Binance-Hack: Der Angriff begann mit einem gefälschten Bewerbungsgespräch

Der größte Diebstahl in der Geschichte des Kryptomarkts begann mit einem Bewerbungsgespräch. Binance hat am 3. November 2026 einen ersten Vorfallbericht zum Hack vom 29. Oktober vorgelegt. Danach erreichten die Angreifer die Hot Wallets der Börse nicht über einen gestohlenen Schlüssel, sondern über monatelange Vorarbeit: ein manipuliertes Softwarepaket im Juni, ein gefälschtes Bewerbungsverfahren im September und ein internes KI-Werkzeug im Oktober. Der Schaden liegt laut Binance bei mehr als 6,3 Milliarden Dollar.

Für Kunden der Börse ändert der Bericht wenig am Stand der Dinge: Binance sagt, rund 98 Prozent der betroffenen Bestände seien mit Firmenmitteln ersetzt, und öffnet die Auszahlungen schrittweise. Wichtiger ist die Methode. Dieselbe Masche aus falschen Jobangeboten und vergifteten Testaufgaben richtet sich seit Jahren auch gegen Entwickler, Freiberufler und Privatanleger, und sie ist mit wenigen Gewohnheiten abzuwehren.

Binance-Vorfallbericht: Wie der 6,3-Milliarden-Hack begann

Den Bericht hat Binance am Dienstag über den eigenen Kanal auf X veröffentlicht, ergänzt durch ein Pressegespräch mit Sicherheitschef Jimmy Su, über das CoinDesk berichtet. The Block nennt in seiner Zusammenfassung des Berichts eine Summe von 6,34 Milliarden Dollar. Beide Medien beschreiben dieselbe Abfolge in vier Stufen, die sich über fünf Monate zog.

Am 30. Oktober hatte Binance die Ursache noch knapp mit einem kompromittierten Laptop im DevOps-Team beschrieben. Der neue Bericht erklärt, wie die Angreifer an dieses Gerät kamen und warum ein einzelner Rechner genügte. Co-Chef Richard Teng fasste es auf X so zusammen, sinngemäß übersetzt: Es habe sich um keinen einzelnen Fehler und keinen einzelnen Einbruch gehandelt, die Täter hätten über Monate eine Kampagne geführt.

Die vier Stufen im Überblick

• Juni 2026: Ein Ingenieur aus dem Wallet-DevOps-Team installiert ein manipuliertes Homebrew-Paket.
• September 2026: Ein zweiter Mitarbeiter lädt im Rahmen eines falschen Bewerbungsverfahrens eine präparierte Programmieraufgabe auf seinen Dienstrechner.
• 20. Oktober 2026: Über diesen Rechner und ein internes KI-Werkzeug übernehmen die Angreifer die Geräte zweier Wallet-Ingenieure.
• 29. Oktober 2026, 20:05 UTC: Mit erbeuteten Zugangsdaten starten sie einen Container mit einem Schadskript, die Mittel fließen ab.

Gefälschtes Bewerbungsverfahren: Die Programmieraufgabe mit Zero-Day-Schadsoftware

Der entscheidende Zugang entstand im September. Nach Angaben von Su wurde ein Softwareingenieur über eine echte Jobplattform kontaktiert. Der Absender gab sich als Projektleiter aus. Es folgte ein Videogespräch mit einer angeblichen Personalverantwortlichen, die zur Vertrauensbildung ein Social-Media-Profil mit privaten Fotos teilte. In einem zweiten Gespräch trat ein angeblicher Firmenchef auf.

Am Ende stand eine Programmieraufgabe, wie sie in technischen Bewerbungsverfahren üblich ist. Der Ingenieur lud sie auf seinen Arbeitsrechner. Die Datei enthielt laut Su eine Zero-Day-Schadsoftware, die den Endpunktschutz des Geräts umging. Eine Zero-Day-Lücke ist eine Schwachstelle, die dem Hersteller der Schutzsoftware noch nicht bekannt ist, weshalb es zum Zeitpunkt des Angriffs auch keine Erkennung dafür gibt.

Das Muster ist nicht neu. Die Warnung des FBI vom 3. September 2024 beschreibt genau diese Vorgehensweise: Die Täter studieren berufliche Netzwerke, bauen über lange Gespräche Vertrauen auf, treten mit mehreren Personen auf und lassen ihre Opfer am Ende Code ausführen, etwa als Einstellungstest oder Fehlersuche mit unbekannten Paketen.

Manipuliertes Homebrew-Paket: Der erste Zugriff im Juni

Homebrew ist ein verbreiteter Paketmanager für macOS, mit dem Entwickler Programme über die Kommandozeile installieren. Laut dem Bericht, wie ihn The Block wiedergibt, suchte ein Ingenieur aus dem Wallet-DevOps-Team im Juni ein KI-Werkzeug zum Programmieren und erwischte dabei eine manipulierte Installation.

Binance entdeckte die Auffälligkeit nach eigener Darstellung, tauschte das Gerät aus und erneuerte die betroffenen Zugangsdaten. Die Angreifer wussten danach trotzdem, wer im Wallet-Team arbeitet und welche Rolle der Mann hatte. Diese Kenntnis über Personen ließ sich nicht zurücksetzen. Der Vorfall im Juni war damit kein Fehlschlag für die Täter, er lieferte die Landkarte für den zweiten Anlauf.

Internes KI-Werkzeug: Der Sprung von Rechner zu Rechner

Am 20. Oktober setzten die Angreifer den im September infizierten Rechner ein. Über ein internes KI-Werkzeug von Binance gelangten sie auf die Computer zweier Ingenieure aus dem Wallet-Team. Auf einem dieser Geräte fanden sie eine Berechtigung, Container in der Produktionsumgebung zu starten. Ein Container ist eine abgeschlossene Softwareumgebung, in der ein Programm mit genau den Rechten läuft, die ihm zugewiesen sind.

Neun Tage später, am 29. Oktober, nutzten sie diese Berechtigung. Sie starteten einen Container und ließen darin ein Skript laufen, das den Angriff auf die Wallet-Infrastruktur auslöste. Das KI-Werkzeug half nach dem Bericht sowohl beim Sprung zwischen den Rechnern als auch beim Zugriff auf die Signierumgebung der Wallets.

EIP-7702 und MPC-Wallet: Eindämmung erst nach gut vier Stunden

Die Mittel verließen die Börse laut CoinDesk ab 20:05 UTC. Eingedämmt war der Angriff erst am 30. Oktober um 00:10 UTC. Den Grund nannte Su im Pressegespräch: Die Angreifer nutzten EIP-7702, eine Erweiterung von Ethereum aus dem Pectra-Upgrade, mit der ein normales Konto vorübergehend die Logik eines Smart Contracts übernehmen kann. So verschafften sie sich Ausführungsrechte über eine Hot Wallet.

Binance verwahrt seine Hot Wallets mit Multi-Party Computation (MPC). Dabei existiert der private Schlüssel nie an einem Ort, mehrere Beteiligte erzeugen jede Signatur gemeinsam. Das schützt gegen den Diebstahl eines einzelnen Schlüssels. Im Fall von Binance hatte es eine Kehrseite: Laut Su konnte kein einzelner Schlüssel die erteilte Berechtigung wieder entziehen, deshalb zog sich die Eindämmung bis nach Mitternacht.

Nordkorea und TraderTraitor: Was das FBI zuschreibt und Pjöngjang bestreitet

Das FBI ordnet den Angriff der nordkoreanischen Gruppe TraderTraitor zu. Binance selbst spricht in seinem Bericht von Social Engineering, Schadsoftware und kompromittierten KI-Werkzeugen und schreibt, man habe 2026 bereits 57 mutmaßlich nordkoreanische Angriffsversuche mit ähnlichen Methoden abgewehrt.

Nordkorea weist die Zuschreibung zurück. Die Schwester von Machthaber Kim Jong-un bezeichnete die Angaben des FBI laut The Block am Montag als „schwere politische Provokation“. Belastbare Belege für eine andere Urheberschaft liegen bislang nicht vor; die Zuordnung bleibt eine Einschätzung der US-Behörden.

Eingefroren, ersetzt, SAFU halbiert: Der Stand der Binance-Kundengelder

Nach eigenen Angaben hat Binance rund 2,85 Milliarden Dollar eingefroren oder abgefangen und etwa 98 Prozent der betroffenen Bestände mit Firmenmitteln aufgefüllt. Teng betont, Nutzer seien vom Schaden nicht betroffen. Seit dem 3. November um 4:00 UTC öffnet die Börse die Auszahlungen in Phasen für Dutzende Token auf BNB Smart Chain, Ethereum, Solana, XRP Ledger, Sui, Arbitrum, Optimism, TRON und Base. Zuerst kamen die Token mit der größten Nachfrage der vergangenen Woche an die Reihe. Danach lagen die stündlichen Einzahlungen laut Binance über den Auszahlungen.

Für die Entschädigung greift Binance auch auf den SAFU-Fonds zurück, den Notfallfonds der Börse für Nutzerverluste. Laut CoinDesk, gestützt auf Daten von mempool.space, sank dessen Bitcoin-Bestand durch vier Transaktionen am 31. Oktober von 15.000 auf gut 7.500 BTC. Beim Bitcoin-Kurs von rund 77.600 Dollar am Dienstagnachmittag laut CoinGecko entspricht das etwa 580 Millionen Dollar. Binance hat zugesagt, den Fonds wieder auf rund eine Milliarde Dollar aufzufüllen, ohne einen Zeitpunkt zu nennen. Der Börsen-Token BNB notierte zur selben Zeit bei rund 700 Dollar, 0,4 Prozent unter dem Vortag.

Als Konsequenz nennt der Bericht geschlossene Einfallstore, neu aufgesetzte oder ersetzte Systeme, strengere Gerätekontrollen und eine erweiterte, KI-gestützte Erkennung von auffälligem Verhalten. Zusätzlich gibt Binance eine unabhängige Prüfung der Cybersicherheit in Auftrag.

So schützt du dich vor Fake-Recruitern und Schadsoftware in Testaufgaben

Was passiert ist: Angreifer kontaktierten im September 2026 einen Binance-Ingenieur über eine Jobplattform, führten mit falschen Identitäten Videogespräche und brachten ihn dazu, eine verseuchte Programmieraufgabe auf seinem Dienstrechner zu öffnen. Am 29. Oktober flossen darüber mehr als 6,3 Milliarden Dollar ab (Binance-Vorfallbericht, Stand 3. November 2026).

Bist du betroffen? Als Binance-Kunde musst du nach Angaben der Börse keinen Verlust tragen; dein Guthaben wird ersetzt, Auszahlungen kommen phasenweise zurück. Betroffen sein kannst du von derselben Masche, wenn du in der Kryptobranche arbeitest, Code schreibst oder dich auf Jobangebote mit Kryptobezug bewirbst. Ein Anzeichen ist ein ungewöhnlich schnelles, gut bezahltes Angebot, das in eine Aufgabe mündet, für die du fremde Dateien herunterladen und ausführen sollst.

1. Identität getrennt prüfen: Ruf das Unternehmen über eine selbst gesuchte Nummer oder Adresse an, bevor du einer Einladung zu einem zweiten Gespräch folgst, und verlass dich nie auf Kontaktdaten aus der Nachricht des Recruiters.
2. Testaufgaben nur abgeschottet: Öffne Programmieraufgaben aus Bewerbungsverfahren ausschließlich in einer virtuellen Maschine ohne Zugang zu deinen Wallets, Passwörtern und Firmenkonten, so wie es das FBI empfiehlt.
3. Keine Seed Phrase auf vernetzten Geräten: Speichere Wiederherstellungssätze und private Schlüssel nie auf Rechner, Handy oder in der Cloud; eine Schadsoftware durchsucht genau diese Ablagen zuerst.
4. Software nur aus der Originalquelle: Installiere Entwicklerwerkzeuge, KI-Assistenten und Browser-Erweiterungen nur über den Link auf der Herstellerseite und vergleiche bei Paketmanagern Namen und Herausgeber genau.
5. Größere Beträge offline: Halte, was du nicht handelst, auf einer Hardware-Wallet und nutze für Tests, DeFi und Airdrops eine getrennte Wallet mit kleinem Betrag.

Die Grundlagen der sicheren Verwahrung erklärt unser Ratgeber Kryptowährungen sicher aufbewahren, die passenden Geräte vergleicht der Hardware-Wallet-Vergleich.

Social Engineering gegen Privatanleger: Die Masche reicht weit über Börsen hinaus

Social Engineering bezeichnet Angriffe, die am Menschen ansetzen statt an der Technik: Täter erschleichen sich Vertrauen und bringen ihr Opfer dazu, selbst die entscheidende Handlung auszuführen. Bei Binance war das der Download einer Testaufgabe. Bei Privatanlegern ist es meist die Freigabe einer Transaktion, die Eingabe der Seed Phrase oder die Installation einer vermeintlich nützlichen App.

Gefälschte Jobangebote sind dabei ein wiederkehrender Weg. Das FBI nennt neben Bewerbungstests auch angebliche Investitionsangebote und Anfragen bekannter Branchenköpfe, die mit gestohlenen Fotos und nachgebauten Firmenseiten arbeiten. Wer Kryptowerte auf demselben Rechner verwaltet, auf dem er auch fremde Dateien öffnet, trägt im Kleinen dasselbe Risiko wie Binance im Großen.

Der Fall zeigt auch, dass eine gute Schlüsselverwaltung allein nicht reicht. Binance nutzte MPC und tauschte nach dem ersten Vorfall im Juni das Gerät aus. Den Angriff stoppte das nicht, weil die Täter Berechtigungen statt Schlüssel stahlen und ihr Wissen über das Team behielten. Für Anleger heißt das: Trenne die Geräte, mit denen du arbeitest und surfst, von dem Gerät, mit dem du signierst.

Binance-Hack: Ein Bewerbungsgespräch öffnete den Weg zu 6,3 Milliarden

Der Vorfallbericht macht aus dem Rekord-Hack einen Fall von Personalsicherheit. Drei Schritte helfen dir, die Lehre daraus auf deine eigenen Bestände zu übertragen:

1. Getrennte Wallet für Tests: Richte für DeFi, Airdrops und neue Anwendungen eine eigene Software-Wallet mit kleinem Betrag ein. Passende Apps findest du im Software-Wallet-Vergleich.
2. Langfristigen Bestand offline halten: Was du nicht handelst, gehört auf ein Gerät, das nie fremden Code ausführt. Modelle und Preise zeigt der Hardware-Wallet-Vergleich.
3. Börsen nach Zulassung wählen: Für das Guthaben, das du auf einer Handelsplattform lässt, zählen EU-Zulassung, Reservenachweis und klare Regeln zur Entschädigung. Anbieter mit MiCA-Lizenz listet der Vergleich regulierter Krypto-Börsen.

(Stand: 3. November 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)