Das teuerste Bewerbungsgespräch der Geschichte: 6,3 Milliarden Dollar weg

Ein falscher Personaler, ein falscher Chef, eine harmlose Programmieraufgabe – und Binance verliert 6,34 Milliarden Dollar. Die Zahlen zum teuersten Bewerbungsgespräch der Geschichte.

Bewerbungsgespräche kosten Unternehmen Zeit, Nerven und manchmal eine Fehlbesetzung. Dieses hier kostete 6,34 Milliarden Dollar. Und es fand nicht einmal statt, denn der Arbeitgeber, mit dem der Kandidat sprach, existierte nicht. Ein Entwickler von Binance ließ sich im September auf ein Jobangebot ein, das ihn über eine reguläre Jobplattform erreichte. Zwei Videogespräche später lag Schadcode auf seinem Dienstrechner. Wenige Wochen danach waren die Hot Wallets der Kryptobörse leergeräumt.

Das Gespräch, das keines war

Der Ablauf liest sich wie ein Recruiting-Lehrbuch mit umgekehrtem Vorzeichen. Laut Binance, wie CoinDesk berichtet, meldete sich jemand als Projektdirektor bei dem Entwickler. Ein vermeintlicher HR-Vertreter führte das erste Videogespräch, ein angeblicher CEO das zweite. Dessen Abschlussauftrag: die Programmieraufgabe auf den Arbeitsrechner laden. Darin steckte nach Binance-Angaben eine Zero-Day-Malware, die der Endpoint-Schutz nicht erkannte.

Der Trick ist nicht technisch, sondern menschlich. Wer sich bewirbt, will überzeugen. Wer eine Aufgabe bekommt, erledigt sie. Und niemand fragt beim Coding-Test nach dem Sicherheitskonzept des Gegenübers.

Der Warnschuss, der verhallte

Das Fake-Interview war der zweite Baustein. Schon im Juni hatte ein anderer Entwickler auf der Suche nach einem KI-Werkzeug ein manipuliertes Homebrew-Paket installiert. Binance bemerkte das, tauschte das Gerät aus und setzte Zugangsdaten zurück. Es reichte nicht: Der Entwickler und seine Kolleg:innen aus dem Wallet-Team blieben nach Binance-Angaben exponiert.

Am 20. Oktober nutzten die Angreifer den kompromittierten Rechner und ein internes KI-Tool, um sich zu den Rechnern zweier Wallet-Entwickler vorzuarbeiten. Am 29. Oktober setzten sie mit gestohlenen Zugangsdaten einen Container auf und starteten ein Skript. Co-CEO Richard Teng spricht von einer Kampagne, die über viele Monate aufgebaut wurde.

Nordkorea? Die Beweislage und das Dementi

Das FBI macht die nordkoreanische Gruppe TraderTraitor verantwortlich. TRM Labs ordnet den Angriff mit hoher Sicherheit derselben Gruppe zu. Pjöngjang weist laut Berichten jede Beteiligung zurück. Die Zuschreibung stützt sich auf Ermittlerangaben und on-chain-Muster, nicht auf ein Gerichtsurteil. Für die Frage, wie der Angriff ablief, ändert das nichts.

Was vom Jackpot übrig bleibt

Für die Täter wird der Coup kleiner als die Schlagzeile. Binance meldet in seinem Update vom 3. November rund 2,85 Milliarden Dollar eingefroren oder abgefangen. Rechnerisch bleiben von 6,34 Milliarden Dollar damit etwa 3,5 Milliarden in Bewegung. Allein Tether meldet nach ZDFheute knapp 1,57 Milliarden Dollar eingefroren.

Binance will den Schaden selbst tragen und hat nach eigenen Angaben bis zum 31. Oktober 98 Prozent der betroffenen Token aus eigenen Mitteln ersetzt. Die Börse sagt zudem, dieses Jahr bereits 57 mutmaßlich nordkoreanische Angriffsversuche abgewehrt zu haben. Der 58. saß bei einem Vorstellungsgespräch.

Auf einen Blick

• Binance beziffert den Schaden des Angriffs vom 29. Oktober auf rund 6,34 Milliarden Dollar, von denen nach dem Update vom 3. November etwa 2,85 Milliarden Dollar eingefroren oder abgefangen wurden.
• Auftakt war ein gefälschtes Bewerbungsgespräch im September, bei dem ein Binance-Entwickler eine Programmieraufgabe mit Schadcode auf seinen Arbeitsrechner lud; schon im Juni war ein manipuliertes Homebrew-Paket auf dem Rechner eines anderen Entwicklers gelandet.
• Die Angreifer verschoben binnen rund vier Minuten 233,46 Millionen XRP aus fünf Hot Wallets und nutzten auf Ethereum den Mechanismus EIP-7702, ohne nach Binance-Angaben einen privaten Schlüssel offenzulegen.
• Das FBI schreibt den Angriff der Gruppe TraderTraitor zu und Nordkorea weist die Verantwortung laut Berichten zurück, während Binance nach eigenen Angaben 98 Prozent der betroffenen Token aus eigenen Mitteln ersetzt hat.

Quellen: CoinDesk, Security Affairs, Cybersecurity News, Cointelegraph, ZDFheute, KI-unterstützt