Binance hat am 3. November seinen ersten Bericht zum Angriff vom 29. Oktober vorgelegt. Betroffen waren digitale Vermögenswerte von rund 6,34 Milliarden US-Dollar, nach Einschätzung von Analysefirmen der größte bekannte Krypto-Diebstahl. Lehrreich für Entscheider ist vor allem der Weg dorthin: Er führte über ein Bewerbungsgespräch und ein internes KI-Werkzeug.
Wie die Angreifer an die Wallet-Signierung kamen
Laut Binance lockten die Täter einen Ingenieur in eine Reihe fingierter Vorstellungsgespräche. Eine Programmieraufgabe enthielt neuartige Schadsoftware, die der Endgeräteschutz nicht erkannte. Über den infizierten Rechner nutzten die Angreifer am 20. Oktober ein internes KI-Tool. Damit verschafften sie sich Kontrolle über die Rechner zweier Ingenieure aus dem Wallet-Team.
Bei einem von ihnen fanden sie ein Berechtigungstoken für Container-Deployments. Am 29. Oktober meldeten sie sich mit gestohlenen Zugangsdaten am Rechner des zweiten Ingenieurs an. Von dort starteten sie einen Container mit einem Skript, das bis in die Wallet-Signierung reichte. Binance betont, es habe sich um mehr als einen einfachen Phishing-Fall gehandelt.
Wer hinter dem Angriff steht und was gesichert ist
Das FBI ordnete den Diebstahl am 31. Oktober der nordkoreanischen Gruppe TraderTraitor zu, wie Help Net Security aus der Warnmeldung berichtet. Dieselbe Gruppe hatte die Behörde bereits für den Bybit-Hack im Februar 2025 verantwortlich gemacht. Nordkorea weist die Vorwürfe zurück.
Nach Angaben von Binance waren bis zum 3. November rund 2,85 Milliarden US-Dollar eingefroren oder abgefangen. Den Großteil der betroffenen Token-Bestände hat die Börse bereits ersetzt, Kunden sollen keinen Schaden tragen. Der Bericht ist ausdrücklich vorläufig. Unabhängige Sicherheitsfirmen prüfen die Befunde.
Was der Fall für Banken und Asset Manager bedeutet
Bemerkenswert ist die Vorgeschichte. Binance hat nach eigenen Angaben 2026 bereits 57 mutmaßlich nordkoreanische Angriffsversuche abgewehrt. Chainalysis zählt Dutzende ähnliche Fälle mit fingierten Jobinterviews, in denen die Täter ihr Vorgehen schrittweise verfeinert haben. Eine einzelne Lücke reichte trotzdem.
Für Häuser, die KI-Assistenten mit weitreichenden Rechten einführen, liegt hier die eigentliche Lehre. Ein internes Werkzeug mit Zugriff auf Kollegen und Systeme wird im Ernstfall zum Hebel der Angreifer. Nach Einschätzung von altii gehören solche Tools deshalb in dieselbe Rechteprüfung wie privilegierte Nutzerkonten. Auch Entwicklerrechner und Bewerbungsprozesse rücken damit in die Risikoanalyse, die DORA von EU-Finanzunternehmen ohnehin verlangt.
Für Investoren mit Kryptoengagement stellt sich zudem die Frage nach dem Kontrahentenrisiko. Dass Binance den Schaden aus eigenen Mitteln deckt, schützt die Kunden in diesem Fall. Eine solche Kapitaldecke kann nicht jede Handelsplattform oder Verwahrstelle vorweisen.
Worauf Due-Diligence-Teams jetzt achten
Offen ist, wie das KI-Tool den Zugriff auf die Rechner der Kollegen genau ermöglichte. Der Abschlussbericht und die externe Prüfung dürften zeigen, ob die Freigabeprozesse für Auszahlungen strukturell versagt haben. Fragen nach Signaturkontrollen, Rechten von KI-Werkzeugen und dem Schutz von Entwicklerumgebungen gehören damit in jeden Prüfkatalog für Kryptodienstleister.
* DE: Die ergänzenden Inhalte können KI-generiert sein. EN: The additional content may be AI-generated.