Die Angreifer hinter dem Binance-Hack hatten offenbar deutlich länger Zugriff als bislang bekannt. Nach Schätzung der gemeinnützigen Sicherheitsorganisation Security Alliance (SEAL) verschaffte sich die mit Nordkorea verbundene Gruppe TraderTraitor bereits im September Zugang zu den Systemen der Börse. Zwischen dem Eindringen und dem eigentlichen Diebstahl am 29. Oktober lagen damit rund acht Wochen.
Nach dem ersten Einbruch könnten sich Angreifer über lange Zeiträume mit hoher Tarnung in fremden Systemen bewegen, schreibt SEAL.
Dasselbe Muster bei drei weiteren Fällen
Auch bei dem Angriff auf Bitget mit einem Schaden von 388 Millionen US-Dollar, dort hatten die Täter demnach rund sechs Wochen Zugriff. Bei LayerZero waren es ebenfalls sechs Wochen, bevor eine Schwachstelle zum Diebstahl von 293 Millionen US-Dollar bei Kelp DAO führte. Beim AFX-Vorfall über 24 Millionen US-Dollar lagen drei Wochen dazwischen. Unterschiedlich war nur der Einstiegspunkt, denn bei LayerZero diente ein manipulierter Programmiertest als Köder, bei AFX ein eigens angelegtes Software-Verzeichnis, bei Bitget eine bislang unbekannte Lücke in einem Sicherheitsprodukt.
Laut Binance begann der Angriff schon im Juni: Ein Wallet-Entwickler lud manipulierte KI-Software herunter, woraufhin sich die Hacker über gefälschte Bewerbungsgespräche und interne Systeme bis zur Freigabe von Wallet-Transaktionen vorarbeiteten. Nach Angaben der Börse sind inzwischen 98 Prozent der betroffenen Bestände ersetzt, rund 2,85 Milliarden US-Dollar konnten eingefroren oder abgefangen werden. Das FBI schreibt den Angriff ebenfalls TraderTraitor zu, aber Nordkorea weist die Vorwürfe zurück.
