Binance-Hack: Wie aus einem zunächst überschaubarem Einbruch ein Milliardenraub wird
6,3 Milliarden Dollar Schaden: Der Angriff auf Binance zeigt, wie gefährlich weitreichende Zugriffsrechte werden können. Drei Sicherheitsexperten erläutern, warum der Schutz einzelner Geräte nicht genügt und wie Unternehmen die Ausbreitung von Angreifern begrenzen können.
Die Spur führt zunächst zu einem Mitarbeiter-Laptop. Nach ersten Erkenntnissen von Binance könnte dessen Kompromittierung den Zugang zu einem internen Dienst ermöglicht haben, über den Angreifer unberechtigte Auszahlungen auslösten. Allerdings meldete die Kryptobörse inzwischen weitere Einbruchspunkte. Den Milliardenraub vom 29. Oktober 2026 allein auf ein infiziertes Gerät zurückzuführen, wäre deshalb verfrüht. Die vollständige Angriffskette wird noch untersucht.
Nordkorea im Visier
Das Analyseunternehmen TRM Labs schreibt den Angriff der mit Nordkorea verbundenen Gruppe TraderTraitor zu. Diese Zuordnung ist von der noch laufenden technischen Aufarbeitung zu unterscheiden.
Tom Kellermann, bei TrendAI für die Sicherheit künstlicher Intelligenz (KI) und Bedrohungsanalysen zuständig, beschreibt das strategische Motiv solcher Gruppen: „Ihr Ziel ist es, die Auswirkungen der vom Westen verhängten Wirtschaftssanktionen abzufedern und die Finanzierung des Raketenprogramms zu ermöglichen.“ Kryptoplattformen stehen damit im Fokus von Akteuren, deren Ressourcen und Ausdauer über gewöhnliche Gelegenheitskriminalität hinausgehen.
Bestehende Rechte als Einfallstor
Raghu Nandakumara, Leiter Branchenlösungen bei Illumio, verweist auf Berichte, wonach ein Ingenieur durch einen vermeintlichen Test zur Infektion seines Laptops verleitet worden sei. Seine Kritik richtet sich auf das Vertrauen, das einem bereits angemeldeten Gerät entgegengebracht wird: „Sobald sie den Laptop unter ihrer Kontrolle hatten, konnten sie sich auf bestehende Zugriffsrechte verlassen.“
Das grundsätzliche Problem reicht über Kryptobörsen hinaus. Übernimmt ein Angreifer eine gültige Sitzung oder privilegierte Identität, können reguläre Berechtigungen seinen weiteren Weg öffnen. Zero Trust setzt hier an: Zugriffe werden anhand von Identität, Kontext und erforderlichem Umfang geprüft; die Zugehörigkeit zum internen Netzwerk allein begründet kein Vertrauen.
Bewegungsfreiheit gezielt begrenzen
Benny Lakunishok, Geschäftsführer und Mitgründer von Zero Networks, verdeutlicht, wie wenige Netzwerkverbindungen ein Gerät im Arbeitsalltag tatsächlich nutzt: „Unsere Untersuchungen zeigen, dass ein typisches Gerät innerhalb einer Woche mit etwa 2 Prozent der anderen Geräte im Netzwerk kommuniziert.“ Daraus lässt sich keine feste Grenze für jedes Unternehmen ableiten. Die Zahl gibt aber Anlass zu prüfen, warum ein Gerät viele weitere Systeme erreichen darf, obwohl es diese für seine Aufgaben nicht benötigt.
Hier setzt die Netzwerksegmentierung an: Sie unterteilt das Netzwerk in getrennte Bereiche und kontrolliert die Verbindungen dazwischen. Die Mikrosegmentierung legt noch genauer fest, welche einzelnen Geräte und Anwendungen miteinander kommunizieren dürfen. Wird ein Mitarbeiter-Laptop übernommen, sollen diese Zugangsschranken verhindern, dass Angreifer darüber auch wichtige Unternehmenssysteme erreichen. Ob solche Maßnahmen den Binance-Angriff sicher verhindert hätten, lässt sich natürlich nicht belegen. Mit Sicherheit lässt sich aber sagen, dass die Hürden für eine Ausbreitung wesentlich höher gewesen wären.
KI-Angreifer scheitert an geschützten Systemen
Zero Networks testete einen solchen Schutz in einer Laborumgebung mit unterschiedlichen Betriebssystemen und der Softwareplattform Kubernetes. Das KI-Werkzeug Claude Code erprobte als autonomer Angreifer mit Administratorrechten rund 18 Angriffswege mit 23 Werkzeugen und 22 MITRE-ATT&CK-Techniken. Einen bewusst ungeschützten Kontrollrechner konnte es übernehmen: Es verschaffte sich umfassende Zugriffsrechte, las Anmeldedaten aus und hinterlegte zum Nachweis eine Datei. Zu den durch Mikrosegmentierung geschützten Systemen konnte es laut Anbieter jedoch nicht vordringen.
Ein einzelner Labortest beweist keinen generellen Schutz vor jedem Angriff. Er zeigt aber, wie sich die Folgen eines Einbruchs begrenzen lassen: Selbst wenn Angreifer einen Rechner kontrollieren und Anmeldedaten stehlen, müssen weitere Systeme für sie unerreichbar bleiben.
Unternehmen sollten deshalb prüfen: Auf welche wichtigen Anwendungen und Daten könnten Angreifer zugreifen, wenn sie einen Mitarbeiter-Laptop übernehmen? Überall dort, wo dessen Zugriffsrechte über den tatsächlichen Arbeitsbedarf hinausgehen, sollten Berechtigungen eingeschränkt und zusätzliche Zugangskontrollen eingerichtet werden. So lässt sich verhindern, dass ein einzelnes infiziertes Gerät zum Ausgangspunkt eines weitreichenden Angriffs wird.
Benny Lakunishok, CEO und Mitbegründer von Zero Networks
Newsletter Abonnieren
Abonnieren Sie jetzt IT-SICHERHEIT News und erhalten Sie alle 14 Tage aktuelle News, Fachbeiträge, exklusive Einladungen zu kostenlosen Webinaren und hilfreiche Downloads.
