Binance nennt ein gefälschtes Jobinterview als Teil des Hacks um 6,3 Milliarden Dollar

Am Anfang der entscheidenden Phase stand ein Bewerbungsgespräch. Im September wurde ein Softwareentwickler von Binance über eine seriöse Jobplattform von einer Person kontaktiert, die sich als Projektleiter ausgab. Nach einem ersten Videointerview mit einer angeblichen Personalabteilung folgte eine zweite Runde in einer verbreiteten Chat-App. Die dort gestellte Aufgabe war laut dem ersten Untersuchungsbericht der Kryptobörse ein präpariertes Code-Archiv, das der Entwickler auf seinen Arbeitsrechner lud. Es ersetzte einen Bestandteil einer verbreiteten Entwicklersoftware durch eine Schadversion und öffnete den Angreifern so den Zugang zu dem Gerät.

Das Jobinterview war allerdings nur ein Baustein. Binance beschreibt eine „ausgeklügelte, mehrstufige Kampagne“ und ausdrücklich keinen einzelnen Einbruch oder simplen Phishing-Fall. Insgesamt waren laut dem Bericht digitale Vermögenswerte im Wert von rund 6,34 Milliarden US-Dollar betroffen. Rund 2,85 Milliarden Dollar davon seien eingefroren oder abgefangen worden, wobei sich die Summe mit den Kursen noch verschieben könne.

Die Vorgeschichte reicht laut Binance bis in den Juni zurück. Damals lud ein Mitarbeiter aus dem Team, das die Wallets betreut, eine manipulierte Installationsdatei des Mac-Paketmanagers Homebrew herunter, die er über eine Suchmaschine gefunden hatte. Im September folgte das gefälschte Bewerbungsverfahren beim zweiten Entwickler. Ab 20. Oktober nutzten die Angreifer dessen kompromittierten Rechner und ein internes KI-Werkzeug, um sich zu weiteren Entwicklerinnen und Entwicklern vorzuarbeiten.

Am 29. Oktober meldeten sie sich am Computer eines dritten Entwicklers an und verschafften sich unberechtigten Zugriff auf einen internen Dienst, der Transaktionen der Wallets signiert. Darüber stießen sie Überweisungen an der regulären Auszahlungsprüfung vorbei an und nutzten einen Autorisierungsmechanismus der Ethereum-Blockchain namens EIP-7702. Weil die betroffenen Hot Wallets mit verteilten Schlüsseln arbeiten, gab es nach Darstellung von Binance keinen einzelnen privaten Schlüssel, mit dem sich die bösartigen Freigaben sofort hätten widerrufen lassen.

Der eigentliche Abfluss begann am Abend des 29. Oktober. Zwischen 21.05 und 21.09 Uhr mitteleuropäischer Zeit schickten fünf Hot Wallets von Binance 233,46 Millionen XRP an eine Adresse der Angreifer. Dazu kamen nach Angaben der Börse unter anderem rund 970.500 Solana, 44,2 Millionen Optimism-Token und 18.270 Bitcoin. Die letzte unberechtigte Überweisung über 2.961,9 Ether wurde kurz vor 1 Uhr früh abgeschlossen, um 1.10 Uhr waren die Zugriffe widerrufen.

Hinter dem Angriff steht nach Angaben von Binance Nordkorea. Die jüngsten Informationen der US-Bundespolizei FBI deuteten darauf hin, dass die Demokratische Volksrepublik Korea verantwortlich sei, heißt es im Bericht. Die Ermittlungen laufen weiter, die Ergebnisse sollen unabhängig überprüft werden. Binance gibt an, im laufenden Jahr bereits 57 mutmaßlich nordkoreanische Cyberangriffsversuche registriert zu haben.

Für den Schaden will die Börse selbst aufkommen. „Binance wird die finanziellen Folgen der gestohlenen Mittel tragen, nicht unsere Nutzer“, schreibt das Unternehmen. Dafür seien mehr als 100 Prozent der nötigen Summe zurückgelegt worden. Laut dem sechsten Wiederherstellungs-Update vom 3. November werden die Verluste nicht an die Nutzerinnen und Nutzer weitergegeben. Auszahlungen werden seit 1. November schrittweise für weitere Kryptowährungen wieder freigegeben, Einzahlungen waren durchgehend möglich.

Um zu belegen, dass die Kundenguthaben gedeckt sind, hat Binance einen Reservenachweis veröffentlicht. Nach dem fünften Update sind rund 95 Prozent des betroffenen Betrags ersetzt, offen seien Token außerhalb der zehn wichtigsten Kryptowährungen der Börse. Für Kundinnen und Kunden lässt sich der Stand über einen kryptografischen Nachweis selbst prüfen.

Der Fall zeigt, wie Angreifer die Schwachstelle Mensch nutzen. Ein Bewerbungsverfahren wirkt vertraut, und Programmieraufgaben gehören in der Softwarebranche zum Alltag. Wer eine solche Aufgabe auf einem Firmenrechner ausführt, holt sich unter Umständen Schadsoftware ins Unternehmensnetz, ohne einen verdächtigen Link angeklickt zu haben. Ähnlich unauffällig war der erste Schritt im Juni: Eine manipulierte Installationsdatei, die über eine Suchmaschine auftauchte, reichte für den Einstieg.

Entscheidend war am Ende der Zugang zum Signierdienst, also zu jener Stelle, an der Transaktionen freigegeben werden. Bis dorthin arbeiteten sich die Angreifer laut dem Bericht über Wochen von einem kompromittierten Gerät zum nächsten vor. Binance kündigt an, seine Erkenntnisse unabhängig überprüfen zu lassen.

Binance: 29 October 2026 Binance Security Incident: Initial Findings and Response Update (3. November 2026)

Binance: Security Incident, Recovery Update #6: Withdrawals Reopen for More Assets (3. November 2026)

Binance: Security Incident, Recovery Update #5: October 31st PoR Snapshot Now Fully Verifiable by Users (2. November 2026)