--- title: "Binance enthullt Schema des monatelangen Angriffs von „Genosse Kims Hackern“: Vom infizierten Repository bis zur Umgehung der Wallet-Signierung" description: "Binance hat den ersten Teil eines technischen Berichts über einen monatelangen Cyberangriff einer mit Nordkorea verbundenen Gruppe veröffentlicht: von einem infizierten Repository im Juni bis zu unbefugten Transaktionen am 29. Oktober." date: 2026-11-04T01:13:20.815Z lang: de url: https://xab.info/de/posts/binance-bericht-nordkorea-angriff tags: [binance, north-korea, cyberattack, cryptocurrency, eip-7702, supply-chain-attack, social-engineering] author: "Alexander Buran" publisher: "XAB.info" --- # Binance enthullt Schema des monatelangen Angriffs von „Genosse Kims Hackern“: Vom infizierten Repository bis zur Umgehung der Wallet-Signierung ![Nordkoreanische Hacker an Computern vor dem Hintergrund von Kims Porträt und Kryptowährungs-Charts](https://xab.info/media/2026/11/04/binance-otchet-o-atake-severnoi-korei/binance-otchet-o-atake-severnoi-korei-1.webp) ## Kernpunkte - Binance hat den ersten Teil eines technischen Berichts über einen monatelangen Angriff einer Nordkorea-nahen Gruppe veröffentlicht. - Die Kampagne begann im Juni 2026 mit einem Lieferkettenangriff über ein infiziertes Repository. - Im September nutzten die Angreifer Social Engineering durch gefälschte Vorstellungsgespräche. - Im Oktober verschafften Zero-Day-Schadsoftware und ein internes KI-Tool Zugang zur Wallet-Signierungsinfrastruktur. - Am 29. Oktober wurden unbefugte Transaktionen unter Ausnutzung von Smart-Contract-Schwachstellen und EIP-7702 initiiert. Die weltweit grosste Kryptobörse Binance hat den ersten Teil eines technischen Berichts veröffentlicht, der eine raffinierte, monatelange Kampagne detailliert beschreibt, die nach Einschätzung des Unternehmens von einer nordkoreanisch verbundenen Hackergruppe durchgeführt wurde. Das Dokument offenbart erstmals die Abfolge der Phasen bei der Vorbereitung und Durchführung des Angriffs: von der ursprünglichen Infiltration der Lieferkette im Juni 2026 bis hin zu unbefugten Transaktionen, die am 29. Oktober eingeleitet wurden. Dem Bericht zufolge verließen sich die Angreifer nicht auf einen einmaligen Einbruch, sondern bauten den Zugriff in Schichten auf und bauten ihre Präsenz in der Infrastruktur des Unternehmens schrittweise aus. ### Einstiegspunkt: Die Lieferkette im Juni Dem veröffentlichten Teil des Berichts zufolge begann die Kampagne bereits im Juni 2026 mit einem Angriff auf die Lieferkette. Einer der Ingenieure des Unternehmens lud eine kompilierte Version eines beliebten Tools über ein infiziertes Repository herunter. Genau dieser Schritt, so die Beschreibung von Binance, legte den Grundstein für die fortgesetzte Präsenz der Angreifer in der Entwicklungsumgebung: Die Schadkomponente gelangte in den Arbeitsablauf, bevor sie entdeckt wurde, und ermöglichte es den Akteuren, in der Infrastruktur Fuß zu fassen. ### Social Engineering: Fiktive Vorstellungsgespräche im September Im September 2026, so der Bericht, gingen die Angreifer zu einer fortgeschrittenen Social-Engineering-Phase über. Unter dem Deckmantel fiktiver Vorstellungsgespräche — mit einem gefälschten HR-Spezialisten und einer Person, die sich als „CEO“ ausgab — überredeten die Akteure einen anderen Mitarbeiter, eine Testaufgabe herunterzuladen, die ein schädliches Repository enthielt. Auf diese Weise verschaffte sich die Gruppe einen zusätzlichen Zugangskanal, der unabhängig vom ursprünglichen Einstiegspunkt in der Lieferkette war. ### Zero-Day und internes KI-Tool als Brückenkopf Unter Verwendung von Zero-Day-Schadsoftware, die Endpunktschutz-Tools umging, erlangten die Angreifer laut Binance die Kontrolle über die Workstation des Ingenieurs. Im Oktober setzten die Akteure das interne KI-Tool des Unternehmens als Brückenkopf für weitere Infiltrationen ein — einschließlich der gezielten Ansprache der Krypto-Wallet-Signierungsinfrastruktur. Diese Phase wurde dem Bericht zufolge zu einem entscheidenden Wendepunkt: Der Zugriff auf das Tool, das eine privilegierte Position innerhalb des Netzwerks innehat, ermöglichte es den Angreifern, sich den Komponenten zu nähern, die für die Autorisierung von Operationen zuständig sind. ### 29. Oktober: Protokollumgehung und unbefugte Transaktionen Den Höhepunkt der Kampagne bildeten laut dem veröffentlichten Teil des Berichts die Ereignisse am 29. Oktober 2026. Die Akteure umgingen Sicherheitsprotokolle und initiierten unbefugte Transaktionen unter Ausnutzung von Smart-Contract-Schwachstellen und EIP-7702-Delegationsmechanismen. Genau diese Kombination aus Schwachstellen auf Vertragsebene und delegierten Befugnissen machte laut Unternehmensbeschreibung Operationen möglich, die unter normalen Umständen blockiert worden wären. ### Kontext und Bedeutung des Berichts Die Veröffentlichung des technischen Berichts von Binance fügt sich in den breiteren Kontext der Aktivitäten der Plattform ein: Im September 2026 kündigte das Unternehmen unter anderem die Einstellung der direkten Arbeit mit der ukrainischen Griwna ab dem 28. September an und verhandelte über die Schaffung eines Hubs in Kasachstan für GUS-Abrechnungen. Vor diesem Hintergrund unterstreicht die Offenlegung von Details des Angriffs, den Binance mit einer nordkoreanischen Gruppe in Verbindung bringt, dass Bedrohungen der Kryptoinfrastruktur nicht nur marktbezogener, sondern auch kybernetischer Natur sind. Der erste Teil des Berichts hält die Chronologie und die Methoden fest; endgültige Schlussfolgerungen und alle Details überlässt das Unternehmen späteren Veröffentlichungen. ## Faktencheck und Quellen - [Криптобиржа Binance подтвердила, что за недавней атакой стояли умельцы товарища Кима](https://www.goha.ru/kriptobirzha-binance-podtverdila-chto-za-nedavnej-atakoj-stoyali-umelcy-tovarishha-kima-xRr2yB) - Primärquelle: Der erste Teil des technischen Berichts von Binance. Chronologie (Juni — Lieferkette; September — Social Engineering; Oktober — Workstation-Kontrolle und KI-Tool; 29. Oktober — unbefugte Transaktionen über EIP-7702 und Smart-Contract-Schwachstellen). Die Zuordnung zu Nordkorea ist eine Einschätzung von Binance. - [Binance договорилась о создании в Казахстане хаба для расчетов по СНГ](https://www.kommersant.ru/doc/8938251) - Wird ausschließlich als Hintergrundkontext für die Geschäftstätigkeit von Binance verwendet; steht in keinem Zusammenhang mit dem Cyberangriff. - [Крупнейшая в мире криптобиржа прекратит работу с гривной](https://www.gazeta.ru/business/news/2026/09/23/29380705.shtml) - Die Einstellung der direkten Arbeit mit der Griwna ab dem 28. September 2026 ist ein Hintergrundkontext und steht in keinem Zusammenhang mit dem Angriff. ## Häufige Fragen ### Wann begann der Angriff laut dem Binance-Bericht? Dem veröffentlichten Teil des Berichts zufolge begann die Kampagne im Juni 2026 mit einem Lieferkettenangriff, als ein Ingenieur eine kompilierte Version eines Tools über ein infiziertes Repository herunterlud. ### Wie verschafften sich die Angreifer im September zusätzlichen Zugriff? Durch Social Engineering: Unter dem Vorwand fiktiver Vorstellungsgespräche mit einem falschen HR-Mitarbeiter und einem 'CEO' überredeten sie einen Mitarbeiter, eine Testaufgabe mit einem schädlichen Repository herunterzuladen. ### Was passierte am 29. Oktober 2026? Dem Bericht zufolge umgingen die Angreifer Sicherheitsprotokolle und initiierten unbefugte Transaktionen unter Verwendung von Smart-Contract-Schwachstellen und EIP-7702-Delegationsmechanismen. ### Wer steckt nach Einschätzung von Binance hinter dem Angriff? Binance bringt den Angriff mit einer mit Nordkorea verbundenen Hackergruppe in Verbindung. Dies ist die Einschätzung des Unternehmens basierend auf seinem technischen Bericht.