Am 3. November 2026 hat Binance erste Erkenntnisse zum Diebstahl vom 29. Oktober veröffentlicht, bei dem Werte von rund 6,34 Milliarden US-Dollar betroffen waren. Am Anfang stand keine Lücke in der Börse, sondern ein Bewerbungsgespräch. Und diese Methode funktioniert gegen jede Firma, die Entwicklerinnen und Entwickler beschäftigt.
Was passiert ist
Der erste Bericht von Binance, zusammengefasst von The Hacker News, beschreibt eine Kampagne über fünf Monate. Im Juni 2026 suchte jemand aus dem Wallet-Team nach einem bekannten KI-Coding-Werkzeug und installierte dabei eine manipulierte Version von Homebrew, dem Paketmanager für macOS. Binance bemerkte das, ersetzte das Gerät und wechselte die Zugangsdaten. Doch da wussten die Angreifer bereits, wer an der Wallet-Infrastruktur arbeitet.
Im September wurde eine dieser Personen über eine Jobplattform angesprochen, laut Fortune über LinkedIn. Ein «Project Director» einer Firma, die es nicht gibt, bezog sich auf die Erfahrung bei Binance. Eine falsche Personalabteilung führte ein Live-Videointerview und zeigte ein Social-Media-Konto mit privaten Fotos, um echt zu wirken. In der zweiten Runde schrieb ein angeblicher CEO in einer Chat-App und bat zum Schluss darum, eine Programmieraufgabe auf den Arbeitscomputer herunterzuladen. Deren Setup startete den Code der Angreifer.
Der Code ersetzte pyenv, ein verbreitetes Werkzeug zur Verwaltung von Python-Versionen, im Homebrew-Verzeichnis durch eine manipulierte Kopie, meldete sich bei einem Server und verwischte seine Spuren. Binance spricht von einer Zero-Day-Schadsoftware, die der Endpoint-Schutz damals nicht erkannte.
Am 20. Oktober übernahmen die Angreifer von diesem Computer aus und über ein internes KI-Werkzeug die Computer von zwei weiteren Personen aus dem Engineering. Auf einem davon fanden sie ein Token, mit dem sich Container ausrollen liessen. Am 29. Oktober zwischen 17:15 und 19:56 UTC rollten sie einen Container mit einem bösartigen Skript aus. Es erreichte den internen Signierdienst der Wallets und startete Transaktionen ausserhalb des normalen Auszahlungsprozesses.
Ein weiterer Schritt machte den Diebstahl schwer aufzuhalten. Über EIP-7702, eine Ethereum-Funktion, mit der ein Wallet einem Smart Contract Ausführungsrechte übertragen kann, gaben sie einem Vertrag unter ihrer Kontrolle Rechte über ein Hot Wallet. Die Auszahlungen zu stoppen half nicht, weil die Berechtigung bereits auf der Blockchain lag, und weil das Wallet von mehreren Parteien gemeinsam signiert wird, konnte kein einzelner Schlüssel sie schnell widerrufen. Binance entfernte die Delegation am 30. Oktober um 00:10 UTC.
Laut Binance wurden rund 2,85 Milliarden Dollar eingefroren oder abgefangen. Andere Medien nennen leicht abweichende Zahlen für den Schaden und für den zurückgeholten Betrag, und der Bericht ist ausdrücklich ein Zwischenstand.
Wer dahintersteckt
Binance verweist auf Informationen des FBI, wonach Nordkorea verantwortlich ist. Das FBI schreibt den Angriff der Gruppe zu, die es TraderTraitor nennt, auch bekannt als Lazarus Group oder Jade Sleet. Binance selbst nennt keine Gruppe. Allein 2026 habe man 57 mutmasslich nordkoreanische Versuche erkannt und gestoppt.
Die Methode ist bekannt. Im September warnten Behörden aus Japan, den USA, Australien und Deutschland gemeinsam vor einer Kampagne falscher Bewerbungsgespräche namens Contagious Interview, mit über 30'000 infizierten Geräten in mehr als 100 Ländern. Ob der Angriff auf Binance zu dieser Kampagne gehört, ist nicht bestätigt. Das Muster ist aber dasselbe: ein glaubwürdiges Angebot, mehrere Gesprächsrunden und am Ende Code, den die Bewerberin oder der Bewerber selbst startet.
Warum dich das betrifft
Wenige Firmen verwalten Milliarden in Kryptowährungen. Viele haben aber Entwickler und Administratorinnen, deren Laptops Zugang zur Produktion enthalten: Deployment-Tokens, Cloud-Schlüssel, SSH-Schlüssel, Admin-Sitzungen. Genau darauf zielte dieser Angriff. Ein Bewerbungsgespräch ist ein guter Weg hinein, weil es ausserhalb der Prozesse der Firma stattfindet, oft am Abend und über einen privaten Kanal, und weil wer sich bewirbt, einen guten Eindruck machen will und tut, worum gebeten wird.
Keiner der einzelnen Schritte ist neu. Eine gefälschte Homebrew-Seite, verteilt über Werbung, wurde im Frühling dokumentiert, und manipulierte Programmiertests, gefälschte Videokonferenz-Apps und angebliche Kamera-Fixes sind seit 2023 beschrieben.
Was du jetzt tun solltest
- Bewerbungsaufgaben als fremden Code behandeln. Nichts aus einem Bewerbungsprozess läuft auf einem Arbeitsgerät. Wer eine Aufgabe ansehen will, tut das in einer Wegwerf-VM ohne Zugang zu Firmenkonten. Halte das als Regel fest, damit niemand es mitten im Gespräch entscheiden muss.
- Langlebige Geheimnisse gehören nicht auf Laptops. Rechte zum Ausrollen gehören in kurzlebige, eng begrenzte Tokens, die für eine Aufgabe ausgestellt werden und danach ablaufen. Ein Token auf einem Laptop hat hier aus einem kompromittierten Gerät Zugang zur Produktion gemacht.
- Entwicklerwerkzeuge überwachen. Die Endpoint Detection sollte Alarm schlagen, wenn Programme in Verzeichnissen von Paketmanagern wie /opt/homebrew ausserhalb eines Updates ersetzt werden. Installiere Werkzeuge aus der offiziellen Quelle, nicht über ein Suchergebnis oder eine Anzeige.
- Interne KI-Werkzeuge begrenzen. Ein Assistent, der im Namen seiner Nutzer viele Systeme erreicht, ist ein attraktives Sprungbrett. Gib ihm nur den Zugriff, den er braucht, und protokolliere, was er tut.
- Über Lockvögel im Recruiting sprechen. Awareness-Schulungen behandeln meist Rechnungen und Paketbenachrichtigungen. Nimm Jobangebote dazu: Ein echter Arbeitgeber verlangt nicht, Code auf dem Arbeitscomputer auszuführen, einen Kamera-Fix zu installieren oder einen Befehl ins Terminal zu kopieren.
- An öffentliche Profile denken. Laut Fortune dürfen Mitarbeitende von Binance in Rollen ohne Aussenauftritt kein LinkedIn-Profil führen. Das passt nicht zu jeder Firma, aber wer privilegierten Zugang hat, sollte wissen, dass das eigene Profil Angreifern verrät, wen sie ansprechen müssen.
- Für das planen, was sich nicht schnell stoppen lässt. Hier hielt der Auszahlungsstopp bereits erteilte Berechtigungen nicht auf. Jede Organisation hat ihre eigene Version davon, etwa Zugänge, die weiter funktionieren, nachdem ein Konto gesperrt wurde. Finde sie vor einem Vorfall, nicht währenddessen.
Für Bewerberinnen und Bewerber ist die Kurzfassung einfach: Wenn ein Recruiter dich bittet, etwas auszuführen, dann auf einem Gerät, auf dem nichts zu verlieren ist, oder gar nicht.
Wie weit käme ein kompromittierter Entwickler-Laptop in deiner Firma? Pentesting und Beratung →