Wie ein kompromittierter Laptop zum Ausgangspunkt des größten Krypto-Hacks wurde

Der möglicherweise größte Krypto-Diebstahl aller Zeiten offenbart eine gefährliche Schwachstelle: Nicht die Blockchain selbst, sondern kompromittierte Unternehmenssysteme könnten den Angreifern den Weg zu Milliardenbeträgen geöffnet haben. Innerhalb kürzester Zeit verschwanden Kryptowährungen im Wert von rund 6,3 Milliarden US-Dollar von der Handelsplattform Binance. Erste Analysen deuten auf nordkoreanische Staatshacker hin – und auf einen Angriff, der möglicherweise mit einem kompromittierten Entwickler-Laptop begann.

Der 29. Oktober 2026 könnte als Tag des bislang größten Kryptowährungsdiebstahls in die Geschichte eingehen. Nach Untersuchungen des Blockchain-Analyseunternehmens TRM Labs entwendeten Angreifer Kryptowährungen im Wert von rund 6,36 Milliarden US-Dollar aus Binance-Wallets auf zehn verschiedenen Blockchains.

Damit übertrifft der Vorfall den bisherigen Rekordangriff auf die Kryptobörse Bybit vom Februar 2025 um mehr als das Vierfache. Damals erbeuteten Hacker rund 1,5 Milliarden US-Dollar.

Besonders alarmierend ist die Geschwindigkeit des Angriffs: Der Großteil der Gelder wurde innerhalb von nur 20 Minuten ab 20:05 Uhr UTC transferiert. Eine zweite Angriffswelle folgte gegen 23:05 Uhr UTC.

Kompromittierter Entwickler-Laptop als möglicher Ausgangspunkt

Die bisherigen Erkenntnisse deuten darauf hin, dass die Angreifer nicht die Blockchain-Technologie selbst kompromittierten, sondern die Infrastruktur, über die Binance Transaktionen autorisiert.

Nach ersten Angaben der Kryptobörse könnte ein kompromittierter Laptop eines DevOps-Ingenieurs den Angreifern Zugang zu einem internen Service-Container verschafft haben. Darüber ließen sich offenbar unautorisierte Auszahlungsaufträge übermitteln.

Bemerkenswert ist dabei, dass Binance bislang keine Hinweise auf einen Diebstahl privater Wallet-Schlüssel gefunden hat. Stattdessen könnte die bestehende Signaturinfrastruktur missbraucht worden sein, um betrügerische Transaktionen als reguläre Auszahlungen auszuführen.

Inzwischen hat Binance allerdings weitere mögliche Angriffspunkte identifiziert. Das Unternehmen betont, dass es sich um einen komplexen, mehrstufigen Angriff gehandelt habe, der nicht allein durch den Zugriff auf einen einzelnen Mitarbeiter-Laptop möglich gewesen sei. Eine abschließende technische Ursachenanalyse steht noch aus.

Manipulierte Signatursysteme ermöglichen Milliardenabfluss

Die technische Analyse von TRM Labs zeigt, wie gezielt die Angreifer vorgingen. Auf der Ethereum-Blockchain nutzten sie eine sogenannte EIP-7702-Delegation. Mit dieser Funktion können gewöhnliche Ethereum-Wallets bestimmte Smart-Contract-Funktionen ausführen.

Die Angreifer verwendeten 50 vorbereitete, vorab signierte Autorisierungen, um eine Binance-Hot-Wallet unter ihre Kontrolle zu bringen. Anschließend konnte ein sogenannter Sweeper-Contract vorhandene und neu eingehende Vermögenswerte automatisiert abziehen.

Parallel dazu wurden auf weiteren Blockchains regulär signierte Transaktionen ausgelöst, die Kryptowährungen an Adressen der Angreifer übertrugen.

Nach Einschätzung von TRM Labs spricht dieses Vorgehen für eine Kompromittierung der Hot-Wallet-Signaturinfrastruktur. Die Angreifer mussten somit offenbar keine privaten Schlüssel entwenden, sondern konnten bestehende Freigabeprozesse manipulieren.

Nordkoreanische Hackergruppe TraderTraitor unter Verdacht

Auch bei der Frage nach den Verantwortlichen zeichnet sich ein Verdacht ab.

TRM Labs ordnet den Angriff mit hoher Sicherheit der nordkoreanischen Hackergruppe TraderTraitor zu. Die staatlich unterstützte Gruppierung wird mit zahlreichen Angriffen auf Kryptowährungsunternehmen in Verbindung gebracht.

Bereits beim Bybit-Hack im Februar 2025 hatte das FBI dieselbe Gruppe als verantwortlich benannt.

TraderTraitor wird in der Sicherheitsbranche mit unterschiedlichen Bezeichnungen und teilweise überlappenden Gruppenzuordnungen in Verbindung gebracht, darunter Lazarus Group, APT38, BlueNoroff, Jade Sleet, UNC4899 und Slow Pisces.

Die Angreifer sind insbesondere für gezielte Social-Engineering-Kampagnen bekannt. Dabei werden unter anderem gefälschte Stellenangebote, manipulierte Entwicklerwerkzeuge und präparierte Software-Repositories eingesetzt, um Zugang zu Unternehmenssystemen zu erlangen.

Ob eine solche Methode auch beim aktuellen Binance-Angriff verwendet wurde, ist bislang nicht geklärt. Binance selbst hat noch keine Verantwortlichen benannt. Auch eine offizielle staatliche Bestätigung der Zuschreibung liegt bisher nicht vor.

Milliarden eingefroren – ein erheblicher Teil bleibt unter Kontrolle der Angreifer

Binance hat nach Bekanntwerden des Sicherheitsvorfalls umfangreiche Gegenmaßnahmen eingeleitet.

Dazu gehörten die vorübergehende Aussetzung von Ein- und Auszahlungen, die Sperrung betroffener Autorisierungen sowie die Zusammenarbeit mit Blockchain-Analyseunternehmen und Strafverfolgungsbehörden. Nach Unternehmensangaben konnten bislang rund drei Milliarden US-Dollar der betroffenen Vermögenswerte eingefroren werden.

Ein Großteil davon entfällt auf Stablecoins, deren Herausgeber bestimmte Token-Adressen sperren können.

Deutlich schwieriger gestaltet sich die Rückholung von Kryptowährungen wie Bitcoin und Ethereum. Nach Berechnungen von TRM Labs kontrollierten die Angreifer zum Zeitpunkt der Analyse weiterhin mehr als 420.000 ETH und 18.270 BTC im Gesamtwert von rund 2,4 Milliarden US-Dollar. Binance hat zugesagt, sämtliche Verluste aus dem unternehmenseigenen SAFU-Sicherheitsfonds und weiteren Unternehmensmitteln auszugleichen. Kundengelder seien abgesichert.

Check Point: Entwickler-Rechner werden zum kritischen Sicherheitsrisiko

Der Vorfall wirft grundsätzliche Fragen zur Absicherung privilegierter Arbeitsplätze, interner Freigabeprozesse und automatisierter Transaktionssysteme auf. Denn die mögliche Kompromittierung eines Entwickler-Laptops zeigt, wie weitreichend die Folgen sein können, wenn Angreifer Zugriff auf Systeme erhalten, die geschäftskritische Aktionen auslösen oder autorisieren.

Besondere Bedeutung gewinnt diese Entwicklung durch den zunehmenden Einsatz KI-gestützter Entwicklungswerkzeuge und autonomer Coding-Agenten, die teilweise mit umfangreichen Berechtigungen ausgestattet sind.

Thomas Boele, Global Director, Solutions Engineering – AI Security bei Check Point , kommentiert den Vorfall und seine Auswirkungen auf die Unternehmenssicherheit:

"Nach allem, was bisher bekannt ist, ist der Angriff auf Binance der größte je erfasste Krypto-Diebstahl. Erste Erkenntnisse deuten auf einen erstaunlich gewöhnlichen Einstieg hin: den kompromittierten Laptop eines DevOps-Ingenieurs. Hinweise auf gestohlene Schlüssel gibt es laut Binance nicht. Nach bisherigen Erkenntnissen übernahmen die Angreifer stattdessen das System, das Auszahlungen anstößt. Darin liegt die eigentliche Lehre: Die Schwachstelle war nicht die Blockchain, sondern der Rechner eines Mitarbeiters mit weitreichenden Zugriffsrechten. Ein Einzelfall ist das nicht. Erst im September verlor Bitget rund 388 Millionen US-Dollar auf ähnliche Weise.

Blockchain-Analysten ordnen den Angriff nordkoreanischen Staatshackern zu, offiziell bestätigt ist das noch nicht. Deren Vorgehen ist seit Jahren bekannt: gefälschte Recruiter, präparierte Programmieraufgaben, verseuchte Code-Repositories. Im September haben Verfassungsschutz und BND gemeinsam mit internationalen Partnern genau davor gewarnt. Binance selbst meldete zwei Tage vor dem Angriff, solche Versuche abgewehrt zu haben. Ob der Laptop auf diesem Weg kompromittiert wurde, ist noch offen.

Ebenso offen ist, ob KI eine Rolle gespielt hat. Klar ist aber: KI macht solche Täuschungsmanöver billiger, schneller und glaubwürdiger. Nordkoreanische Akteure nutzen sie nachweislich für überzeugende Profile und Übersetzungen. Elf Staaten, darunter Deutschland, haben im Sommer zudem davor gewarnt, dass sich nordkoreanische IT-Kräfte als Bewerber ausgeben, teils mit manipulierten oder künstlich erzeugten Videobildern.

Das Risiko betrifft jedes Unternehmen, dessen Systeme auf Anweisung Geld oder Daten bewegen, nicht nur Krypto-Börsen. Entwickler-Rechner gehören heute zu den am höchsten privilegierten Geräten, und immer häufiger laufen darauf KI-Coding-Agenten mit denselben Rechten. Unternehmen müssen diese Geräte wie Kronjuwelen schützen: minimale Rechte, eine strikte Trennung zwischen Entwicklungszugängen und der Freigabe von Transaktionen, eine Richtlinienprüfung vor jeder kritischen Aktion und harte Limits dafür, wie viel Geld wie schnell fließen darf.

Laut Analysten floss ein Großteil des Geldes in rund 20 Minuten ab. Die Verteidigung muss genauso schnell sein. Was nicht sofort eingefroren wird, ist kaum zurückzuholen."

Der Binance-Hack ist ein Warnsignal weit über die Kryptobranche hinaus

Der Milliardenangriff verdeutlicht, dass hochkritische Infrastrukturen nicht zwangsläufig durch die direkte Überwindung ihrer stärksten Sicherheitsmechanismen kompromittiert werden müssen.

Bereits der Missbrauch vertrauenswürdiger interner Systeme kann ausreichen, um bestehende Sicherheitsprozesse zu umgehen und erhebliche Schäden zu verursachen.

Für Unternehmen ergibt sich daraus eine zentrale Konsequenz: Die Absicherung privilegierter Endgeräte, die konsequente Trennung von Berechtigungen und die kontinuierliche Überprüfung kritischer Transaktionen müssen stärker in den Mittelpunkt rücken.

Mit dem zunehmenden Einsatz autonomer KI-Agenten gewinnt diese Herausforderung zusätzlich an Bedeutung. Denn wenn Software selbstständig auf sensible Systeme zugreifen und Aktionen auslösen kann, steigt auch das Schadenspotenzial kompromittierter Identitäten und Arbeitsumgebungen.