Erkennung durch Endpoint-Sicherheitstools entgehen.
20. Oktober 2026 – Internes KI-Tool kompromittiert
Die Angreifer nutzten den kompromittierten Computer des zweiten Ingenieurs und ein internes KI-Tool als Sprungbrett, um Zugriff auf weitere Mitarbeiter zu erhalten, darunter Wallet-DevOps-Ingenieur A und Wallet-Softwareingenieur C.
Anschließend entdeckten sie auf dem Computer von Ingenieur A ein Token mit Berechtigungen für Container-Bereitstellungen.
Dadurch ergab sich eine weitere Möglichkeit, näher an Binances Wallet-Infrastruktur heranzukommen.
29. Oktober 2026 – Wallet-Signaturvorgänge im Visier
Zwischen 17:15 und 19:56 UTC griff der Angreifer auf den Computer von Softwareingenieur C zu, verwendete von Wallet-DevOps-Ingenieur A gestohlene Zugangsdaten, stellte einen Container bereit und löste ein bösartiges Skript aus.
Dadurch konnten die Angreifer schließlich auf Wallet-Signaturvorgänge zugreifen und die unbefugten Überweisungen ausführen.
🇰🇵 5. WER WAR VERANTWORTLICH?
Laut dem Bericht von Binance weisen die neuesten vom Federal Bureau of Investigation (FBI) veröffentlichten Informationen darauf hin, dass die Demokratische Volksrepublik Korea (DVRK) für den Vorfall verantwortlich war.
Binance gab außerdem bekannt, dass sein Sicherheitsteam im Laufe des Jahres 2026 57 mutmaßliche Cyberbedrohungsfälle mit Verbindungen zu Nordkorea erkannt und abgewehrt hat.
Bei diesen Versuchen kamen unter anderem folgende Techniken zum Einsatz:
Betrügerische Vorstellungsgespräche.
Bösartige Entwickler-Software.
Kompromittierte Softwarepakete.
Bösartige Browser-Erweiterungen.
Gefälschte Videokonferenzanwendungen.
Social-Engineering-Kampagnen.
Diebstahl von Zugangsdaten und Schadsoftware für Fernzugriffe.
Dies verdeutlicht die zunehmende Cyberbedrohung, der Kryptowährungsbörsen und Blockchain-Infrastrukturen ausgesetzt sind.
🛡️ 6. WAS HAT BINANCE ZUR VERBESSERUNG DER SICHERHEIT UNTERNOMMEN?
Binance berichtet, bis zum 3. November 2026 bereits mehrere Sicherheitsverbesserungen umgesetzt zu haben.
Dazu gehören:
Der Wiederaufbau des betroffenen Wallet-Systems in einer neuen Umgebung.
Der Wiederaufbau des betroffenen internen KI-Tools und die Verschärfung der Zugriffskontrollen.
Der Austausch betroffener Mitarbeitergeräte.
Die Deaktivierung von Zugangsdaten und Tokens, die mit den betroffenen Ingenieuren verknüpft waren.
Umfassendere Sicherheitsprüfungen auf den Geräten der Mitarbeiter.
Die Verbesserung der KI-gestützten Erkennung von Verhaltensanomalien.
Die Verschärfung der Risikokontrollen für Wallet-Dienste.
Die Zusammenarbeit mit Strafverfolgungsbehörden, Blockchain-Analyseunternehmen und Branchenpartnern, um gestohlene Vermögenswerte zurückzuverfolgen und einzufrieren.
Binance zufolge wurden die beim Angriff genutzten Einstiegspunkte geschlossen und die Systeme entlang des Angriffswegs neu aufgebaut oder ersetzt.
🔍 7. WAS PASSIERT ALS NÄCHSTES?
Binance hat drei zentrale Bereiche für zusätzliche Sicherheitsinvestitionen angekündigt.
1. Unabhängige Cybersicherheitsprüfung
Binance zieht unabhängige externe Cybersicherheitsexperten hinzu, die den Vorfall umfassend prüfen, die Untersuchungsergebnisse bestätigen und weitere Sicherheitsverbesserungen empfehlen sollen.
2. Ausbau der Investitionen in KI-Sicherheit
Die Börse plant, ihre Investitionen in folgende Bereiche zu erhöhen:
KI-gestützte Bedrohungserkennung.
Endpunktschutz.
Sicherheit von Entwicklerumgebungen.
Überwachung von Verhaltensanomalien.
3. Fonds für Sicherheitsforschung und Brancheninitiativen
Binance arbeitet daran, einen Fonds für Sicherheitsforschung und gezielte Initiativen mit führenden KI-Unternehmen, Akteuren der Blockchain-Branche und Cybersicherheitsfirmen aufzubauen.
Ziel ist es, die KI-Sicherheit zu verbessern und ähnliche Angriffe in Blockchain-Umgebungen zu verhindern.
📊 8. DAS GROSSE BILD
Dieser Vorfall erinnert daran, dass selbst große Kryptowährungsbörsen ausgeklügelten Cyberbedrohungen ausgesetzt sind.
Der Angriff nutzte nicht nur eine einzelne Schwachstelle aus. Er kombinierte Social Engineering, kompromittierte Entwicklertools, gestohlene Zugangsdaten, Zugriff auf interne Systeme und fortgeschrittene Blockchain-Autorisierungstechniken.
Der Vorfall zeigt außerdem, dass der Schutz digitaler Vermögenswerte mehr erfordert als die Sicherung privater Schlüssel.
Wallet-Signaturdienste, Mitarbeitergeräte, Entwicklerumgebungen, KI-Tools, Zugriffsberechtigungen und On-Chain-Autorisierungsmechanismen müssen alle durch starke Sicherheitskontrollen geschützt werden.
Binance erklärt, im Verlauf der Untersuchung weiterhin Informationen zu veröffentlichen. Einige technische Details bleiben vertraulich, damit Angreifer sie nicht ausnutzen können.
MEINE EINSCHÄTZUNG:
Die wichtigsten Fragen sind jetzt, ob Binance dauerhafte Verbesserungen seiner Sicherheitsinfrastruktur nachweisen kann, wie gründlich unabhängige Experten die Untersuchung überprüfen und ob die Branche aus diesem Vorfall lernt.
Die finanziellen Verluste auszugleichen ist wichtig, aber einen weiteren Angriff zu verhindern ist noch wichtiger.
Die Kryptowährungsbranche braucht strengere Sicherheitsstandards, besseren Schutz für Mitarbeiter und eine transparentere Berichterstattung über Sicherheitsvorfälle.
Was denken Sie?
Kann Binance nach einem Sicherheitsvorfall mit einem Schaden von 6,34 Milliarden US-Dollar das Vertrauen der Nutzer vollständig zurückgewinnen?
Wird KI-gestützte Sicherheit für Kryptowährungsbörsen unverzichtbar?
Sollten alle großen Börsen ausführlichere, unabhängige Sicherheitsprüfungsberichte veröffentlichen?
Teilen Sie Ihre Gedanken in den Kommentaren.
Quelle: Binances erster Bericht zum Sicherheitsvorfall. Die Untersuchung und die unabhängige Prüfung dauern noch an.
Keine Finanzberatung. Informieren Sie sich immer selbst (DYOR) und managen Sie Ihr Risiko.$