Binance: Hacker womöglich schon acht Wochen vor Milliardendiebstahl im System

Die Hacker hinter dem massiven Angriff auf Binance hatten möglicherweise bereits acht Wochen lang Zugriff auf die Systeme der Kryptobörse, bevor sie zuschlugen. Das geht aus einer neuen Untersuchung der Sicherheitsorganisation Security Alliance (SEAL) hervor.

Bei dem Angriff am 29. Oktober wurden Kryptowährungen im Wert von rund 6,3 Milliarden Dollar gestohlen. Die neuen Erkenntnisse werfen die Frage auf, wie lange die Angreifer unbemerkt agieren konnten.

Binance-Hacker hatten möglicherweise schon seit September Zugriff

Nach Angaben von SEAL verschaffte sich die nordkoreanische Hackergruppe TraderTraitor vermutlich im September Zugang zu den Systemen von Binance.

Die Angreifer sollen anschließend wochenlang Informationen gesammelt und ihre Zugriffsrechte ausgeweitet haben. Erst am 29. Oktober verübten sie den eigentlichen Diebstahl.

Der Zeitraum von acht Wochen beruht auf einer Schätzung von SEAL. Binance hat bislang nicht bestätigt, dass die Hacker tatsächlich so lange Zugriff hatten.

Die Kryptobörse hatte zuvor bereits offengelegt, wie die Angreifer eindringen konnten. In einem vorgetäuschten Bewerbungsgespräch wurde ein Mitarbeiter dazu gebracht, Schadsoftware herunterzuladen. So erhielten die Hacker Zugang zu internen Systemen.

Bemerkenswert ist, dass Binance bereits im Juni einen separaten Angriff entdeckt hatte. Ein anderer Mitarbeiter hatte damals unwissentlich infizierte Software installiert.

Das Unternehmen ersetzte das betroffene Gerät und sperrte die zugehörigen Zugangsdaten. Nach Angaben von Binance hatten die Angreifer zu diesem Zeitpunkt jedoch bereits Informationen über Mitarbeiter und die Systeme zur Verwaltung von Krypto-Wallets gesammelt.

Diese Kenntnisse konnten später zur Vorbereitung des Milliardendiebstahls genutzt werden.

Nordkoreanische Hacker nutzen gefälschte Stellenangebote

Laut SEAL nutzt TraderTraitor schon seit Längerem gefälschte Stellenangebote, um Mitarbeiter von Kryptounternehmen anzugreifen.

Die Sicherheitsorganisation entdeckte mindestens vier Scheinfirmen, die 2026 für solche Angriffe genutzt wurden.

Die Hacker gaben sich als Personalvermittler aus und kontaktierten Mitarbeiter mit attraktiven Stellenangeboten. Während des Bewerbungsverfahrens versuchten sie, die Betroffenen zum Öffnen infizierter Dateien zu bewegen.

Nach dem Eindringen konnten die Angreifer versuchen, sich Zugang zu immer sensibleren Unternehmensbereichen zu verschaffen.

Nach Einschätzung von SEAL folgt der Angriff auf Binance einem wiederkehrenden Muster. Beim Hack der Kryptobörse Bitget, bei dem rund 388 Millionen Dollar gestohlen wurden, hatten die Angreifer vermutlich sechs Wochen lang Zugriff, bevor sie zuschlugen.

Auch bei den Angriffen auf LayerZero und AFX sollen Hacker bereits Wochen zuvor in die Systeme eingedrungen sein.

FBI macht nordkoreanische Hacker verantwortlich

Die US-Bundespolizei FBI hat den Binance-Hack der Hackergruppe TraderTraitor zugeschrieben, die nach Angaben der Ermittler Verbindungen zu Nordkorea unterhält. Pjöngjang bestreitet eine Beteiligung.

Binance hat inzwischen mehrere Sicherheitsmaßnahmen ergriffen. Das Unternehmen hat betroffene Systeme neu aufgesetzt, Zugangsdaten ausgetauscht und zusätzliche Kontrollen eingeführt.

Zudem arbeitet die Kryptobörse bei den weiteren Untersuchungen mit externen Sicherheitsexperten zusammen. Nach Angaben von Binance sollen die Kunden nicht für den finanziellen Schaden aufkommen müssen.

SEAL betont, dass der Angriff ein grundlegendes Sicherheitsproblem offenlegt. Es reicht nicht aus, das Eindringen von Hackern zu verhindern. Kryptounternehmen müssen verdächtige Aktivitäten auch dann erkennen können, wenn Angreifer bereits Zugang zu ihren Systemen haben.

Bei Binance hatten die Hacker der neuen Schätzung zufolge möglicherweise fast zwei Monate Zeit, ihren Angriff vorzubereiten.