senn-techBinance-Angriff über ein falsches Vorstellungsgespräch: Was Code-Challenges für Firmen bedeuten
Binance hat am 3. November 2026 in einem Vorfallbericht beschrieben, wie der Diebstahl von rund 6,3 Milliarden US-Dollar am 29. Oktober vorbereitet wurde. Ein Entwickler, der eine neue Stelle suchte, wurde im September über eine Jobplattform von einem angeblichen Project Director angesprochen und lud im zweiten Gespräch eine „Aufgabe“ herunter. Reuters und The Register geben den Bericht wieder. Dieser Beitrag trennt, was die Quellen belegen, was sie nur behaupten und was daraus für kleinere Firmen folgt.
Recruiting-Phishing mit Code-Challenge ist ein Angriff, bei dem Täter einen Arbeitgeber erfinden, ein Bewerbungsverfahren mit mehreren Gesprächen inszenieren und die Zielperson bitten, eine Programmieraufgabe herunterzuladen und lokal einzurichten. In der Aufgabe steckt Schadcode, der beim Einrichten oder Starten läuft. Er kommt als Repository und nicht als Mailanhang, und das Opfer startet ihn selbst. Über den Schaden entscheidet der Rechner, auf dem das geschieht.
Was berichtet wird
Binance spricht laut The Register von einer ausgeklügelten, mehrstufigen Kampagne. Den Bericht selbst konnten wir nicht abrufen, die Darstellung folgt Reuters und The Register, die ihn zitieren.
| Zeitpunkt (2026) | Berichteter Vorgang | Quelle |
|---|---|---|
| Juni | Ein Mitarbeiter des Wallet-Teams installiert eine manipulierte Entwickler-Software (Reuters: KI-Tool; The Register: Homebrew-Installation). Binance entdeckt das, tauscht das Gerät und die Zugangsdaten. Die Rolle des Mitarbeiters und die seiner Kollegen war dem Angreifer bekannt. | Reuters, The Register |
| September | Ein weiterer Entwickler wird über eine „legitime Jobplattform“ von einem angeblichen Project Director kontaktiert. | The Register (nach Binance-Bericht) |
| September, erstes Gespräch | Videointerview mit einer falschen HR-Person, die ein Social-Media-Konto mit privaten Fotos und Videos zeigt, um Vertrauen aufzubauen. | The Register (nach Binance-Bericht) |
| September, zweites Gespräch | Ein angeblicher CEO der erfundenen Firma gibt über eine Chat-App eine „Aufgabe“ zum Download aus. Der Code läuft beim Einrichten auf dem Arbeitsrechner. | The Register (nach Binance-Bericht), Reuters |
| Nach dem Download | Die Schadsoftware ersetzt eine Komponente des Entwicklerwerkzeugs pyenv und meldet sich bei einem Server des Angreifers. Der Endpoint-Schutz schlägt nicht sofort an. | The Register (nach Binance-Bericht) |
| 20. Oktober | Der Angreifer übernimmt mit diesem Rechner und einem internen KI-Werkzeug zwei weitere Rechner des Wallet-Teams. Auf einem liegt ein Token für Container-Deployments. | Reuters, The Register |
| 29. Oktober | Mit diesem Token und dem Rechner des zweiten Entwicklers startet der Angreifer einen Container und ein Skript, das den Abfluss auslöst. | Reuters, The Register |
| 31. Oktober | Das FBI nennt TraderTraitor, eine nordkoreanische Gruppe. | FBI-Alert |
Alle Angaben stammen aus den genannten Berichten, wir haben nichts nachgestellt. Zwischen dem Download im September und dem 20. Oktober lagen einige Wochen, das genaue Infektionsdatum steht in den gelesenen Quellen nicht. Der Name der Schadsoftware-Familie auch nicht.
Wer was behauptet
Als berichtet gelten die Abläufe aus dem Binance-Bericht, soweit Reuters und The Register sie übereinstimmend wiedergeben: falsche Firma, zwei Gespräche, Download einer Aufgabe, Übernahme weiterer Rechner, Abfluss am 29. Oktober. Eine Abweichung gibt es bei der Hardware. The Register schreibt von einem „work-issued computer“, Reuters sagt nur „his computer“.
Die Zuordnung zu Nordkorea behauptet das FBI. Der Alert nennt Wallet-Adressen zum Sperren und keine Belege für die Zuordnung. TRM Labs und Elliptic hatten Nordkorea laut The Register schon vorher verknüpft, Nordkorea weist die Vorwürfe laut Reuters zurück. Auch die Schadenssumme ist nicht einheitlich: Reuters nennt 6,3 Milliarden, TRM Labs 6,36 und Elliptic 6,43 Milliarden Dollar. Dass die Schadsoftware zuvor unbekannt war, ist eine Aussage von Binance, die wir nicht prüfen konnten.
Abgeleitet ist nur dies: Der Schaden entstand, weil ein Rechner mit Zugang zum Wallet-Team ein Bewerbungsverfahren ausführte. Dass es ein Firmengerät war, schreibt allein The Register.
Warum das auch Betriebe außerhalb der Krypto-Branche trifft
Das Muster ist älter als Binance. Behörden aus Australien, Deutschland, Japan und den USA beschreiben es unter dem Namen WaterPlum. Laut ihrer Warnung vom 17. September 2026, die The Register wiedergibt, wurden damit mehr als 30.000 Geräte infiziert und mehr als 7.000 Krypto-Wallets kompromittiert. Ihre Zuordnung: mindestens 10,71 Millionen Dollar. Angesprochen werden Webdesigner, Entwickler und Web3-Fachleute, die Opfer sollen angebliche Programmieraufgaben herunterladen. Die Agenturen warnen außerdem, dass ein so infizierter Rechner später in ein Firmennetz führen kann, wenn die Person eine neue Stelle antritt.
Das betrifft jede Firma mit Entwicklern oder Administratoren, die Tokens, Schlüssel oder Konsolenzugänge auf dem Laptop haben. Bei Binance reichte ein Token auf einem Rechner und ein Zugang auf dem zweiten.
Was Firmen festlegen können
Die folgenden Punkte sind unsere Empfehlung aus dem Ablauf, keine Angaben aus den Berichten und keine Beschreibung unserer eigenen Praxis.
- Code aus Bewerbungsverfahren läuft nie auf Firmengeräten. Wer sich extern bewirbt, tut das privat.
- Wer eine Challenge ausprobieren muss, nutzt eine Wegwerf-VM aus einem frischen Snapshot: ohne geteilte Ordner, ohne Zwischenablage zum Host, ohne SSH-Schlüssel, Browserprofile und Tokens, nach dem Test verworfen. Für Rechner mit Zugriff auf Geld oder Produktion ist ein eigenes Gerät sicherer, denn eine VM ist keine absolute Grenze.
- Der Schadcode meldete sich bei einem Server des Angreifers. Entwickler- und Admin-Rechner sollten ausgehend nur erreichen, was sie brauchen. Die Challenge-VM bekommt ein eigenes Netz ohne Weg ins Firmennetz und lässt nach außen nur die Paketquellen zu.
- Tokens für Deployments gehören nicht dauerhaft auf Laptops. Kurze Laufzeit, Ablage in einem Secret-Store und eine zweite Freigabe für Schritte, die Geld oder Produktion bewegen.
- HR und IT vereinbaren eine Meldeadresse. Wer wegen eines Jobangebots ein Programm ausführen soll, meldet das, statt es zu probieren, und bekommt dafür keinen Vorwurf. Sonst erfährt niemand von privaten Bewerbungen, bis es zu spät ist. Wie sich das im Alltag verankern lässt, steht in Security Awareness im KMU.
Weitere Beiträge zu Lieferkette und Absicherung sammelt der Hub Security und Datenschutz. Als ersten Schritt genügt eine Zeile in der IT-Richtlinie: Code aus Bewerbungsverfahren läuft nie auf Firmengeräten. Ob Ihre Egress-Regeln und Token-Einstellungen dazu passen, lässt sich in einem Review prüfen, das Angebot steht unter Leistungen.
Weiterführende Quellen
- Reuters über NBC News, Binance-Bericht: nbcnews.com
- The Register, Ablauf nach dem Vorfallbericht: theregister.com
- The Register, FBI-Zuordnung und Summen: theregister.com
- FBI-Alert vom 31. Oktober 2026: fbi.gov
- The Register zur WaterPlum-Warnung: theregister.com
Wie kam die Schadsoftware bei Binance auf den Rechner?+
Nach dem Vorfallbericht von Binance, wie ihn The Register wiedergibt, sollte ein Entwickler im zweiten Gespräch mit einem angeblichen CEO eine Aufgabe herunterladen. Im Code-Repository steckte Schadcode, der beim Einrichten lief. Den Bericht selbst konnten wir nicht abrufen.
Wer steckt hinter dem Angriff?+
Das FBI schreibt den Diebstahl vom 29. Oktober 2026 der nordkoreanischen Gruppe TraderTraitor zu. Nordkorea weist das laut Reuters zurück. Die Zuordnung ist eine Behauptung einer Behörde, der FBI-Alert nennt dafür keine Belege.
Reicht eine virtuelle Maschine für Code-Challenges von Bewerbungen?+
Sie senkt das Risiko, wenn sie frisch ist, keine Zugangsdaten und keine geteilten Ordner hat und nur eingeschränkt ins Netz darf. Eine VM ist keine absolute Grenze. Für Rechner mit Zugriff auf Geld oder Produktion ist ein eigenes Gerät sicherer.