TL;DR: Der 6,3-Milliarden-Dollar-Hack bei Binance könnte mit dem kompromittierten Laptop eines DevOps-Ingenieurs begonnen haben. Binance hat inzwischen mitgeteilt, dass seine Untersuchung weitere Einbruchspunkte aufgedeckt habe, hat jedoch nicht erklärt, wie der Laptop kompromittiert wurde. Teng sagt, der Angreifer habe eine bekannte Ethereum-Funktion, EIP-7702, genutzt, um die Genehmigung für eine Hot Wallet zu erhalten, die die üblichen Genehmigungskontrollen von Binance umging. Angriffe auf Entwicklergeräte beobachten wir täglich – erst letzte Woche hat Aikido fast 500 Malware-Angriffe abgewehrt. Hier erfahren Sie, wie ein kompromittierter Laptop dazu führen kann, dass ein Dienst Geld bewegt.
Wie kam es zum Hackerangriff auf Binance? Was wir bisher wissen
Binance beziffert den Gesamtschaden auf etwa 6,3 Milliarden US-Dollar und gibt an, dass der Vorfall möglicherweise durch den kompromittierten Laptop eines DevOps-Ingenieurs ausgelöst wurde. Binance erklärt, dass ein Angreifer über diesen Zugriff auf einen Service- container zugreifen und unbefugte Auszahlungstransaktionen veranlassen konnte. Bislang wurden etwa 3 Milliarden US-Dollar in der Blockchain eingefroren, und Binance kündigt an, alle Verluste zu übernehmen.
Co-CEO Richard Teng schrieb auf X, dass der Angreifer nicht lediglich die Zugriffsrechte eines einzelnen Entwicklers genutzt habe und dass der Angriff mehr als nur einen einzigen Klick erfordert habe. Bislang hat Binance keine Hinweise auf eine Offenlegung von privaten Wallet-Schlüsseln gefunden.
In einem späteren Update zu den Ermittlungen teilte Binance mit, dass im Rahmen weiterer Untersuchungen zusätzliche Schwachstellen jenseits des Laptops aufgedeckt worden seien. Das Update enthielt keine Einzelheiten zu diesen weiteren Schwachstellen. Binance hat eine technische Nachbetrachtung zugesagt, sobald alle Fakten überprüft sind, und wir werden diesen Beitrag aktualisieren, sobald diese vorliegt.
Teng erklärte später, der Angreifer habe eine bekannte Ethereum-Funktion, EIP-7702, genutzt, um eine On-Chain-Genehmigung für Transaktionen über eine Hot Wallet zu erhalten, und dass diese Befugnisübertragung die üblichen Genehmigungsprüfungen von Binance nicht durchlaufen habe.
TRM Labs und Chainalysis haben den Vorfall der nordkoreanischen Hackergruppe „TraderTraitor“ zugeschrieben. Binance hat diese Zuschreibung nicht bestätigt.
In den öffentlichen Erklärungen wird nicht erwähnt, wie der Angreifer überhaupt Zugriff auf den Laptop erlangt hat. Im Folgenden wird beschrieben, wie sich solche Angriffe in der Regel abspielen.
Was wir auf den Laptops der Entwickler sehen
Erst letzte Woche hat „ Aikido “ fast 500 Malware-Angriffe auf Entwicklergeräte abgewehrt – etwa 70 pro Tag.
Gruppen mit Verbindungen zu Nordkorea sind dafür bekannt, Entwickler direkt ins Visier zu nehmen – häufig im Rahmen eines vorgetäuschten Vorstellungsgesprächs, das einen Programmiertest zum Mitnehmen beinhaltet, bei dem durch die Ausführung des Projekts der Code des Angreifers ausgeführt wird. Ein weiterer häufiger Weg ist Code, der sofort nach der Installation oder beim Öffnen ausgeführt wird. Ein schädliches Paket kann ein Installationsskript enthalten, das bei der Installation automatisch ausgeführt wird, sowie eine schädliche Editor-Erweiterung, die innerhalb der eigenen Tools des Entwicklers läuft. Im Mai ermöglichte eine schädliche VS-Code-Erweiterung auf dem Gerät eines Entwicklers einem Angreifer den Zugriff auf die internen Repositorys von GitHub.
Im März 2025 meldete unsere Malware-Erkennung ein npm-Paket namens „react-html2pdf.js“, das sich als beliebte Bibliothek ausgab. Innerhalb von weniger als zwei Stunden veröffentlichten die Angreifer vier Versionen und debuggten ihren eigenen Code öffentlich, ohne dabei jemals einen fehlenden Import für die HTTP-Bibliothek zu beheben, auf die ihre Payload angewiesen war, sodass das Paket in der veröffentlichten Form nicht ausgeführt werden konnte. Es verwendete kein Installationsskript und war so konzipiert, dass es seine Payload bei Ausführung des Codes von einem Remote-Server abrief. Nach der Entschlüsselung war die Payload darauf ausgelegt, Krypto-Wallets und Browserdaten vom Rechner zu entwenden und anschließend weiteren Code zum Ausführen herunterzuladen. Anhand von Fingerabdrücken im Code und in der Infrastruktur konnten wir den Angriff der nordkoreanischen Lazarus-Gruppe zuordnen, wie wir in „Spionage gegen nordkoreanische Hacker“ berichteten.
PolinRider, eine Kampagne, die Forscher mit Nordkorea in Verbindung bringen und die immer wieder auftaucht, versteckt absichtlich verschlüsselten Code in gewöhnlichen Projektkonfigurationsdateien. Sie kann ausgeführt werden, wenn ein Entwickler ein Projekt in VS Code öffnet. Anschließend nutzt sie den Zugriff des Entwicklers, um den Commit-Verlauf zu überschreiben und die gemeinsam genutzte Kopie jedes Repositorys zu überschreiben, in das der Entwickler Commits übertragen kann.
Was ein Entwickler-Laptop einem Angreifer bietet
Ein Entwickler-Laptop enthält Anmeldedaten für jedes System, das sein Besitzer verwaltet. In der Regel handelt es sich dabei um Cloud-Anmeldedaten, SSH-Schlüssel, Git-Anmeldedaten und Kubernetes-Konfigurationen, die oft auf der Festplatte gespeichert sind, wo jeder Prozess, der unter diesem Benutzer läuft, darauf zugreifen kann.
Außerdem enthält es Live-Sitzungstoken der Tools, bei denen der Entwickler bereits angemeldet ist. Ein Sitzungstoken kann auch nach einer Passwortzurücksetzung gültig bleiben und die Multi-Faktor-Authentifizierung (MFA) überspringen, da die Anmeldung, für die diese erforderlich war, bereits stattgefunden hat.
Ein Angreifer, der über dieses Material verfügt, kann sich als Techniker ausgeben. Seine Aktivitäten werden in den Protokollen unter dem Namen des Technikers aufgeführt, sodass es wie normale Arbeit aussieht.
Wie ein gehackter Laptop zum Diebstahl von Geldern führen kann
Eine plausible Abfolge von Ereignissen, die von einem kompromittierten Laptop bis zu einer Geldabhebung führt, sieht folgendermaßen aus:
- Auf dem Laptop wird Schadcode ausgeführt, der Anmeldedaten und Sitzungstoken sammelt.
- Der Angreifer nutzt diese – entweder von seinem eigenen Rechner aus oder über den Laptop selbst – um auf ein internes System zuzugreifen, auf das der Techniker Zugriff hat, beispielsweise einen Build-Server oder ein Cloud-Konto.
- Von dort aus wechseln sie zu Systemen mit größerer Reichweite und sammeln bei jedem Schritt weitere Zugangsdaten.
- Sie wenden sich an einen vertrauenswürdigen Dienstleister, um Auszahlungen zu beantragen und Transaktionen über diesen abzuwickeln.
Möglicherweise waren auch andere kompromittierte Systeme von außen erreichbar, ohne dass ein Laptop daran beteiligt war.
Das würde auch erklären, warum keine Schlüssel gestohlen werden mussten. EIP-7702 ermöglicht es einer gewöhnlichen Wallet, ihre Aktionen an einen anderen Code zu übertragen, und für die Einrichtung ist eine Signatur mit dem Schlüssel der Wallet erforderlich. Das scheint zu bedeuten, dass die Signatur aus Binances eigenem Signatursystem stammte, sodass die Schlüssel dort blieben, wo sie waren. Der CEO von Blockaid kam zu einer ähnlichen vorläufigen Einschätzung: eine kompromittierte Signaturinfrastruktur.
Der Diebstahl bei Bybit im Jahr 2025 verlief über einen Zeitraum von etwa zweieinhalb Wochen nach einem ähnlichen Muster. Nach den vorläufigen Erkenntnissen von Safe, über die heise berichtete, wurde am 4. Februar der Laptop eines Entwicklers kompromittiert; die Angreifer nutzten ein gestohlenes AWS-Sitzungstoken, um sich in der Cloud des Unternehmens Zugang zu verschaffen, und am 17. Februar schleusten sie Schadcode ein, der den Diebstahl am 21. Februar ermöglichte. In Bybits forensischem Update, das von Cointelegraph zusammengefasst wurde, heißt es, dass die Unterzeichner dazu verleitet wurden, eine böswillige Transaktion zu genehmigen.
So schützen Sie Entwicklergeräte
Beginnen Sie beim Gerät. „ Aikido “ Device Protection ist ein ressourcenschonender Agent, der auf dem Rechner des Entwicklers installiert wird. Er blockiert schädliche Pakete, Editor-Erweiterungen und KI-Tools bereits vor der Installation und hält standardmäßig alle Pakete und Erweiterungen zurück, die in den letzten 48 Stunden veröffentlicht wurden. Außerdem kennzeichnet er alle bereits auf dem Rechner vorhandenen Elemente, die sich später als schädlich herausstellen.
Das Gerät ist nur das erste Glied in der Kette, daher müssen auch die anderen Ebenen halten:
- Speichern Sie langfristige Anmeldedaten nicht auf Entwicklerfestplatten und vergeben Sie stattdessen kurzfristige Anmeldedaten, die innerhalb weniger Stunden ablaufen.
- Für Maßnahmen mit hohem Wert, einschließlich Änderungen an den zulässigen Funktionen einer Wallet, ist eine Genehmigung außerhalb des Dienstes erforderlich, damit ein kompromittierter Dienst seine eigenen Transaktionen nicht genehmigen kann.
- Warnung bei Anmeldedaten und Sitzungen, die von Orten oder zu Zeiten genutzt werden, an denen der Techniker niemals arbeitet.
- Stellen Sie sicher, dass die Geräte von Auftragnehmern und Mitarbeitern, die in der Produktion eingesetzt werden, unter die Unternehmensverwaltung fallen, sodass für jeden Laptop dieselben Kontrollmaßnahmen gelten.
Häufig gestellte Fragen zum Hackerangriff auf Binance
Wurde der Hackerangriff auf Binance durch den Laptop eines Mitarbeiters verursacht?
Die ersten Erkenntnisse von Binance deuteten auf den Laptop eines kompromittierten DevOps-Ingenieurs hin. In einem späteren Update hieß es, dass bei weiteren Untersuchungen zusätzliche Einbruchspunkte aufgedeckt worden seien, sodass der Laptop nicht die ganze Geschichte darstellte.
Wurden die privaten Schlüssel von Binance gestohlen?
Teng sagt, der Angreifer habe EIP-7702, eine bekannte Ethereum-Funktion, genutzt, um die Genehmigung für eine Hot Wallet zu erhalten, ohne die üblichen Genehmigungskontrollen von Binance zu durchlaufen.
Wie kann ein einziger Laptop zu Verlusten in Milliardenhöhe führen?
Anmeldedaten und Sitzungen auf dem Laptop ermöglichen den Zugriff auf interne Systeme, und von dort aus kann ein Angreifer eine Kette bis zu einem Dienst aufbauen, der für die Ausführung von Auszahlungen vertrauenswürdig ist. Im obigen Abschnitt wird diese Kette Schritt für Schritt erläutert.
Wer steckt hinter dem Hackerangriff auf Binance?
Analysten von TRM Labs und Chainalysis verweisen auf „TraderTraitor“, eine nordkoreanische Hackergruppe. Binance hat dies nicht bestätigt.
