Die nordkoreanische Hackergruppe TraderTraitor hatte laut einem am Donnerstag veröffentlichten Bericht der Security Alliance (SEAL) rund acht Wochen lang Zugriff auf die Systeme von Binance, bevor sie am 29. Oktober den Exploit über 6,3 Mrd. $ ausführte. Das FBI schreibt den Angriff TraderTraitor zu, während Fed und OCC US-Banken zu ihrer Exposition gegenüber dem Vorfall befragen.
Wichtigste Erkenntnisse
- TraderTraitor hatte laut SEAL-Schätzung ~8 Wochen vor dem 6,3 Mrd. $ Exploit am 29. Oktober Zugriff auf Binance-Systeme
- FBI schreibt Angriff nordkorea-naher TraderTraitor zu; Kim Yo Jong bestreitet Beteiligung
- Fed und OCC befragen US-Banken zu Binance-Hack-Exposure – erster großer Test der post-April-Krypto-Aufsicht
- Ähnliche mehrstufige Infiltrationsmuster: ~6 Wochen vor 388 Mio. $ Bitget-Hack, ~6 Wochen vor 293 Mio. $ Kelp-DAO-Exploit, ~3 Wochen vor 24 Mio. $ AFX-Exploit
- Binance verfolgte Kampagne bis auf Juni-Gerätekompromittierung via gefälschtes Vorstellungsgespräch zurück; erkannt, aber Geheimdienstinformationen bereits gesammelt
Executive Intelligence Brief
Intrusionszeitlinie und Angriffsvektor
SEAL schätzt, dass die Bedrohungsakteure irgendwann im September initialen Zugang erlangten und sich mit einem "hohen Grad an Heimlichkeit über längere Zeiträume" durch Binance' Systeme bewegten, bevor der Exploit am 29. Oktober erfolgte. Binance verfolgte die Kampagne separat bis in den Juni zurück, als das Gerät eines separaten Mitarbeiters über ein gefälschtes Vorstellungsgespräch kompromittiert wurde. Die Börse erkannte und ersetzte das Gerät, räumte jedoch ein, dass die Angreifer bereits Informationen über Teamstruktur und Wallet-Infrastruktur gesammelt hatten.
Die Summe von 6,3 Mrd. $ macht dies zum größten jemals registrierten Krypto-Börsen-Hack. Binance führte den Bruch auf den Diebstahl von Zugangsdaten von einem kompromittierten Mitarbeitergerät zurück, der den Zugriff auf die Wallet-Infrastruktur ermöglichte. SEAL identifizierte mindestens vier Scheinfirmen – citalab.net, citalab.com, bitfit.io und oddium.io –, die 2026 in TraderTraitors gefälschten Rekrutierungskampagnen genutzt wurden.
Mustererkennung bei großen Krypto-Diebstählen
Die Analyse von SEAL offenbart ein konsistentes, mehrstufiges Infiltrationsmuster bei jüngsten prominenten Angriffen. Die Cybersicherheitsorganisation schätzte ähnliche Verweildauern von rund sechs Wochen vor dem 388 Mio. $ schweren Bitget-Hack, sechs Wochen Zugriff auf LayerZero vor der Schwachstelle, die den 293 Mio. $ schweren Kelp-DAO-Exploit ermöglichte, und etwa drei Wochen vor dem 24 Mio. $ schweren AFX-Exploit. Dieses Muster deutet auf ein standardisiertes operatives Playbook nordkorea-naher Akteure hin, die zentrale Krypto-Infrastruktur ins Visier nehmen.
Regulatorische Reaktion und Bankensektor-Exposition
Die Federal Reserve und das Office of the Comptroller of the Currency haben begonnen, US-Banken zu ihrer Exposition gegenüber dem Binance-Bruch zu befragen – ein signifikanter Test des nach April geltenden Krypto-Aufsichtsrahmens. Indiens Cybersicherheitsbehörde warnte separat vor KI-gestützten Hackern, die Krypto-Börsen mit "Maschinengeschwindigkeit" angreifen, was auf wachsende staatliche Besorgnis über Sicherheitsstandards von Börsen hindeutet. Binance und Deribit haben SignalPlus-API-Schlüssel nach einem verwandten Angriff über eine gefälschte Microsoft-Teams-Einladung widerrufen. Fed und OCC befragen Banken zu Binance-Hack-Exposure – 6,3 Mrd. $ Test für Krypto-Aufsicht.
Zurechnung und geopolitische Reaktion
Das FBI schrieb den Angriff in einem Bericht vom Samstag formell Nordkoreas TraderTraitor-Gruppe zu. Kim Yo Jong, Schwester des nordkoreanischen Führers Kim Jong Un, wies die Vorwürfe zurück. Die Zurechnung fügt sich in ein breiteres Muster staatlich gesponserter nordkoreanischer Cyberoperationen ein, die digitale Asset-Plattformen angreifen, um Einnahmen für das sanktionierte Regime zu generieren.
Ausblick und Überwachungspunkte
Wichtige Entwicklungen, die zu beobachten sind, umfassen Binance' umfassenden Incident-Report und Sanierungszeitplan, eine mögliche Rückführung oder Einfrierung gestohlener Assets, weitere Strafverfolgungsmaßnahmen gegen TraderTraitor-Infrastruktur sowie etwaige Fed/OCC-Leitlinien zu Banken-Krypto-Verwahrstandards, die aus den Expositionsabfragen hervorgehen. Die achswöchige Verweildauer wirft zudem Fragen zu den Erkennungsfähigkeiten im gesamten Sektor zentralisierter Börsen auf. Binance-Hacker verschieben 81 % der gestohlenen Solana über THORChain nach Wiederaufnahme der Swaps.
