Binance: Sicherheitsvorfall von 6,3 Mrd. USD bestätigt

Die Binance hat einen Sicherheitsvorfall mit einem geschätzten Einfluss von etwa 6,3 Milliarden USD bestätigt. Laut der vorläufigen Untersuchung der Börse könnte der Angreifer das kompromittierte Notebook eines DevOps-Ingenieurs genutzt haben, um auf einen Dienstcontainer zuzugreifen und unautorisierte Abhebungsordern einzureichen. Das Unternehmen erklärt, keine Hinweise auf ein Leck privater Schlüssel von Wallets gefunden zu haben und hat etwa 3 Milliarden USD der betroffenen Vermögenswerte eingefroren.

Laut TRM Labs, einem Unternehmen für Blockchain-Analyse, floß der Großteil der Mittel in etwa 20 Minuten ab 20:05 UTC am Donnerstag (29.) aus Binance-Wallets über zehn verschiedene Blockchains. TRM schätzt den Wert auf 6,36 Milliarden USD und klassifiziert ihn als den größten je verzeichneten Diebstahl von Krypto-Assets, fast viermal so hoch wie der Angriff auf Bybit mit 1,5 Milliarden USD im Februar 2025.

Die Zuordnung und was noch fehlt

TRM schreibt den Angriff TraderTraitor zu, einer Hackergruppe, die mit der nordkoreanischen Regierung verbunden ist, und bewertet diese Einschätzung "mit hoher Zuverlässigkeit" auf Grundlage von Informationen innerhalb und außerhalb der Blockchain. Chainalysis kam zu einer ähnlichen Schlussfolgerung, berichtet CoinDesk, das hervorhebt, dass die Urheberschaft noch nicht conclusiv geklärt ist. Bis zum Abschluss dieses Artikels hatte Binance den Angriff öffentlich nicht Nordkorea zugeschrieben, und keine Regierung hatte diese Zuordnung offiziell bestätigt.

Die Vorgeschichte erklärt, warum Analysten schnell zum gleichen Namen kamen. Im Fall Bybit hat das FBI den Diebstahl von 1,5 Milliarden USD formal Nordkorea zugeordnet. Das Muster wiederholt sich: Anstatt die Verschlüsselung der Wallets zu knacken, kompromittiert die Gruppe eine Person oder einen Anbieter, der legitimen Zugang zur Infrastruktur für Signaturen und Abhebungen hat.

Ein Endpoint-Problem, kein Blockchain-Problem

Für einen CISO außerhalb der Krypto-Welt ist dies der zentrale Punkt der Geschichte. Die vorläufige Erklärung von Binance beschreibt einen klassischen Angriff auf Unternehmensumgebungen: ein Ingenieurgerät mit erhöhten Rechten, Zugang zu einem Produktionscontainer und die Fähigkeit, Transaktionen auszulösen, ohne dass ein zweiter Kontrollmechanismus die Operation blockiert. Nichts davon hängt von der Blockchain ab. Die gleiche Kette funktioniert gegen das Zahlungssystem einer Bank oder gegen die Bereitstellungspipeline eines Softwareanbieters.

Das Gegenargument verdient Beachtung. Binance gibt an, dass kein privater Schlüssel durchgesickert ist und hat in wenigen Stunden fast die Hälfte des Wertes eingefroren, was zeigt, dass das Monitoring in der Kette den tatsächlichen Schaden verringert. Für diejenigen, die den Fall als Beweis ansehen, dass zentrale Börsen von Natur aus unsicher sind, sind die eingefrorenen 3 Milliarden USD eine unangenehme Tatsache. Für diejenigen, die diesen Kontrollen vertrauen, sind auch die übrigen 3,3 Milliarden USD problematisch.

Was Binance noch nicht erklärt hat, ist, warum eine einzige Ingenieursberechtigung ausreichte, um innerhalb von 20 Minuten Milliarden zu bewegen. Das Unternehmen hat einen detaillierten Bericht nach Abschluss der Untersuchung in Aussicht gestellt.

Das gleiche Vektor in anderen Märkten

In Japan gibt es einen direkten Präzedenzfall. Im Dezember 2024 haben das FBI und die japanische Nationale Polizeibehörde den TraderTraitor für den Diebstahl von über 300 Millionen USD von der Börse DMM Bitcoin verantwortlich gemacht, der nach der Täuschung eines Mitarbeiters eines Wallet-Softwareanbieters durch ein fingiertes Stellenangebot durchgeführt wurde. Der Weg ist derselbe: die Person mit Zugang, nicht das Protokoll.

In Brasilien ging der Angriff im Juli 2025 auf C&M Software, ein Unternehmen, das institutionelle Kunden mit dem Pix verbindet, von den Anmeldedaten eines Mitarbeiters aus und leitete Mittel von Reservekonten der institutionellen Kunden ab. Es gab keine Verbindung zu Nordkorea, aber das Vektor ist identisch mit dem von Binance beschriebenen und führte dazu, dass die Zentralbank die Anforderungen an Technologieanbieter des Finanzsystems verschärfte.

In den USA und Europa wirkt sich der Vorfall auf Banken aus, die institutionellen Kunden die Verwahrung von Krypto-Assets anbieten, sowie auf Fintechs, die Börsen über APIs integrieren. Für diese Käufer verwandelt ein Vorfall über 6,3 Milliarden USD, der von einem einzigen Notebook ausgeht, die Standardfrage der Due Diligence über Schlüssel und kalte Wallets in eine Frage darüber, wer die Produktionscontainer des Anbieters verwaltet.

Die maßgebliche Kennzahl für Aufsichtsräte ist nicht die Höhe des Diebstahls. Es ist, wie viele Personen intern oder bei Anbietern heute in der Lage sind, eine relevante Überweisung auszulösen, ohne dass ein zweites Paar Augen die Operation genehmigt.