Binance warnte vor gefälschten Bewerbungen – und fiel selbst darauf herein

Der Sicherheitschef von Binance erläuterte im vergangenen Sommer detailliert, wie Hacker über ein fingiertes Bewerbungsverfahren Zugang zur Kryptobörse erlangen könnten. Wenige Monate später trat genau dieser Fall ein: Binance wurde Opfer des bislang größten Diebstahls der Kryptobranche.

Binance kannte die Angriffsmethode bereits

Im Juli sprach Jimmy Su, Chief Security Officer von Binance, mit dem Nachrichtenportal Cointelegraph über die wachsenden Bedrohungen für die Börse. Fingierte Bewerbungsverfahren bezeichnete er dabei als ein Risiko, das intern große Sorgen bereite.

Su beschrieb auch den Ablauf eines solchen Angriffs. Die Hacker geben sich als Arbeitgeber aus und bieten einem Mitarbeiter eine Stelle an, die genau zu seinem Profil passt. Im Bewerbungsverfahren bringen sie ihn dazu, Programmcode auszuführen – angeblich als technischen Eignungstest.

Sobald der Code ausgeführt werde, sei das Gerät kompromittiert, erläuterte Su. Die Angreifer könnten dann beginnen, Zugangsdaten abzugreifen.

Mit den gestohlenen Zugangsdaten können die Hacker laut Su tiefer in das Unternehmensnetzwerk eindringen. Cointelegraph hatte diese Passage im Juli nicht in den Artikel aufgenommen und veröffentlicht sie erst jetzt.

Fingiertes Bewerbungsgespräch war Ausgangspunkt des Binance-Hacks

Im September lud ein Softwareentwickler von Binance während eines fingierten Bewerbungsgesprächs eine mit Schadsoftware präparierte Programmieraufgabe auf seinen Dienstlaptop herunter. Das geht aus einem Untersuchungsbericht hervor, den die Börse vergangene Woche veröffentlichte.

Die Infektion war der Ausgangspunkt eines mehrstufigen Angriffs. Am 29. Oktober verschwanden rund 6,3 Milliarden Dollar aus den Wallets von Binance – mehr als viermal so viel wie beim bisherigen Rekordhack auf Bybit.

Su erläuterte bereits im Juli, weshalb Sicherheitssoftware einen solchen Angriff übersehen kann. Eine solche Aufgabe besteht aus unauffällig wirkenden Einzelschritten, etwa dem Herunterladen von Code von GitHub.

Deshalb werde kein Alarm ausgelöst, erklärte er. Jeder einzelne Schritt sei für sich genommen legitim. Viele Antivirenprogramme könnten den Angriff daher möglicherweise weder erkennen noch als verdächtig einstufen.

Binance kam später zum selben Ergebnis: Die Schadsoftware war im Installationsprozess der Programmieraufgabe verborgen. Durch die gezielte Verschleierung des Codes, die ihn schwer lesbar macht, umging sie die Sicherheitskontrollen.

Verantwortung liegt bei Binance selbst

Su betonte im Juli, dass die Börse dieses Risiko selbst abfangen müsse. Mitarbeiter dürften sich selbstverständlich nach anderen Stellen umsehen. Bedenklich sei jedoch, wenn sie dafür ein Firmengerät nutzten.

Falle dennoch jemand auf ein fingiertes Bewerbungsgespräch herein, sei Binance dafür verantwortlich, den Angriff zu erkennen. Deshalb testet ein internes Red Team, das Hackerangriffe simuliert, die Mitarbeiter jeden Monat.

Seit drei bis vier Jahren geschieht das mit Phishing-Übungen: Gefälschte Nachrichten sollen die Mitarbeiter dazu verleiten, Zugangsdaten preiszugeben. Insgesamt sind das etwa 36 bis 48 Testrunden. Dennoch reichte ein einziges überzeugend inszeniertes Bewerbungsgespräch aus.

Die Bedrohung hält an: Binance blockierte in diesem Jahr bereits 57 Cyberangriffe, hinter denen mutmaßlich Nordkorea steckte – ungefähr einen alle fünf Tage. Auch für den Binance-Hack im Oktober macht das FBI Nordkorea verantwortlich.