Am 29. Oktober 2026 entleerte ein Angreifer Binance-Wallets auf zehn Blockchains. Der Großteil der Gelder wurde innerhalb von etwa 20 Minuten ab 20:05 Uhr UTC abgezogen, eine zweite Welle folgte gegen 23:05 Uhr UTC (TRM Labs). Die geschätzten Verluste belaufen sich auf 6,3 bis 6,36 Milliarden US-Dollar, womit dies der größte Krypto-Diebstahl aller Zeiten ist. Das ist etwa das Vierfache des Bybit-Hacks vom Februar 2025, bei dem 1,5 Milliarden US-Dollar gestohlen wurden. Binance hat Auszahlungen ausgesetzt und zugesagt, alle Verluste aus seinem SAFU-Fonds und aus Unternehmensmitteln zu decken. Zwischen 2,7 und 3 Milliarden US-Dollar wurden eingefroren, größtenteils Stablecoins. Der Angreifer hält weiterhin etwa 2,4 Milliarden US-Dollar in ETH und BTC, die kein Emittent einfrieren kann.
Thomas Boele, Global Director, Solutions Engineering – AI Security at Check Point Software kommentiert wie folgt: „Nach allem, was bisher bekannt ist, ist der Angriff auf Binance der größte je erfasste Krypto-Diebstahl. Erste Erkenntnisse deuten auf einen erstaunlich gewöhnlichen Einstieg hin: den kompromittierten Laptop eines DevOps-Ingenieurs. Hinweise auf gestohlene Schlüssel gibt es laut Binance nicht. Nach bisherigen Erkenntnissen übernahmen die Angreifer stattdessen das System, das Auszahlungen anstößt. Darin liegt die eigentliche Lehre: Die Schwachstelle war nicht die Blockchain, sondern der Rechner eines Mitarbeiters mit weitreichenden Zugriffsrechten. Ein Einzelfall ist das nicht. Erst im September verlor Bitget rund 388 Millionen US-Dollar auf ähnliche Weise.
Blockchain-Analysten ordnen den Angriff nordkoreanischen Staatshackern zu, offiziell bestätigt ist das noch nicht. Deren Vorgehen ist seit Jahren bekannt: gefälschte Recruiter, präparierte Programmieraufgaben, verseuchte Code-Repositories. Im September haben Verfassungsschutz und BND gemeinsam mit internationalen Partnern genau davor gewarnt. Binance selbst meldete zwei Tage vor dem Angriff, solche Versuche abgewehrt zu haben. Ob der Laptop auf diesem Weg kompromittiert wurde, ist noch offen.
Ebenso offen ist, ob KI eine Rolle gespielt hat. Klar ist aber: KI macht solche Täuschungsmanöver billiger, schneller und glaubwürdiger. Nordkoreanische Akteure nutzen sie nachweislich für überzeugende Profile und Übersetzungen. Elf Staaten, darunter Deutschland, haben im Sommer zudem davor gewarnt, dass sich nordkoreanische IT-Kräfte als Bewerber ausgeben, teils mit manipulierten oder künstlich erzeugten Videobildern.
Das Risiko betrifft jedes Unternehmen, dessen Systeme auf Anweisung Geld oder Daten bewegen, nicht nur Krypto-Börsen. Entwickler-Rechner gehören heute zu den am höchsten privilegierten Geräten, und immer häufiger laufen darauf KI-Coding-Agenten mit denselben Rechten. Unternehmen müssen diese Geräte wie Kronjuwelen schützen: minimale Rechte, eine strikte Trennung zwischen Entwicklungszugängen und der Freigabe von Transaktionen, eine Richtlinienprüfung vor jeder kritischen Aktion und harte Limits dafür, wie viel Geld wie schnell fließen darf.
Laut Analysten floss ein Großteil des Geldes in rund 20 Minuten ab. Die Verteidigung muss genauso schnell sein. Was nicht sofort eingefroren wird, ist kaum zurückzuholen.“
#CheckPoint
