Dark Reading berichtete am 2. November, dass Angreifer bei Binance Kryptowährungen im Wert von 6,3 Milliarden Dollar gestohlen haben, nachdem sie von einem kompromittierten Laptop eines Mitarbeiters zu Systemen vorgedrungen waren, die Kryptowährungsabhebungen autorisieren können. Die Börse erklärt, sie habe rund 95 Prozent der betroffenen Vermögenswerte mit eigenen Mitteln ersetzt, während der berichtete Angriffsweg Fragen für Organisationen aufwirft, deren vertrauenswürdige interne Systeme hochwertige Transaktionen freigeben können.
Der Diebstahl ereignete sich laut Bericht in der Vorwoche. Unter Berufung auf die Angaben von Binance beschrieb Dark Reading einen Angriff, der ein Hot Wallet – also ein mit Online-Systemen verbundenes Wallet – erreichte und innerhalb von rund 20 Minuten Milliarden Dollar abzog. Außerdem hieß es in dem Bericht, das FBI habe den Angriff der nordkoreanischen Gruppe TraderTraitor zugeschrieben.
Für Verwahrer von Kryptowährungen stellt sich vor allem die unmittelbare Frage, ob ein kompromittiertes Mitarbeitergerät zu Geldern führen kann. Dieselbe Frage betrifft Unternehmen, deren interne Dienste Zahlungen freigeben, auf Kundendatenbanken zugreifen oder Softwareauslieferungen autorisieren können, sagten Sicherheitsexperten gegenüber Dark Reading.
Vom Entwickler-Laptop zur Auszahlungsfreigabe
Binance nannte in den ersten Ergebnissen einen Laptop eines Mitarbeiters als Ausgangspunkt. Die anschließende Untersuchung fand weitere Angriffspunkte und weitete den Vorfall damit über dieses Gerät hinaus.
Die Angreifer nutzten den kompromittierten Laptop des Entwicklers, um auf einen internen Dienst-Container zuzugreifen, eine Umgebung mit Software, die Auszahlungsanfragen einleiten darf. Von dort aus nutzten sie weitere Angriffspunkte sowie einen Ethereum-Mechanismus zur Kontodelegation, der es erlaubt, die Befugnis über ein Konto zuzuweisen, um die Freigabebefugnis für Transaktionen über ein Hot Wallet zu erlangen.
Die Angreifer scheinen Binances übliche Freigabekontrollen umgangen zu haben. Binance erklärte, man habe keine Belege dafür gefunden, dass durchgesickerte Wallet-Schlüssel genutzt wurden. Diese privaten Schlüssel autorisieren Kryptowährungsüberweisungen, doch ihr Schutz allein sichert nicht jedes System ab, das ihre Nutzung anfordern darf.
Waseem Ahmed, Leiter Engineering bei Secure.com, sagte gegenüber Dark Reading, die verfügbaren Informationen deuteten darauf hin, dass die Angreifer das eigene Signiersystem von Binance genutzt hätten, um die Überweisungen zu signieren. Das würde erklären, wie eine unautorisierte Überweisung eine gültige kryptografische Signatur tragen konnte: Der Signiervorgang konnte funktionieren, während die Entscheidung zur Freigabe der Transaktion falsch war.
Der genaue Ablauf der unautorisierten Freigaben und die bestehenden Sicherheitsvorkehrungen sind noch unklar, da Binance die Untersuchung fortsetzt. Nach dem Angriff leitete die Börse die Einfrierung von rund 3 Milliarden Dollar ein. Die gesonderte Angabe, rund 95 Prozent der betroffenen Vermögenswerte ersetzt zu haben, beschreibt den Ersatz durch Unternehmensmittel und nicht die Rückholung der gestohlenen Kryptowährung.
Unabhängige Kontrollen für wertvolle Vermögenswerte
Tim Rawlins, Senior Adviser und Director of Security bei NCC Group, sagte, Plattformen mit digitalen Vermögenswerten bräuchten unabhängige Sicherheitsebenen, damit die Kompromittierung einer Komponente allein keine Überweisung autorisieren kann. Er empfahl, Gelder zwischen Hot Wallets und Cold Wallets aufzuteilen, die Schlüssel offline halten, um zu begrenzen, wie viel ein einzelner Angriff offenlegen kann.
Rawlins empfahl außerdem eigene Arbeitsstationen mit privilegiertem Zugriff für Entwickler und Administratoren, die kritische Vorgänge ausführen, getrennt von Geräten für E-Mail und Web-Browsing. Eine kontinuierliche Überwachung sollte helfen, kompromittierte Endpunkte und ungewöhnliche Aktivitäten zu erkennen, bevor Angreifer privilegierten Zugriff ausnutzen.
Die Prüfung müsse alle Komponenten und privilegierten Rollen abdecken, deren Kompromittierung jemandem die Kontrolle über Gelder verschaffen könnte, einschließlich der Systeme, die die Nutzung von Schlüsseln anfordern und freigeben, sagte er. Dazu gehören Threat Modelling – also die Abbildung plausibler Wege, auf denen ein Angreifer einen wertvollen Vermögenswert erreichen könnte – sowie das Testen des gesamten Transaktionsprozesses.
John Bruggeman, virtueller Chief Information Security Officer beim IT-Dienstleister CBTS, sagte, große Börsen müssten prüfen, was vertrauenswürdige Identitäten und Systeme tun dürfen, und zwar neben Perimeterschutz und Authentifizierung. Zu seinen Empfehlungen gehörten die Verwaltung privater Schlüssel, Multifaktor-Authentifizierung für die Nutzung von Schlüsseln, Obergrenzen für Transfersummen, Alarme bei großen Überweisungen, Endpoint Detection auf jedem Gerät der Mitarbeiter und die Analyse des Nutzerverhaltens.
Außerdem forderte er Limits für die Auszahlungsrate, Kontrollen zum Schutz von Wallets und Krypto-Verwahrung sowie eine Trennung der Aufgaben: Ein Nutzer sollte nicht gleichzeitig eine Überweisung auslösen und abschließen können.
Ahmed empfahl eine menschliche Freigabe vor Aktionen, die Geld oder Daten bewegen, sowie systemübergreifend gemeinsam durchgesetzte Limits. Sicherheitsteams sollten den gesamten Weg vom Laptop eines Mitarbeiters bis zur Auszahlung testen, sagte er. Ein Beispiel: Wird der Auszahlungsdienst durch ein Unternehmenszahlungssystem ersetzt, stellt sich eine ähnliche Frage: Kann ein kompromittiertes Gerät einen Dienst erreichen, dem vertraut wird, Geld freizugeben?
Ein breiteres Muster von Kryptowährungsdiebstählen
Dark Reading bezeichnete den Binance-Diebstahl als den größten Einbruch bei einer Kryptowährungsbörse, gemessen am Wert. Börsen seien mit vielen Bedrohungen konfrontiert, die auch Banken kennen, doch laut dem Bericht hätten sie nicht im gleichen Umfang Aufsicht im Bereich operativer Risiken und Sicherheit erfahren.
Frühere Vorfälle zeigen mehrere Wege zu Geldern: Bybit verlor im Februar 2025 rund 1,5 Milliarden Dollar, nachdem Angreifer einen Freigabeprozess für eine Ethereum-Cold-Wallet manipuliert hatten. Binance verlor im Mai 2019 7.000 Bitcoin, nachdem Angreifer API-Schlüssel von Nutzern und Codes der Zwei-Faktor-Authentifizierung erlangt hatten. Im Oktober 2026 kompromittierten Angreifer schließlich ein Drittanbieter-Skript auf der Website von Polymarket, um Gelder aus einigen Nutzer-Wallets abzuziehen.
Dark Reading berichtete, nordkoreanische Akteure seien für 76 Prozent des Geldes verantwortlich, das Händler bisher im Jahr 2026 als gestohlen gemeldet hätten, und in sechs der vergangenen neun Jahre für mindestens ein Drittel der gemeldeten Kryptowährungsdiebstähle.
Robert Coles, Senior Manager Threat Intelligence Security bei Black Duck, sagte, Organisationen sollten bewerten, wie viel Schaden ein Angreifer anrichten kann, nachdem er den ersten Zugang erlangt hat. Für Sicherheitsteams, die den Binance-Angriff untersuchen, besteht die praktische Aufgabe darin, kritische Systeme und privilegierte Konten zu identifizieren und dann zu testen, welche unabhängigen Kontrollen verhindern würden, dass ein kompromittiertes Gerät sie erreicht und eine Aktion mit hohen Auswirkungen ausführt.
