Binance bestätigt, dass am 29. Oktober seine Hot Wallets kompromittiert wurden; der Schaden liegt bei rund 6,3 Milliarden Dollar. Zunächst führte die Spur zum Laptop eines DevOps-Ingenieurs, später fanden sich weitere Einbruchstellen. Laut BleepingComputer schreibt das FBI den Diebstahl der nordkoreanischen Gruppe TraderTraitor zu.
Was geschah
Binance zufolge wurden die Hot Wallets am 29. Oktober 2026 gegen 20:05 Uhr UTC kompromittiert, was unbefugte Abhebungen von rund 6,3 Milliarden Dollar ermöglichte. TRM Labs nennt 6,36 Milliarden und berichtet, die Gelder seien über zehn Blockchains abgeflossen, größtenteils binnen etwa 20 Minuten; es handle sich um den größten bekannten Krypto-Diebstahl. Laut BleepingComputer veröffentlichte das FBI am 31. Oktober eine Warnung, die den Diebstahl TraderTraitor zuschreibt, einer staatlich gestützten nordkoreanischen Gruppe. Gemeinsam mit dem Secret Service und IRS Criminal Investigation forderte es Handelsplattformen auf, 628 mit der Geldwäsche verbundene Adressen zu sperren.
Wie die Angreifer eindrangen
Die erste Mitteilung von Binance nannte den kompromittierten Laptop eines DevOps-Ingenieurs, über den ein Service-Container erreicht und Abhebungstransaktionen eingereicht worden seien. Die nächste Mitteilung ergänzt, spätere Erkenntnisse hätten weitere Einbruchstellen gezeigt. Für ein Abfließen privater Wallet-Schlüssel gebe es keine Belege, ein ausführlicher Bericht wird angekündigt. Laut BleepingComputer erklärte einer der Co-CEOs, der Angreifer habe nicht bloß die Rechte eines einzelnen Ingenieurs genutzt, und keine Einzelperson sei verantwortlich gemacht worden. TRM Labs hält die Kontrolle über die Signaturinfrastruktur der Hot Wallets für die wahrscheinlichste Erklärung; eine Ursache hat Binance noch nicht veröffentlicht.
Binance meldet rund 3 Milliarden Dollar, die auf den Blockchains eingefroren wurden, und will den Verlust selbst tragen. Am 1. November hieß es, rund 95 % des Betrags seien gedeckt, Einzahlungen seien nicht betroffen und eine erste Abhebungsphase sei für denselben Tag von 06:00 bis 09:00 Uhr UTC geplant.
Was jetzt zu tun ist
- Eigene Administrationsrechner einführen: keine E-Mails und kein allgemeines Surfen auf Geräten mit Produktionszugang.
- Langlebige Geheimnisse von Laptops entfernen:
~/.ssh,~/.kube/configund Cloud-Anmeldedateien prüfen, dann auf kurzlebige Zugänge per SSO mit Hardware-Schlüssel umstellen. - Messen, was ein Laptop darf:
kubectl auth can-i --listmit den Anmeldedaten eines Administrators ausführen, Überflüssiges entfernen und den direkten Zugriff aus Büronetzen auf Produktionscontainer sperren. - Zweite Freigabe verlangen für unumkehrbare Aktionen: Massenexporte, Löschen von Backups, Zahlungen.
- Volumenalarme mit automatischem Stopp setzen: In 20 Minuten bleibt keine Zeit für eine menschliche Entscheidung.
Unsere Einschätzung
Nur wenige Unternehmen verwalten Milliarden, aber fast alle haben einen Administrator-Laptop, der die Produktion erreicht. Was der Abschlussbericht auch ergibt, das Ziel bleibt gleich: Ein einziger kompromittierter Rechner darf nie genügen, um eine unumkehrbare Aktion auszulösen. Auch das schnelle Entziehen von Zugängen sollte geübt sein, bevor es gebraucht wird.
Quellen
- Binance — Security Incident Update
- Binance — Security Incident Update #2
- Binance — Security Incident: Recovery Update #4
- TRM Labs — North Korea steals USD 6.36 billion from Binance
- BleepingComputer — FBI links $6.3 billion Binance crypto heist to North Korean hackers
- BleepingComputer — Binance links $6.3 billion crypto theft to compromised DevOps laptop
Wie wir unsere Analysen auswählen, prüfen und schreiben →
Prüfen Sie vor dem Klicken, und kontrollieren Sie, was Ihre Server preisgeben — kostenlos, ohne Eindringen:
Sorgen, dass Ihre Server angreifbar sind? Unser Team prüft, patcht und überwacht Linux- und Cloud-Infrastrukturen rund um die Uhr.
Mit einem Experten sprechen Unsere Managed Server Services →
