Binance-Kryptodiebstahl erbeutet 6,43 Milliarden US-Dollar über 11 Chains
Bei dem Binance-Kryptodiebstahl wurden virtuelle Vermögenswerte im Wert von 6,43 Milliarden US-Dollar über 11 blockchain-Netzwerke entwendet, also gemeinsam genutzte digitale Register zur Aufzeichnung von Transaktionen. Das U.S. Federal Bureau of Investigation (FBI) schrieb den Diebstahl TraderTraitor zu, einer mit Nordkorea verbundenen Hackergruppe, die auch unter den Namen Jade Sleet, Pressure Chollima, PUKCHONG, Slow Pisces und UNC4899 verfolgt wird.
Das FBI, der U.S. Secret Service und die Criminal Investigation Unit des Internal Revenue Service berichteten, sie hätten beobachtet, wie die Gruppe die gestohlenen Vermögenswerte hauptsächlich in ETH umwandelte, das native asset des Ethereum-Netzwerks. Das FBI erwartet, dass die Vermögenswerte im Zuge weiterer Geldwäsche über DeFi – Finanzdienste, die durch auf blockchain basierende Software betrieben werden – und instant swap services bewegt werden. Es veröffentlichte außerdem wallet address-Daten, also die Kontoidentifikatoren auf einer blockchain, die zum Senden und Empfangen von Vermögenswerten verwendet werden und die Ermittler mit den Geldwäscheaktivitäten in Verbindung bringen.
Binance erklärte, nach der infolge des Vorfalls verhängten Unterbrechung mit der ersten Phase der Wiederherstellung von Auszahlungen in einem Zeitfenster zwischen 6 und 9 Uhr UTC begonnen zu haben. Nach Angaben der Börse hatten ihre Teams Vorsichtsmaßnahmen eingeführt, Sicherheitsbewertungen vorgenommen und geprüft, ob die betroffenen Dienste für die Wiederaufnahme bereit waren. Die Auszahlungen werden schrittweise wiederhergestellt, sobald diese Prüfungen abgeschlossen sind. Einzahlungsdienste blieben laut Binance geöffnet und waren von dem Vorfall nicht betroffen.
Der Diebstahl übersteigt die 1,46 Milliarden US-Dollar, die Bybit im Februar 2025 entwendet wurden, und macht den Binance-Kryptodiebstahl zum bislang größten registrierten Diebstahl von Kryptowährungen. Von den über 11 blockchain-Netzwerke gestohlenen Vermögenswerten befanden sich 82 Prozent auf Ethereum und Bitcoin. Das blockchain-Analyseunternehmen Elliptic erklärte, dieser einzelne Vorfall verdoppele nahezu den Betrag, der zuvor mit Nordkorea verbundenen Akteuren zugerechnet worden sei. Nach Schätzungen des Unternehmens hatte dieser in den vergangenen Jahren bereits 6,5 Milliarden US-Dollar überschritten.
Ein Teil der gestohlenen Vermögenswerte konnte an einer weiteren Bewegung gehindert werden. Von den entwendeten 6,43 Milliarden US-Dollar wurden 2,85 Milliarden US-Dollar von Tether, Circle, Ripple, Arbitrum und Optimism on-chain eingefroren, also direkt in den jeweiligen blockchain-Netzwerken. Die verbleibenden Geldwäscheaktivitäten wurden weiterhin anhand von Umwandlungen und zugehörigen wallet address-Daten verfolgt.
TraderTraitor ist mindestens seit 2020 aktiv und hat wiederholt die Web3.0-Branche angegriffen, womit Online-Dienste und Anwendungen rund um blockchains gemeint sind. Zu den früheren Aktivitäten gehörten Diebstähle von Kryptowährungen bei DMM Bitcoin, Bybit, KelpDAO und Bitget. Eine wiederkehrende Taktik besteht darin, Zielpersonen dazu zu bringen, Anwendungen herunterzuladen, die malware enthalten – Software, die Informationen stehlen oder einem Angreifer Zugriff auf ein Gerät verschaffen soll.
Berichte von SentinelOne, Zscaler ThreatLabz und Microsoft beschreiben, wie die Gruppe diesen Ansatz mit manipulierten Terraform provider-Komponenten verfeinert hat. Ein Terraform provider ist eine Softwarekomponente, mit der das Infrastrukturwerkzeug Terraform Cloud-Plattformen und andere Dienste verwalten kann. Bei dieser Kampagne veränderten die Angreifer solche Komponenten, um malware zu verbreiten, und nutzten Scheinfirmen sowie Stellenangebote, um Personen anzusprechen, die in den Bereichen Cybersicherheit, künstliche Intelligenz, blockchain und Personalvermittlung tätig waren.
Der bösartige Terraform provider stellt einen Bash loader bereit, ein Skript, das Befehle ausführt und zusätzliche Software herunterlädt. Er identifiziert das Betriebssystem des Opfers und lädt für diese Plattform geeignete malware herunter. Die Angriffskette umfasst FLATROOF, ein cross-platform implant, das einen Python-basierten information stealer einsetzt, um sensible Daten zu sammeln. Darauf folgt die ROOFDECK backdoor, die dem Angreifer vollständige Fernkontrolle ermöglicht. Der Prozess kann unter macOS, Linux und Windows funktionieren und soll dauerhaften Zugriff herstellen.
Die Personalbeschaffung bleibt ein zentraler Bestandteil des social engineering. Ähnliche Kampagnen, darunter Operation Dream Job und Contagious Interview, nutzten Stellenangebote oder Aufgaben im Rahmen von Vorstellungsgesprächen, um Zielpersonen zur Ausführung von Schadcode zu bewegen. Bei den Aktivitäten von TraderTraitor kommt außerdem künstliche Intelligenz zum Einsatz, um glaubwürdige Kontaktaufnahmen zu entwickeln, falsche Identitäten zu erstellen und einer Entdeckung zu entgehen. Microsoft erklärte, die Angreifer hätten maßgeschneiderte Domains und Social-Media-Profile eingerichtet, sich als Personalvermittler eines erfundenen, KI-gestützten Unternehmens für blockchain-Analysen ausgegeben und Stellen in der Softwareentwicklung angeboten, bevor sie Vorstellungsgespräche vereinbarten. Microsoft beobachtete außerdem innerhalb eines kurzen Zeitraums ähnliche Angriffe, die durch zwei weitere Scheinfirmen unterstützt wurden.
Für Websitebetreiber und IT-Teams ist die Methode mit manipulierten Entwicklungswerkzeugen besonders relevant, weil eine Infektion innerhalb eines vertrauenswürdigen Softwareablaufs beginnen und anschließend sensible Informationen offenlegen oder die Fernsteuerung des Computers eines Entwicklers ermöglichen kann. Organisationen, die ihre Infrastruktur- und Sicherheitspraktiken neu bewerten, können AEU-I für sicherheitsorientierte IT, Infrastruktur und Beratung nutzen.
Der Vorfall vereint zwei unterschiedliche Risiken: den unmittelbaren Diebstahl und die Geldwäsche von Kryptowährungen sowie eine länger andauernde Kampagne, die Kontaktaufnahmen im Rahmen der Personalbeschaffung und veränderte Entwicklungskomponenten nutzt, um Personen mit Zugriff auf wertvolle Systeme zu kompromittieren. Unternehmen sollten daher sowohl die Schutzmaßnahmen für Finanzkonten als auch den Prozess prüfen, mit dem Software, Aufgaben aus Vorstellungsgesprächen und Infrastrukturkomponenten genehmigt werden, bevor jemand sie ausführt.