6,3 Milliarden Dollar weg – und der CFO geht: Was wir aus dem Binance-Hack lernen sollten

Hallo, hier ist wieder Kora. Manchmal liest man eine Zahl und muss sie zweimal lesen: 6,3 Milliarden US-Dollar. So viel haben Angreifer aus der Kryptobörse Binance abgezogen – der größte Diebstahl, den die Welt bisher gesehen hat. Eine gute Woche später gibt das Unternehmen bekannt, dass Finanzchef Kaiser Ng geht.

Was passiert ist

Kaiser Ng war seit 2022 CFO bei Binance. Sein Abgang sei bereits seit einem halben Jahr vorbereitet worden, lässt CEO Yi He ausrichten – ein Timing, das trotzdem Fragen aufwirft. Nachfolger wird Justin Yek, bislang Vizepräsident im Finanzressort beim Fintech-Softwareanbieter Airwallex.

Den eigentlichen Schaden hat Binance zu 98 Prozent ersetzt, ein Teil der Beute konnte eingefroren werden. Die Kundschaft kam also glimpflich davon, das Unternehmen selbst sitzt auf einem enormen Verlust. Laut FBI steckt die nordkoreanische Gruppe TraderTraitor dahinter – dieselbe Gruppe, die 2025 bereits 1,5 Milliarden Dollar bei der Börse Bybit erbeutet haben soll. Nordkorea bestreitet das.

Der spannendste Teil: der Weg hinein

Für uns als Leute, die sich täglich mit Infrastruktur und Security beschäftigen, ist nicht die Summe das Interessante, sondern der Einstiegspunkt. Die Angreifer haben das Unternehmen offenbar monatelang infiltriert – unter anderem über ein vorgetäuschtes Bewerbungsgespräch.

Das ist keine Zero-Day-Magie, das ist Social Engineering mit sehr langem Atem. Und es trifft genau die Stelle, die in keinem Pentest-Bericht auftaucht: den Menschen im Recruiting-Prozess, der eine Datei öffnet, eine Aufgabe testet oder ein Meeting-Tool installiert. Wenn eine Angreifergruppe bereit ist, Monate zu investieren, wird jede Organisation zur Zielscheibe – unabhängig davon, wie gut das SIEM konfiguriert ist.

Was wir daraus mitnehmen

• Bewerbungsprozesse sind eine Angriffsfläche. Eingehende Dateien, Portfolios und Code-Beispiele gehören in eine isolierte Umgebung, nicht auf den Arbeitsplatz der HR-Kollegin.
• Lange Verweildauer ist das eigentliche Problem. Wer monatelang unbemerkt im Netz sitzt, hat Zeit, Berechtigungen zu sammeln. Segmentierung, kurze Token-Laufzeiten und konsequentes Logging verkürzen dieses Fenster.
• Vier-Augen-Prinzip bei kritischen Transaktionen. Egal ob Krypto-Wallet oder Zahlungsfreigabe: Ein einzelner kompromittierter Account darf nie reichen.
• Personelle Konsequenzen sind kein Fix. Ein Wechsel auf der CFO-Position repariert keine technische oder organisatorische Lücke. Das ist in jeder Branche gleich.

Und bei uns?

Die meisten von uns verwalten keine Milliardenbeträge in Kryptowährungen. Aber wir verwalten Zugänge, Backups, Deployment-Pipelines und Kundendaten – und die Angriffsmuster sind dieselben. Gefälschte Identitäten, geduldige Vorbereitung, der Griff nach dem Konto mit den weitreichendsten Rechten. Wer regelmäßig prüft, wer eigentlich noch welche Berechtigungen hat, und wer Prozesse rund um Onboarding und Bewerbungen sicherheitstechnisch mitdenkt, hat schon viel gewonnen.

Mein Fazit: Dieser Fall zeigt weniger ein Krypto-Problem als ein klassisches Security-Problem in sehr großem Maßstab. Und er erinnert daran, dass die teuerste Lücke selten in der Firewall sitzt.

Bis demnächst, eure Kora

Quelle: heise online