Wenn Sie glauben, dass keine Überweisung das Konto Ihres Unternehmens ohne Ihre Unterschrift verlässt, ist der Binance-Hack ein guter Anlass, diese Annahme noch heute zu prüfen. Am Abend des 29. Oktober 2026 verließen rund 6,3 Milliarden Dollar durch unautorisierte Abhebungen die Wallets von Binance, der größten Kryptobörse der Welt, der Großteil davon in etwa 20 Minuten. Der Co-CEO der Börse sagte, ein Teil der Operation sei nicht durch die üblichen Freigabekontrollen gelaufen. Die Lehre für Ihr Unternehmen hat nichts mit Kryptowährungen zu tun: Listen Sie jeden Weg auf, über den Geld bewegt oder das Konto eines Zahlungsempfängers geändert werden kann, und sorgen Sie dafür, dass jeder davon zwei Personen, zwei Geräte und ein Protokoll erfordert, das niemand löschen kann.

Was bei Binance passiert ist, in Zahlen

Laut dem zweiten offiziellen Update, das Binance am 30. Oktober veröffentlichte, wurden seine Hot Wallets, also die mit dem Internet verbundenen Wallets, über die Kundenabhebungen laufen, gegen 20:05 UTC kompromittiert, bei einem Verlust von rund 6,3 Milliarden Dollar. Die Börse setzte die Abhebungen aus, erklärte, dass rund 3 Milliarden Dollar mithilfe von Partnern auf der Blockchain eingefroren wurden, und stellte mehr als 6,34 Milliarden Dollar an Eigenmitteln zur Deckung der Verluste bereit, darunter 5 Milliarden in genau den Token, die gestohlen wurden, also rund 80% des Betrags. Ziel war, die Abhebungen innerhalb von etwa 34 Stunden nach diesem Update schrittweise wieder freizugeben, mit einem Reservenachweis bis zum 2. November.

Die Analyse der Blockchain-Daten durch TRM Labs liefert wichtige Details: Die Gelder flossen über 10 Netzwerke ab, die Vorbereitung begann mindestens 36 Stunden vor dem Diebstahl, der Angreifer probte das Werkzeug vor dem Einsatz an einem anderen Wallet und bereitete 50 vorab signierte Autorisierungen vor, damit eine davon im Moment der Ausführung gültig war. TRM beziffert die Summe auf 6,36 Milliarden Dollar, etwa das Vierfache des Bybit-Hacks über 1,5 Milliarden Dollar im Februar 2025. TRM und Elliptic schreiben den Angriff TraderTraitor zu, einer mit Nordkorea verbundenen Gruppe, wobei Elliptic betont, dass noch keine Regierung diese Zuordnung bestätigt hat.

Was Binance über den Ablauf gesagt hat

Die erste Untersuchung deutete auf den kompromittierten Laptop eines DevOps-Ingenieurs hin, über den der Angreifer einen Service-Container erreichen und unautorisierte Abhebungstransaktionen einreichen konnte. Später erklärte die Börse, die weitere Untersuchung habe zusätzliche Einbruchspunkte aufgedeckt, und es gebe keine Hinweise darauf, dass private Schlüssel ihrer Wallets abgeflossen seien. Der Co-CEO sagte, der Angriff sei nicht von einer einzelnen Person ausgeführt worden, der Angreifer habe einen Selbstzerstörungsmechanismus genutzt, der Werkzeuge und Spuren während des Vorgangs vernichtete, und die auf Ethereum genutzte Delegation sei nicht durch die üblichen Freigabekontrollen von Binance gelaufen.

Einfach gesagt: Der Angreifer hat den Tresor nicht aufgebrochen. Er hat die eigenen Systeme von Binance dazu gebracht, die Überweisungen zu signieren. Nach Einschätzung von TRM ist die wahrscheinlichste Erklärung die Fähigkeit, das Signatursystem Transaktionen nach Wahl des Angreifers signieren zu lassen, über verschiedene Netzwerke und verschiedene Schlüssel hinweg, innerhalb von etwa einer halben Stunde.

Warum das ein Unternehmen betrifft, das keinerlei Kryptowährung besitzt

Weil jedes Unternehmen eine kleine Version dieses Signatursystems betreibt: das Firmenkundenportal der Bank, die Zahlungsdatei, die der Buchhalter aus der Buchhaltungssoftware exportiert und bei der Bank hochlädt, die Maske, in der die Bankverbindung eines Lieferanten geändert wird, das Erstattungsrecht in Ihrem Zahlungsanbieter, die monatliche Gehaltsdatei. Als Inhaber sehen Sie den offiziellen Freigabeweg, Antrag, dann Vorgesetzter, dann Finanzen, doch der Angreifer sucht den Nebenweg: ein Systemkonto, das Dateien automatisch hochlädt, einen IT-Administrator, der eine IBAN ändern kann, oder einen Integrationsschlüssel bei einem externen Anbieter, der eine Überweisung ausführen kann.

Es gibt zwei weitere Lehren. Die erste ist die Geschwindigkeit: Der Großteil des Geldes floss in etwa 20 Minuten ab, und kein Mitarbeiter kann da von Hand mithalten, also muss der Schutz aus Limits und Warnmeldungen bestehen, die von selbst greifen. Die zweite ist die Vorbereitung: Der Angreifer bereitete sich 36 Stunden im Voraus vor und testete das Werkzeug, es gab also frühe Warnzeichen für jeden, der hinsah. Wir haben bereits beschrieben, wie eine einzige kostenlose Streaming-Seite auf einem Arbeitslaptop die Passwörter Ihres Unternehmens an Angreifer ausliefern kann, und das Gerät der Person mit den Berechtigungen ist das wertvollste Ziel im Unternehmen.

Was Sie diese Woche in Ihrem Unternehmen prüfen sollten

  • Kartieren Sie jeden Weg, über den Geld abfließen kann: Notieren Sie jede Person und jedes System, das eine Überweisung anstoßen, freigeben, das Konto eines Empfängers ändern oder eine Erstattung auslösen kann, einschließlich Systemkonten, Integrationsschlüsseln und externen Anbietern.
  • Zwei Personen und zwei Geräte für jede Überweisung: Wer eine Überweisung erfasst, gibt sie nicht frei, und die Freigabe erfolgt auf einem anderen Gerät. Das ist das Prinzip der Funktionstrennung in den Essential Cybersecurity Controls: Für die Erledigung einer Aufgabe braucht es mehr als eine Person, jede mit anderen Berechtigungen. Verknüpfen Sie es mit einer Freigabematrix, die festlegt, wer was unterschreibt.
  • Limits und sofortige Warnmeldungen: Bitten Sie Ihre Bank um ein tägliches Überweisungslimit und eine sofortige Benachrichtigung auf das Telefon des Inhabers bei jeder großen Überweisung und immer dann, wenn ein Empfänger hinzugefügt oder geändert wird.
  • Administratorrechte nach Bedarf: Aktivieren Sie die Multi-Faktor-Authentifizierung für jeden Fernzugriff und jedes privilegierte Konto, prüfen Sie regelmäßig die Liste der Personen mit diesen Rechten und löschen Sie die Konten ehemaliger Mitarbeiter und abgeschlossener Dienstleister.
  • Ein Protokoll, das der Angreifer nicht löschen kann: Der Binance-Angreifer löschte Spuren noch während des Angriffs. Aktivieren Sie Ereignisprotokolle für privilegierte Konten und Fernzugriffe, bewahren Sie eine Kopie außerhalb des Systems selbst auf und behalten Sie sie mindestens 12 Monate, wie es die Kontrollen verlangen.
  • Ein Plan für die ersten Minuten: Legen Sie fest, wer die Bank anruft, um eine Überweisung zu stoppen, wer das verdächtige Konto sperrt und wo die Notfallnummern liegen. Im Fall Binance fror Tether das Haupt-Empfangswallet des Angreifers 37 Minuten nach der größten Abbuchung ein, und genau diese Schnelligkeit hat einen großen Teil des Geldes gerettet.

Was sagen die saudischen Kontrollen?

Die Essential Cybersecurity Controls ECC-2:2024 der Nationalen Cybersicherheitsbehörde (NCA) sind verpflichtend für Regierungsbehörden und die ihnen angeschlossenen Einrichtungen sowie für Unternehmen des Privatsektors, die kritische nationale Infrastruktur besitzen, betreiben oder hosten, und die NCA ermutigt alle anderen Einrichtungen im Königreich nachdrücklich, sie zu nutzen. Sie entsprechen direkt den Lehren aus dem Binance-Fall: Multi-Faktor-Authentifizierung für Fernzugriffe und privilegierte Konten (2-2-3-2), die Prinzipien Need-to-know, minimale Rechte und Funktionstrennung (2-2-3-3), die Verwaltung privilegierter Zugriffe (2-2-3-4), die regelmäßige Überprüfung von Identitäten und Zugriffsrechten (2-2-3-5) sowie Ereignisprotokolle für privilegierte Konten und Fernzugriffe, die laufend überwacht und mindestens 12 Monate aufbewahrt werden (2-12-3).

Die Sicht von Origami

Wir lesen den Binance-Hack als Lehre über Freigabewege, nicht über Kryptowährungen. Die meisten Unternehmen gestalten die Freigabe für den offiziellen Weg und vergessen die Nebenwege: das Systemkonto, das die Zahlungsdatei hochlädt, den Benutzer, der eine IBAN ändern kann, den Integrationsschlüssel, der ausführen darf. Diese Nebenwege sind das Erste, wonach ein Angreifer sucht.

Wenn wir ein individuelles System bauen, das mit Geld zu tun hat, etwa ein System für den Beschaffungsprozess oder ein Portal für Lieferantenzahlungen, empfehlen wir, die Freigabe vom ersten Tag an zum Teil des Designs zu machen: zwei verschiedene Personen für Erfassung und Freigabe, Betragslimits und ein Protokoll jeder Änderung an Empfängerdaten. Wenn Sie eher eine fertige Buchhaltungssoftware als ein individuelles System brauchen, werfen Sie einen Blick auf Fahim.

Fazit

Sie brauchen kein Krypto-Wallet, um aus dem größten jemals verzeichneten Kryptodiebstahl zu lernen. Nehmen Sie sich diese Woche zwei Stunden mit Ihrem Buchhalter und Ihrer IT-Leitung: Schreiben Sie jeden Weg auf, über den Geld abfließen kann, trennen Sie Erfassung und Freigabe auf zwei Geräte, bitten Sie die Bank um Limits und Warnmeldungen, prüfen Sie, wer Administratorrechte hat, und bewahren Sie die Protokolle außerhalb der Reichweite derjenigen auf, die das System betreiben. Wenn Sie eine Prüfung der Freigabewege in Ihren Systemen wünschen, kontaktieren Sie uns oder sehen Sie sich unsere Leistungen an.

Quellen