Wie der Binance-Hack begann: ein gefälschter Download und ein gefälschtes Vorstellungsgespräch

Als wir über den Binance-Hack vom 29. Oktober berichtet haben, war eine Frage noch offen: Wie sind die Angreifer hineingekommen? Am 3. November veröffentlichte Binance seine erste ausführliche Darstellung. Demnach begann der Angriff nicht mit fehlerhaftem Code, sondern mit einem gefälschten Download und einem gefälschten Vorstellungsgespräch. Hier liest du, was laut Binance passiert ist und was jeder daraus mitnehmen kann.

Das Wichtigste: Wie begann der Binance-Hack?

• Binance spricht von einer „monatelangen Kampagne“, nicht von einem einzelnen Fehler einer Person.
• Im Juni lud ein Ingenieur bei der Suche nach einem beliebten KI-Programmierwerkzeug eine manipulierte Version herunter.
• Im September gaben falsche Recruiter einem anderen Ingenieur einen Programmiertest mit versteckter Schadsoftware.
• Danach bewegten sich die Angreifer über die Computer von Beschäftigten bis zu dem System, das Wallet-Transaktionen freigab.
• Das ist vor allem Binances eigene Darstellung. Eine externe Sicherheitsfirma prüft sie.
• Dieselben Tricks treffen auch normale Menschen: gefälschte Downloads, gefälschte Angebote und falsches Vertrauen.

Wie sind die Angreifer hineingekommen?

Zunächst erklärte Binance, der Vorfall „könnte den kompromittierten Laptop eines DevOps-Ingenieurs betreffen“. Co-CEO Richard Teng weist die Vorstellung einer einzelnen Schwachstelle nun zurück und sagt, die Angreifer hätten „Monate damit verbracht, sich ihren Weg hinein zu bauen“. Laut CNBC und The Record beschreibt Binance vier Phasen:

• Juni: ein gefälschter Download. Ein Binance-Ingenieur lud ein manipuliertes Installationsprogramm herunter, „um ein beliebtes KI-Programmierwerkzeug zu installieren, nachdem er in einer Suchmaschine danach gesucht hatte“. Binance bemerkte das, ersetzte den Computer und änderte die Zugangsdaten. Die Angreifer hätten aber bereits von der Rolle des Ingenieurs und seinen Kollegen im Wallet-Team erfahren.
• September: ein gefälschtes Vorstellungsgespräch. Die Angreifer „gaben sich als Recruiter aus und führten eine Reihe von Vorstellungsgesprächen mit einem anderen Ingenieur“, sagte Teng zu CNBC. Am Ende stand eine Programmieraufgabe mit „versteckter Schadsoftware, die Sicherheitsmaßnahmen umgehen sollte“.
• Bis 20. Oktober: Bewegung im Unternehmen. Die Angreifer breiteten sich auf weitere Computer von Beschäftigten aus, berichtete The Record. Teng sagt, sie seien über interne KI-Werkzeuge zu „dem System gelangt, das unsere Wallet-Transaktionen autorisierte“.
• 29. Oktober: der Diebstahl. Für die ersten Überweisungen wurde ein interner Dienst zum Signieren von Wallet-Transaktionen genutzt, berichtete The Record. Es folgten eine Bitcoin-Überweisung im Wert von 1,4 Milliarden $ und 50 weitere Transaktionen. Binance beziffert die Gesamtsumme auf 6,34 Milliarden $.

Binance hatte zuvor erklärt, keine Hinweise darauf gefunden zu haben, dass private Wallet-Schlüssel abgeflossen seien. Ein privater Schlüssel ist der geheime Code, der eine Wallet kontrolliert. Nach dieser Darstellung mussten die Angreifer die Schlüssel also nicht stehlen. Sie drangen in das System ein, das sie benutzen durfte.

Was ist noch unbekannt?

Das meiste davon stammt von Binance selbst. Das Unternehmen sagt, es habe die betroffenen Systeme neu aufgebaut und eine Sicherheitsfirma mit der Prüfung des Vorfalls beauftragt; diese Prüfung ist noch nicht veröffentlicht. Das FBI sagt, Nordkorea sei verantwortlich. Nordkorea bestreitet das, und Teng selbst hat keinen Angreifer genannt. Binance sagt, es habe 98 % der betroffenen Vermögenswerte mit eigenem Geld ersetzt.

Warum ist das wichtig, wenn du kein Ingenieur bist?

Du betreibst kein Wallet-System. Aber die ersten Schritte dieses Angriffs würden bei fast jedem funktionieren, denn sie zielen auf Gewohnheiten statt auf Technik:

• Einem Suchergebnis vertrauen. Die US-Handelsbehörde FTC warnt, dass Betrüger „gefälschte Software-Anzeigen in sozialen Medien und Suchmaschinen schalten“.
• Einer Chance vertrauen. Ein Jobangebot, eine Testaufgabe oder ein Anlage-Tool können der Grund sein, eine Datei zu öffnen, die du sonst ignorieren würdest.
• Über die Zeit vertrauen. Nicht jeder Betrug setzt dich unter Druck. Diese Angreifer führten zuerst eine Reihe von Gesprächen.

Wie erkennst du Phishing-Mails und -Nachrichten?

Phishing ist eine Nachricht, die vorgibt, von jemandem zu stammen, dem du vertraust, damit du klickst, zahlst oder ein Geheimnis preisgibst. Die Ratschläge der FTC und der US-Cyberbehörde CISA laufen auf diese Anzeichen hinaus:

• Druck: dringender Ton oder schlimme Folgen, wenn du nicht sofort reagierst.
• Frage nach Geheimnissen: dein Login, deine Zahlungsdaten, persönliche Daten oder ein Code.
• Eine seltsame Adresse: ein Absender oder Link mit einem veränderten Buchstaben oder ein gekürzter Link.
• Eine Überraschung: ein Kontoproblem, eine Rechnung, eine Erstattung oder ein Gewinn, den du nicht erwartet hast.
• Ein Anhang, um den du nicht gebeten hast: Die FTC warnt, dass er Schadsoftware installieren kann, also Programme, die Schaden anrichten sollen.

Gute Rechtschreibung beweist nichts: CISA weist darauf hin, dass KI ausgefeilte Nachrichten schreiben kann. Und in den Worten der FTC: „Seriöse Unternehmen senden per E-Mail oder SMS keinen Link, um deine Zahlungsdaten zu aktualisieren.“

Was solltest du tun und was lassen?

• Lade direkt von der Quelle herunter. Nutze den offiziellen App-Store oder tippe die Webadresse selbst ein. Klicke nicht auf Software-Anzeigen.
• Öffne oder starte keine Dateien von Fremden, auch nicht für einen Bewerbungstest, ein „praktisches Tool“ oder eine geteilte Anlagetabelle.
• Prüfe über einen zweiten Weg. Falls eine Nachricht echt sein könnte, ignoriere ihre Links und Nummern. Öffne die offizielle App oder such die Kontaktdaten auf der offiziellen Website.
• Halte deine Geräte aktuell und stelle Sicherheitssoftware auf automatische Updates.
• Nutze für jedes Konto ein anderes Passwort und aktiviere die Zwei-Faktor-Authentifizierung (2FA), eine zweite Prüfung neben dem Passwort. CISA empfiehlt „Phishing-resistente“ Varianten.
• Gib niemals deine Wiederherstellungsphrase, privaten Schlüssel oder Einmalcodes weiter. Niemand, der es ehrlich meint, braucht sie.

Was, wenn du schon geklickt hast?

Handle schnell und schäme dich nicht: Diese Tricks haben auch Profis getäuscht. Die FTC rät bei Schadsoftware:

1. Melde dich nicht mehr bei Online-Konten an.
2. Aktualisiere deine Sicherheitssoftware oder installiere welche.
3. Starte einen Scan und entferne, was er findet.
4. Ändere deine Passwörter und aktiviere 2FA.

Falls ein Krypto-Konto betroffen sein könnte, wende dich über die offizielle App oder Website an den Anbieter. Sei vorsichtig bei allen, die anbieten, dein Geld zurückzuholen: Das IC3 des FBI nennt solche Angebote „einen Trick, um diejenigen erneut zu schädigen, die bereits Geld verloren haben“.

Was solltest du jeden Krypto-Anbieter fragen?

Ob du ein Unternehmen nutzt oder deine Schlüssel selbst verwahrst: Angriffe zielen auf die Menschen und Systeme rund um die Schlüssel. Bevor du einem Anbieter vertraust, frag:

• Wer verwahrt die Schlüssel: dieses Unternehmen oder eine separate Verwahrstelle?
• Wie viel liegt online, und wer kann eine Auszahlung freigeben?
• Ist es dort zugelassen, wo du lebst, und von wem?
• Was passiert mit deinem Geld nach einem Hack oder einer Insolvenz?

Keine Antwort beseitigt das Risiko. Beim Bybit-Hack 2025 kamen die Angreifer über den Computer eines Entwicklers bei einem externen Wallet-Software-Anbieter hinein. Ein anderes Unternehmen zu nutzen, verschiebt das Risiko, beseitigt es aber nicht. Mehr dazu in unserem Artikel darüber, wo eine Börse deine Kryptowährungen aufbewahrt.

Was du mitnehmen kannst

Die Analysefirma TRM Labs nennt dies den größten Krypto-Diebstahl aller Zeiten. Nach Binances Darstellung begann er mit einem Suchergebnis und einem Jobangebot. Die Verteidigung ist selten kompliziert: langsamer werden, über einen zweiten Weg prüfen und niemals starten oder weitergeben, was dir ein Fremder schickt.

Was du jetzt tun kannst

• Baue alltägliche Gewohnheiten in unserer Einführung in die Sicherheit auf.
• Übe an echten Beispielen in Erkenne den Betrug.
• Lerne in Kryptowährungen aufbewahren, wie Wallets und Schlüssel funktionieren.

Häufige Fragen

Wurde der Binance-Hack von einem einzelnen Beschäftigten verursacht?

Binance sagt nein. Das Unternehmen beschreibt monatelange Arbeit über die Computer mehrerer Ingenieure und interne Werkzeuge und hat keine einzelne Person beschuldigt.

Sind Job-Betrugsmaschen auch für normale Menschen ein Risiko?

Ja. Wer für eine „Testaufgabe“ Software installieren oder eine Datei öffnen soll, sollte das Unternehmen zuerst selbst prüfen.

Ist gute Rechtschreibung ein Zeichen dafür, dass eine Nachricht echt ist?

Nein. CISA warnt, dass KI ausgefeilte Nachrichten schreiben kann. Prüfe deshalb lieber den Absender und die Bitte.

Kryptopreise können stark steigen und fallen, und du könntest einen Teil oder das gesamte eingesetzte Geld verlieren. Kryptowährungen sind nicht durch die Einlagensicherung geschützt. Dieser Artikel dient der Bildung und ist keine Finanzberatung.