Binance-Hack begann mit gefälschtem Vorstellungsgespräch

Der Angriff auf die Kryptobörse Binance, bei dem im Oktober digitale Vermögenswerte im Wert von rund 6,34 Milliarden US-Dollar gestohlen wurden, begann mit einem gefälschten Bewerbungsverfahren. Das geht aus einem Vorfallsbericht hervor, den Binance veröffentlicht hat. Das Unternehmen spricht von einer ausgefeilten, mehrstufigen Kampagne und ordnet den Angriff wie zuvor das FBI Nordkorea zu. Es ist der größte bekannte Diebstahl von Kryptowährungen. Der bisherige Rekord lag bei rund 1,5 Milliarden Dollar beim Angriff auf die Börse Bybit im Februar 2025.

Bewerbungsaufgabe mit Schadcode

Laut Binance wurde im September ein Softwareentwickler des Unternehmens über eine legitime Jobplattform von einer Person kontaktiert, die sich als Projektleiter einer erfundenen Firma ausgab. Laut Fortune handelte es sich um LinkedIn. In einer ersten Gesprächsrunde per Videoanruf mit einer angeblichen Personalverantwortlichen sollten private Fotos und Videos in sozialen Netzwerken Vertrauen aufbauen. Die zweite Runde fand über eine verbreitete Chat-App mit einem angeblichen CEO statt. Dabei sollte der Entwickler eine Programmieraufgabe aus einem Online-Repository herunterladen, das Schadcode enthielt. Er nutzte dafür seinen Arbeitslaptop.

Internes KI-Werkzeug als Brücke

Über den kompromittierten Rechner und ein internes KI-Werkzeug gelangten die Angreifer laut Sicherheitschef Jimmy Su später an die Computer von zwei Entwicklern, die für die Wallet-Infrastruktur zuständig sind. Darüber erlangten sie Zugriff auf die Systeme, mit denen Binance digitale Vermögenswerte verwaltet. Wie genau das KI-Werkzeug missbraucht wurde, geht aus den Berichten nicht im Detail hervor.

Binance setzte Auszahlungen nach dem Angriff für rund 48 Stunden aus. Bis zum 3. November wurden nach Unternehmensangaben rund 2,85 Milliarden Dollar der gestohlenen Werte eingefroren oder abgefangen. 98 Prozent der betroffenen Token-Bestände hat Binance bis zum 31. Oktober wieder aufgefüllt. Unterstützt wird das Unternehmen bei der Verfolgung der Gelder unter anderem vom FBI und vom US Secret Service.

57 Angriffsversuche in diesem Jahr

Nach eigenen Angaben hat Binance 2026 bereits 57 mutmaßlich nordkoreanische Angriffsversuche erkannt und abgewehrt, viele davon mit ähnlichen Methoden wie gefälschten Bewerbungsgesprächen, manipulierten Entwicklerwerkzeugen und Social Engineering. Kim Yo-jong, Schwester des nordkoreanischen Machthabers Kim Jong-un, bezeichnete die Zuordnung durch das FBI als schwere politische Provokation.

Gefälschte Stellenangebote nutzt die Nordkorea zugeordnete Gruppe Lazarus seit Jahren unter dem Namen Operation DreamJob. Kaspersky hatte im Oktober eine Kampagne beschrieben, bei der Lazarus KI-generierte Bewerberprofile und gefälschte Lebenslauf-Websites einsetzte. Unternehmen sollten Beschäftigte dafür sensibilisieren, Bewerbungsaufgaben nie auf Arbeitsrechnern auszuführen.

(red)