Milliarden-Angriff: Wie der Binance Hack per KI-Tool gelang

Ein gezielter Angriff auf die Kryptobörse Binance zeigt, wie verwundbar selbst große Handelsplätze gegenüber mehrstufigen Infiltrationen sind. Laut einem am 3. November 2026 veröffentlichten Unternehmensbericht drangen Angreifer Ende Oktober über manipulierte Software, Social Engineering auf Jobplattformen und ein internes KI-Werkzeug tief in die Wallet-Infrastruktur der Börse ein. In der Folge flossen hohe Bestände an Bitcoin, XRP, Solana, Optimism und Ethereum unberechtigt ab, bevor das Unternehmen und Partner Vermögenswerte in Milliardenhöhe einfrieren konnten.

Gefälschte Job-Interviews und ein gekapertes KI-Werkzeug

Der Vorfall begann dem Unternehmensbericht zufolge nicht mit einer direkten Schwachstelle auf der Blockchain, sondern bei den Mitarbeitern. Zunächst geriet ein Beschäftigter durch eine manipulierte Softwareinstallation ins Visier. Zwar tauschte das Sicherheitsteam das betroffene Gerät aus und erneuerte die Zugangsdaten, doch die Angreifer hatten zu diesem Zeitpunkt bereits interne Informationen über Mitarbeiter der Wallet-Abteilung abgeschöpft.

Mit diesem Wissen kontaktierten die Täter später gezielt einen weiteren Entwickler über eine Jobplattform. Unter dem Vorwand eines regulären Bewerbungsverfahrens brachten sie ihn dazu, ein präpariertes Softwareprojekt auf seinen Arbeitscomputer herunterzuladen. Bei der Einrichtung dieses Projekts wurde Schadsoftware ausgeführt, die von den damaligen Schutzprogrammen auf dem System nicht erkannt wurde.

Von diesem kompromittierten Rechner aus nutzten die Eindringlinge ein internes KI-Werkzeug von Binance, um sich seitwärts durch das Netzwerk zu bewegen und weitere Mitarbeitergeräte unter ihre Kontrolle zu bringen. Auf diesem Weg erbeuteten sie schließlich die entscheidende Berechtigung, um eigene Softwarecontainer in der Infrastruktur bereitzustellen.

18.270 Bitcoin und Millionen-Token: Der Zugriff am 29. Oktober

Am 29. Oktober 2026 setzten die Angreifer ihren technischen Hebel an. Laut dem Incident Report nutzten sie die gestohlenen Zugangsdaten, um einen manipulierten Container einzuschleusen. Darüber missbrauchten sie den internen Signierungsdienst für Wallet-Transaktionen und lösten Überweisungen komplett außerhalb des regulären Auszahlungsprozesses der Börse aus.

Die Liste der unberechtigt transferierten Kryptowährungen umfasst mehrere große Positionen. Dem Bericht zufolge flossen unter anderem 18.270 BTC, 233,46 Millionen XRP, rund 970.500 SOL sowie 44,2 Millionen OP ab. Hinzu kamen mehrere unberechtigte Transfers von Ethereum.

Eine abschließende Gesamtschadenssumme nennt der Bericht nicht, zumal die Angaben zum exakten Ablauf bislang nicht unabhängig verifiziert sind. Auch die genaue Identität der Täter oder eine mögliche Zuordnung zu staatlichen Akteuren wie der Lazarus Group bleibt Gegenstand von Spekulationen.

✓

✕

”

Warum EIP-7702 den Stopp der Abflüsse verzögerte

Über Ethereums Autorisierungsmechanismus EIP-7702 räumten die Angreifer einem eigenen Smart Contract Ausführungsrechte über eine Binance-Wallet direkt auf der Blockchain ein. Ein bloßes Abschalten der internen Auszahlungssysteme reichte dadurch nicht aus, um weitere Transfers sofort zu unterbinden.

Warum die Eindämmung auf der Blockchain so schwierig war

Besonders auf der Ethereum-Blockchain stießen die Sicherheitsteams bei der Schadensbegrenzung auf technische Hürden. Weil die über EIP-7702 eingeräumten Berechtigungen für den fremden Smart Contract direkt auf der Blockchain verankert waren, griffen klassische interne Notfallstopps zu kurz. Um die Delegation wieder zu entziehen, waren eigene Transaktionen auf dem Netzwerk nötig, was durch die bei Binance eingesetzte Mehrparteien-Signaturtechnik zusätzlich Zeit kostete.

So wurde am 29. Oktober 2026 um 23:56 UTC noch ein letzter unberechtigter Transfer über 2.961,9 ETH auf der Blockchain bestätigt, der bereits zuvor übermittelt worden war. Erst wenige Minuten später, am 30. Oktober 2026 um 00:10 UTC, gelang es den Technikern laut Unternehmensbericht, die betreffende EIP-7702-Delegation endgültig zu entfernen und den Abfluss zu stoppen.

2,85 Milliarden US-Dollar eingefroren und Reaktionen am Markt

Nach der Entdeckung des Angriffs leitete die Kryptobörse zusammen mit externen Partnern Gegenmaßnahmen ein. Nach Angaben von Binance froren die beteiligten Stellen im Nachgang des Vorfalls Vermögenswerte im Umfang von 2,85 Milliarden US-Dollar ein. Dieser Betrag entspricht den blockierten Mitteln und ist nicht mit dem endgültigen Nettoverlust gleichzusetzen; am Markt wird zudem spekuliert, ob ein verbleibender Fehlbetrag über den internen SAFU-Sicherheitsfonds von Binance gedeckt werden könnte.

Parallel zum Einfrieren der Gelder baute das Unternehmen bis zum 3. November 2026 die betroffenen Wallet-Systeme sowie das kompromittierte interne KI-Werkzeug komplett neu auf. Sämtliche betroffenen Geräte wurden ausgetauscht und die zugehörigen Zugangsdaten deaktiviert. Zudem kündigte Binance zusätzliche Sicherheitsprüfungen, eine schärfere Verhaltensüberwachung im internen Netz sowie eine unabhängige Untersuchung an.

Für den breiteren Kryptosektor und börsennotierte Wettbewerber wie Coinbase Global Inc. rückt der Vorfall die Sicherheit interner Entwickler- und KI-Umgebungen in den Fokus. Anleger reagierten am Tag des Berichts spürbar bei den Branchenwerten: Die Aktie von Coinbase Global Inc. notierte am Abend des 3. November 2026 über die Lang & Schwarz Exchange bei 130,08 Euro und legte damit im Tagesverlauf um 5,91 Prozent zu.