Ein Vorstellungsgespräch im Wert von 6,4 Milliarden US-Dollar

Am zweiten Dienstag im September 2026, um 10 Uhr morgens nach San Francisco-Zeit, tauchte eine Nachricht in der verschlüsselten Kommunikationssoftware eines Binance-Softwareentwicklers auf.

Das Profilbild zeigte einen mittelalten Mann in grauem Anzug, auf der Profilseite stand „Projektdirektor“.

Der erste Satz, den er schickte, war höflich und mit genau dem richtigen Maß an Bewunderung versehen: „Ich habe mir deinen technischen Hintergrund angesehen, die Grundlagenoptimierung ist sehr solide. Wir stellen gerade ein Team zusammen, dessen Richtung fast genau mit dem übereinstimmt, was du gerade machst. Hast du Lust, darüber zu sprechen?“

Dieser Entwickler arbeitete seit drei Jahren im Entwicklungsteam von Binance Wallet und hatte keinen Mangel an Stellenangeboten.

Aber diese Nachricht des Gegenübers traf einen verborgenen Punkt: Die erwähnte technische Richtung war bis zu dem Modul präzise, an dem er in letzter Zeit intensiv arbeitete. Jemand, der diesen Satz aussprechen konnte, verstand entweder wirklich die Materie oder hatte ausreichend tiefgehende Recherchen betrieben.

Er antwortete mit zwei Wörtern: „Gerne.“

Zwei Ferninterviews wurden im folgenden Zeitraum abgeschlossen.

In der ersten Runde unterhielt man sich zwanglos über Technik, und der Gesprächspartner konnte jede Frage mühelos beantworten.

In der zweiten Runde kam eine andere Person, die sich als „Geschäftsführer“ ausgab. Nach einem vierzigminütigen Gespräch über die Unternehmensvision stellte er die letzte Aufgabe: „Wir pflegen es, Kandidaten eine kleine praktische Übung machen zu lassen, die nicht kompliziert ist – du musst nur den Gedanken, den du vorher erwähnt hast, durchlaufen lassen. Der Code ist hier, zieh ihn dir runter und sieh ihn dir an.“

Der Gesprächspartner schickte eine „Hausaufgabe“, die tatsächlich ein bösartiges Coderepository enthielt. Dieser Entwickler zögerte nicht, lud sie herunter und öffnete sie.

In diesem Moment ließ er einen unsichtbaren Fremden persönlich in das interne Netzwerk von Binance ein.

Dies war kein isolierter Einbruch.

Aus dem vorläufigen Untersuchungsbericht von Binance vom 3. November geht hervor, dass der gesamte Angriff eine „sorgfältig geplante mehrstufige Angriffsaktivität“ ist. Die Angreifer kombinierten verschiedene Methoden wie „gefälschte Einstellungsinterviews, die Verleitung zum Herunterladen bösartiger Software, den Einbruch in interne KI-Tools, Endgeräteinbrüche sowie fortgeschrittene Transaktionsautorisierungsmethoden“.

Spulen wir die Zeit vier Monate zurück.

Im Juni 2026 lud ein Entwickler des Wallet-Entwicklungsteams von Binance ein manipuliertes Softwareprogramm herunter. Das interne System bemerkte dies rechtzeitig und ersetzte sein Gerät.

Die Behandlung schien sauber und reibungslos verlaufen zu sein.

Aber in diesem kurzen Zeitfenster hatten die Angreifer bereits das bekommen, was sie wirklich wollten: die Stellenfunktion dieses Entwicklers und die Informationen mehrerer Kollegen in seinem Team.

Wer für die Grundlagen der Wallet zuständig ist, wer mit wem im selben Vertrauenskreis steht – diese Landkarte war bereits gezeichnet.

Der Juni war die Phase der Aufklärung.

Das Interview im September war die Zustellung des Angriffsmittels.

Die bösartige Software in dieser „Hausaufgabe“ verwendete komplexe Verschleierungs- und Umgehungstechniken. Sie ersetzte die Komponenten legitimer Entwicklungswerkzeuge durch bösartige Versionen und baute über dieses ersetzte Werkzeug eine Kommunikation mit einem von den Angreifern kontrollierten externen Server auf.

Es gab keine Brute-Force-Angriffe, keine Auslösung von Alarmen des E-Mail-Gateways.

Denn der Trojaner wurde nicht in die Stadt eingebrochen – er wurde von einem eigenen Mitarbeiter persönlich hineingetragen, weil diesem Mitarbeiter gesagt wurde, dass in dem Trojaner seine Zukunft stecke.

Fast einen Monat lang eilten die Angreifer nicht zur Tat.

Am 20. Oktober begann die Aktion vorläufig. Ausgehend vom Laptop des Entwicklers, der durch die gefälschte Stellenausschreibung hereingelegt worden war, über ein internes KI-Tool von Binance übernahmen die Hacker die Kontrolle über die Computer von zwei weiteren Softwareentwicklern, die für die digitale Wallet von Binance zuständig waren.

Das KI-Tool wurde nicht „hereingelegt“ – es führte treu die Anweisungen aus, die von einer Person mit gültigen Anmeldeinformationen erteilt wurden. An diesem Punkt hielten die Angreifer bereits drei Geräte in der Hand, von denen mindestens eines zu den Tiefen des Wallet-Systems führte.

Am 29. Oktober loggten sich die Angreifer remote auf dem Computer des dritten Entwicklers ein und aktivierten ein bösartiges Skript.

Der Angriff wurde offiziell gestartet.

Nach Angaben der AFP dauerte der gesamte Angriffsprozess etwa vier Stunden.

Was das Sicherheitsteam von Binance in diesem Zeitfenster unternommen hat, wie es die Lücken schloss und wann es welche Verbindung unterbrach – öffentliche chinesische Berichte haben keine Details auf operativer Ebene offengelegt.

Aber rückblickend ist die Länge von vier Stunden selbst ein Signal: Die Angreifer haben keine falschen Schlüssel verwendet. Jede Zugangskontrolle hat echte Anmeldeinformationen gelesen, jede Signaturanfrage trug eine gültige Identität.

Aus dem vorläufigen Bericht von Binance geht hervor, dass der Gesamtwert der betroffenen digitalen Vermögenswerte etwa 6,34 Milliarden US-Dollar beträgt.

Die Referenznachricht zitiert einen Bericht der AFP: Davon sind etwa 2,85 Milliarden US-Dollar bereits eingefroren. Binance gibt an, dass es alle durch diesen Angriff verursachten Verluste mit eigenen Mitteln und dem SAFU-Fonds (User Protection Reserve Fund) abdecken wird.

Kurz nach dem Angriff kündigte Binance mehrere Abhilfemaßnahmen an: den Wiederaufbau des betroffenen Wallet-Systems in einer neuen Umgebung, den Wiederaufbau der betroffenen internen KI-Tools und Zugriffskontrollsysteme, die Verstärkung der Risikokontrolle für Wallet-Dienste, die Bereitstellung einer erweiterten KI-gestützten Anomalieerkennung von Verhaltensweisen und die Beauftragung von externen Cybersicherheitsexperten mit einer umfassenden Untersuchung des Vorfalls.

---

Die Wahrheit könnte noch lange ungeklärt bleiben. Aber ein Hinweis ist erkennbar, ohne die Ursachenforschung abzuwarten: Jeder Schritt dieses Interviews traf an die weichste Stelle der Sicherheitskette.

Die Einstellungsplattform war legitim. Die Interviewformulierungen waren professionell. Diese „Hausaufgabe“ war in einer harmlos erscheinenden Datei versteckt und löste keinen Alarm aus.

Der bösartige Code hat keine Tür aufgebrochen – er ließ einen eigenen internen Mitarbeiter auf dem Gerät, an dem er täglich arbeitet, ein Fenster öffnen, das er für eine Chance hielt.

Dieser Artikel stammt aus dem WeChat-Offiziellen Konto „Zhang Dongwei“, Autor: Zhang Dongwei, veröffentlicht mit Genehmigung von 36Kr.