Die weltweit grosste Kryptobörse Binance hat den ersten Teil eines technischen Berichts veröffentlicht, der eine raffinierte, monatelange Kampagne detailliert beschreibt, die nach Einschätzung des Unternehmens von einer nordkoreanisch verbundenen Hackergruppe durchgeführt wurde. Das Dokument offenbart erstmals die Abfolge der Phasen bei der Vorbereitung und Durchführung des Angriffs: von der ursprünglichen Infiltration der Lieferkette im Juni 2026 bis hin zu unbefugten Transaktionen, die am 29. Oktober eingeleitet wurden. Dem Bericht zufolge verließen sich die Angreifer nicht auf einen einmaligen Einbruch, sondern bauten den Zugriff in Schichten auf und bauten ihre Präsenz in der Infrastruktur des Unternehmens schrittweise aus.

Einstiegspunkt: Die Lieferkette im Juni

Dem veröffentlichten Teil des Berichts zufolge begann die Kampagne bereits im Juni 2026 mit einem Angriff auf die Lieferkette. Einer der Ingenieure des Unternehmens lud eine kompilierte Version eines beliebten Tools über ein infiziertes Repository herunter. Genau dieser Schritt, so die Beschreibung von Binance, legte den Grundstein für die fortgesetzte Präsenz der Angreifer in der Entwicklungsumgebung: Die Schadkomponente gelangte in den Arbeitsablauf, bevor sie entdeckt wurde, und ermöglichte es den Akteuren, in der Infrastruktur Fuß zu fassen.

Social Engineering: Fiktive Vorstellungsgespräche im September

Im September 2026, so der Bericht, gingen die Angreifer zu einer fortgeschrittenen Social-Engineering-Phase über. Unter dem Deckmantel fiktiver Vorstellungsgespräche — mit einem gefälschten HR-Spezialisten und einer Person, die sich als „CEO“ ausgab — überredeten die Akteure einen anderen Mitarbeiter, eine Testaufgabe herunterzuladen, die ein schädliches Repository enthielt. Auf diese Weise verschaffte sich die Gruppe einen zusätzlichen Zugangskanal, der unabhängig vom ursprünglichen Einstiegspunkt in der Lieferkette war.

Zero-Day und internes KI-Tool als Brückenkopf

Unter Verwendung von Zero-Day-Schadsoftware, die Endpunktschutz-Tools umging, erlangten die Angreifer laut Binance die Kontrolle über die Workstation des Ingenieurs. Im Oktober setzten die Akteure das interne KI-Tool des Unternehmens als Brückenkopf für weitere Infiltrationen ein — einschließlich der gezielten Ansprache der Krypto-Wallet-Signierungsinfrastruktur. Diese Phase wurde dem Bericht zufolge zu einem entscheidenden Wendepunkt: Der Zugriff auf das Tool, das eine privilegierte Position innerhalb des Netzwerks innehat, ermöglichte es den Angreifern, sich den Komponenten zu nähern, die für die Autorisierung von Operationen zuständig sind.

29. Oktober: Protokollumgehung und unbefugte Transaktionen

Den Höhepunkt der Kampagne bildeten laut dem veröffentlichten Teil des Berichts die Ereignisse am 29. Oktober 2026. Die Akteure umgingen Sicherheitsprotokolle und initiierten unbefugte Transaktionen unter Ausnutzung von Smart-Contract-Schwachstellen und EIP-7702-Delegationsmechanismen. Genau diese Kombination aus Schwachstellen auf Vertragsebene und delegierten Befugnissen machte laut Unternehmensbeschreibung Operationen möglich, die unter normalen Umständen blockiert worden wären.

Kontext und Bedeutung des Berichts

Die Veröffentlichung des technischen Berichts von Binance fügt sich in den breiteren Kontext der Aktivitäten der Plattform ein: Im September 2026 kündigte das Unternehmen unter anderem die Einstellung der direkten Arbeit mit der ukrainischen Griwna ab dem 28. September an und verhandelte über die Schaffung eines Hubs in Kasachstan für GUS-Abrechnungen. Vor diesem Hintergrund unterstreicht die Offenlegung von Details des Angriffs, den Binance mit einer nordkoreanischen Gruppe in Verbindung bringt, dass Bedrohungen der Kryptoinfrastruktur nicht nur marktbezogener, sondern auch kybernetischer Natur sind. Der erste Teil des Berichts hält die Chronologie und die Methoden fest; endgültige Schlussfolgerungen und alle Details überlässt das Unternehmen späteren Veröffentlichungen.