Binance hat den Diebstahl von Vermögenswerten im Wert von 6,43 Milliarden US-Dollar als Ergebnis einer mehrstufigen Kampagne beschrieben, bei der Social Engineering, Schadsoftware und kompromittierte interne Tools zum Einsatz kamen. Das Unternehmen erklärte, die Angreifer hätten zwei Ingenieure ins Visier genommen und schließlich auf einen internen Wallet-Signaturdienst zugegriffen, um Transaktionen außerhalb des üblichen Auszahlungsprozesses einzuleiten.
Die erste Phase begann im Juni 2026, als ein Ingenieur aus dem Wallet-DevOps-Team von Binance bei der Suche nach einem beliebten KI-Tool einen manipulierten Homebrew-Installer herunterlud. Binance zufolge erkannte das Unternehmen den Vorfall und änderte die zugehörigen Zugangsdaten, doch Informationen über die Rolle des Ingenieurs und seine Kollegen im Wallet-Infrastrukturteam waren offengelegt worden.
Im September kontaktierten die Angreifer über eine Jobsuchplattform einen zweiten Ingenieur und gaben sich als Projektleiter aus. Der Ingenieur wurde zu zwei Bewerbungsgesprächen eingeladen: einem mit einem vermeintlichen HR-Vertreter und einem weiteren mit jemandem, der behauptete, CEO eines Unternehmens zu sein, das es Binance zufolge nicht gab. Am Ende des zweiten Gesprächs wurde der Ingenieur aufgefordert, eine Aufgabe mit einem schädlichen Code-Repository auf einen Arbeitscomputer herunterzuladen.
Der Code des Repositorys wurde während der Einrichtung ausgeführt. Binance zufolge setzte die Schadsoftware Verschleierungs- und Umgehungstechniken ein, darunter den Austausch einer legitimen Komponente eines Entwicklungstools gegen eine manipulierte Version, um Befehle auszuführen und eine Verbindung zu einem von den Angreifern kontrollierten Server herzustellen. Die Angreifer beseitigten zudem forensische Beweise im Zusammenhang mit dem Angriff.
Am 20. Oktober nutzten die Angreifer den kompromittierten Computer und missbrauchten ein internes KI-Tool, um die Kontrolle über den ersten Ingenieur und einen weiteren Softwareingenieur im Wallet-Bereich zu erlangen. Binance erklärte, sie hätten auf dem Computer des ersten Ingenieurs ein Berechtigungstoken für Container-Bereitstellungen gefunden. Am 29. Oktober meldeten sie sich mit gestohlenen Zugangsdaten am Computer des dritten Ingenieurs an, stellten einen Container bereit und führten ein schädliches Skript aus.
Binance erklärte, das betroffene Wallet-System in einer neuen Umgebung neu aufgebaut und sein internes KI-Tool sowie die Zugriffskontrollen rekonstruiert zu haben. Das Unternehmen ersetzte außerdem betroffene Geräte, widerrief zugehörige Zugangsdaten und Token, überprüfte die Geräte der Beschäftigten, verschärfte die Risikokontrollen für den Wallet-Dienst und baute die KI-gestützte Erkennung von Verhaltensanomalien aus. Es erklärte, mit Strafverfolgungsbehörden, Blockchain-Analyseunternehmen und Branchenpartnern zusammenzuarbeiten, um die betroffenen Vermögenswerte nachzuverfolgen und einzufrieren.
Binance fügte hinzu, die identifizierten Zugangspunkte geschlossen und die am Angriff beteiligten Systeme neu aufgebaut oder ersetzt zu haben. Das Unternehmen erklärte außerdem, seit Jahresbeginn 57 mutmaßliche Cyberbedrohungsfälle mit Verbindungen zu Nordkorea vereitelt zu haben. Gefälschte Bewerbungsgespräche, schädliche Entwicklertools und Social Engineering zum Diebstahl von Zugangsdaten bezeichnete es als Techniken, die bei Angriffen auf die Kryptowährungsbranche zum Einsatz kommen.
Quellen: The Hacker News.