Fake-Jobinterview war Teil von Milliarden-Krypto-Diebstahl

• Binance hat sein Wallet-System neu aufgebaut und die Sicherheitsvorkehrungen verschärft, nachdem 6,3 Milliarden US-Dollar verschwunden sind.
• Hinter dem Cyberangriff auf die Krypto-Börse soll Nordkorea stecken.
• Die Hacker sollen unter anderem fingierte Bewerbungsgespräche und manipulierte Softwaredownloads genutzt haben und den Angriff über Monate vorbereitet haben.

Bei einem Cyberangriff auf die Krypto-Börse Binance waren vergangene Woche auf einen Schlag 6,3 Milliarden US-Dollar verschwunden. Verantwortlich gemacht wird Nordkorea.

«Der Angriff spielte sich innerhalb weniger Stunden und über mehrere Netzwerke ab. Nach dem derzeitigen Kenntnisstand verschafften sich die Täter unbefugten Zugriff auf einen internen Dienst zur Signierung von Wallet-Transaktionen. Damit konnten sie Transaktionen ausserhalb des regulären Auszahlungsprozesses auslösen», schreibt Binance in einem Update zur Situation am Dienstag.

Mehrstufige Vorbereitung

Die Untersuchung deutet laut der Krypto-Börse auf «eine mehrstufige Kampagne» hin, nicht auf einen einzelnen isolierten Einbruch. Binance nennt Social Engineering über fingierte Bewerbungsgespräche, manipulierte Softwaredownloads, kompromittierte interne KI-Werkzeuge, übernommene Endgeräte und die missbräuchliche Nutzung der Transaktionsautorisierung als Bausteine des Angriffs.

Dem Bericht zufolge begann der Angriff bereits im Juni, als ein Mitarbeiter des Wallet-Entwicklerteams ein manipuliertes Tool aus dem Internet herunterlud. Die Börse erkannte dies später, ersetzte das Gerät und änderte Zugangsdaten.

Im September wurde ein Softwareentwickler über eine seriöse Jobsuche-Plattform von einer Person kontaktiert, die sich als Projektdirektor ausgab. Nach einem ersten Videogespräch mit einer angeblichen HR-Vertretung folgte ein zweites Gespräch mit einer Person, die sich als CEO eines erfundenen Unternehmens ausgab. Um Vertrauen zu schaffen, teilte die angebliche HR-Vertretung sogar ein Social-Media-Profil mit persönlichen Fotos und Videos.

Während des zweiten Gesprächs, das über eine gängige Chat-Anwendung lief, wurde der Mitarbeiter gegen Ende gebeten, eine vermeintliche Testaufgabe herunterzuladen. In dieser Datei war ein Schadcode enthalten. «Er ersetzte unter anderem eine legitime Komponente eines Entwicklungstools durch eine manipulierte Variante, führte Befehle aus und baute eine Verbindung zu einem von den Angreifern kontrollierten Server auf», schreibt Binance. Die Malware habe dabei Verschleierungs- und Umgehungstechniken genutzt, Spuren entfernt und sei zum damaligen Zeitpunkt von den Endpunktschutzsystemen nicht erkannt worden.

Am 20. Oktober nutzte der Angreifer den kompromittierten Computer und ein internes KI-Tool, um die Systeme des ersten Wallet-Entwicklers und eines zweiten Wallet-Entwicklers zu übernehmen. Neun Tage später nutzte der Angreifer den Computer des zweiten Wallet-Entwicklers, gestohlene Zugangsdaten des ersten Entwicklers und ein schädliches Skript, um den Angriff zu starten.

Sicherheitsmassnahmen ergriffen

Als nächste Schritte kündigte Binance eine umfassende unabhängige Cybersecurity-Prüfung an. Bis zum 3. November 2026 hat Binance nach eigenen Angaben das betroffene Wallet-System in einer neuen Umgebung neu aufgebaut, das interne KI-Tool samt Zugriffskontrollen überarbeitet, betroffene Geräte ersetzt und zugehörige Zugangsdaten sowie Tokens stillgelegt. Es erfolgten zudem erweiterte Sicherheitsprüfungen auf allen Mitarbeitergeräten, die KI-gestützte Verhaltensanomalie-Erkennung wurde verbessert und Risikokontrollen für Wallet-Dienste wurden verschärft.

Die entwendeten Vermögenswerte sollen in Zusammenarbeit mit den Strafverfolgungsbehörden, Blockchain-Analysefirmen und anderen Branchenpartnern nachverfolgt und eingefroren werden.

Bleiben Sie über Wirtschaftsthemen informiert

Wenn Sie die Benachrichtigungen des Wirtschaftskanals abonnieren, bleiben Sie stets top informiert über die Entwicklungen der Business-Welt. Erfahren Sie dank des Dienstes zuerst, welcher Boss mit dem Rücken zur Wand steht oder ob Ihr Job bald durch einen Roboter erledigt wird. Abonnieren Sie hier den Wirtschafts-Push (funktioniert nur in der App)!

So gehts: Installiere die neuste Version der 20-Minuten-App. Tippe unten auf «Profil», dann aufs «Einstellungen»-Zahnrad und schliesslich auf «Push-Mitteilungen». Wähle hier die gewünschten Themen aus.

Social Media

Justin Arber (jar), Jahrgang 1999, arbeitet seit 2022 als Redaktor am Newsdesk. Zeitweise übernimmt er da die Schichtleitung im Früh- und Spätdienst.