IT-Sicherheit

Binance-Hack: Ein DevOps-Laptop, 6,3 Mrd. US-Dollar — und was Red Teaming dagegen tut

Manuel Gruschka•30. Oktober 2026•10 Min. Lesezeit

Live-Updates

30.10.2026: Erstveröffentlichung. Grundlage sind die erste Einschätzung von Binance, On-Chain-Analysen und Medienberichte. Binance hat einen ausführlichen technischen Bericht angekündigt; wir aktualisieren den Artikel, sobald er da ist.

Die Kurzantwort · Stand 30. Oktober 2026

Kein geknackter Schlüssel, kein Zero-Day: Nach erster Einschätzung von Binance reichte ein Laptop.

Was passiert ist: Am 29. Oktober flossen Milliarden aus den Hot Wallets von Binance ab. Binance schätzt den Schaden auf rund 6,3 Mrd. US-Dollar, rund 3 Mrd. sind eingefroren. Kunden sollen nichts verlieren.
Die These: Der Laptop eines DevOps-Engineers war kompromittiert. Darüber kam der Angreifer an einen internen Dienst, der Auszahlungen einreichen darf. Wallet-Schlüssel sind nach Binance-Angaben nicht abgeflossen.
Das Muster ist alt: LastPass 2022 und Bybit 2025 begannen ebenfalls beim Rechner eines Engineers. Der Einstieg ist selten das Problem. Das Problem ist, wie weit ein einziges Gerät reicht.
Was Red Teaming tut: Es geht genau diesen Weg in einer kontrollierten Übung, vom Gerät bis zur kritischen Aktion, und zeigt, welche Kontrolle fehlt und ob jemand es bemerkt.

StarterWie weit kommt ein Angreifer bei Ihnen, von außen und mit einem gestohlenen Zugang? Red-Teaming-Starter ab €2.500, in 5–7 Tagen.

Zum Starter →

Was bisher bekannt ist

Der Vorfall ist keine 24 Stunden alt. Wir trennen deshalb streng zwischen dem, was Binance selbst bestätigt, was Analysefirmen aus der Blockchain lesen, und was noch Vermutung ist. Binance schreibt in seiner ersten Stellungnahme:

„Binance's initial investigation suggests that the security incident may involve a compromised DevOps engineer's laptop, which allowed an attacker to gain access to a service container and submit unauthorized withdrawal transactions.“
Auf Deutsch: Die erste Untersuchung deutet darauf hin, dass der Laptop eines DevOps-Engineers kompromittiert war. Darüber erhielt ein Angreifer Zugriff auf einen Service-Container und reichte unautorisierte Auszahlungen ein. Hinweise auf geleakte private Schlüssel der Wallets gebe es keine.

Stand 30. Oktober 2026

Was in der Nacht passiert ist

29.10., 21:21 Uhr MEZOn-Chain-Analyse
Eine Transaktion mit 50 EIP-7702-Autorisierungen zielt auf die Hot Wallet „Binance 14“. Danach fließen Milliarden ab (Analyse von Blockaid).
gegen 1:00 Uhr MEZBinance bestätigt
Binance stoppt Ein- und Auszahlungen für die Sicherheitsprüfung.
30.10.Binance bestätigt
Erste Einschätzung von Binance: Der Laptop eines DevOps-Engineers war kompromittiert, darüber kam der Angreifer an einen Service-Container und reichte Auszahlungen ein. Keine Hinweise auf geleakte Wallet-Schlüssel.
30.10.Binance bestätigt
Schaden laut Binance rund 6,3 Mrd. US-Dollar, rund 3 Mrd. davon eingefroren. Binance ersetzt die Verluste aus dem SAFU-Fonds und eigenen Mitteln.
30.10.nicht bestätigt
TRM Labs sieht mit „hoher Sicherheit“ die nordkoreanische Gruppe TraderTraitor (Lazarus) dahinter. Offiziell bestätigt ist das nicht.

Uhrzeiten in MEZ (UTC+1). Binance hat einen ausführlichen technischen Bericht angekündigt; bis dahin ist die Laptop-These eine vorläufige Einschätzung.

Was noch offen ist

Wie der Laptop kompromittiert wurde: Phishing, ein präpariertes Paket, eine gefälschte Bewerbung oder etwas anderes
Welche Zugänge auf dem Gerät lagen und warum sie bis zu einem Dienst reichten, der Auszahlungen einreichen darf
Warum Auszahlungen in dieser Höhe keine zweite, unabhängige Freigabe brauchten oder sie bekamen
Wie die EIP-7702-Delegation der Hot Wallet signiert wurde, wenn kein Schlüssel abgeflossen ist
Der endgültige Schaden und wer dahintersteckt: Die Zuordnung zu Lazarus stammt von Analysefirmen, nicht von Behörden

Die These: ein Laptop als Generalschlüssel

Bemerkenswert ist nicht, dass ein Laptop kompromittiert wurde. Das passiert in jedem großen Unternehmen regelmäßig. Bemerkenswert ist, dass er offenbar gereicht hat. Zwischen dem Gerät eines einzelnen Engineers und Auszahlungen in Milliardenhöhe lag, nach allem, was bisher bekannt ist, keine Kontrolle, die den Angreifer aufgehalten hat.

Die These

Vier Schritte vom Laptop zur Auszahlung

offen
Der Engineer
Wie der Laptop kompromittiert wurde, hat Binance nicht gesagt.
Annahme
Sein Laptop
Darauf lagen offenbar Zugänge, die bis in die Produktion reichten.
laut Binance
Service-Container
Ein interner Dienst, der Auszahlungen einreichen darf.
laut Binance
Auszahlungen
Unautorisierte Transaktionen, rund 6,3 Mrd. US-Dollar.

Kein Schlüssel musste das Haus verlassen: Der Angreifer brauchte nur einen Dienst, der Schlüssel benutzen darf.

Ein Detail passt dazu. Laut der Analyse von Blockaid begann der Abfluss mit einer Transaktion, die die Hot Wallet per EIP-7702 an fremden Code delegierte. Eine solche Delegation muss mit dem Schlüssel der Wallet signiert sein. Wenn gleichzeitig kein Schlüssel abgeflossen ist, wie Binance sagt, liegt eine Erklärung nahe: Der Angreifer brauchte den Schlüssel nicht. Er brauchte nur ein System, das ihn benutzen darf. Die Analysefirma TRM Labs kommt zu einem ähnlichen Schluss und vermutet, dass die Signier-Infrastruktur der Hot Wallets selbst kompromittiert war.

Das ist eine Lesart, kein Befund. Ob sie stimmt, zeigt erst der technische Bericht von Binance. Für Ihr Unternehmen ist die Lehre aber dieselbe, egal wie die Details ausfallen: Die stärkste Verschlüsselung hilft nicht, wenn ein interner Dienst sie auf Zuruf benutzt.

Was auf einem DevOps-Laptop liegt

DevOps-Engineers betreiben die Infrastruktur, auf der alles andere läuft. Damit sie arbeiten können, liegen auf ihrem Gerät Zugänge, die anderswo hinter mehreren Türen stehen. Ein Angreifer, der das Gerät kontrolliert, muss kein Passwort knacken. Er benutzt, was schon da ist.

Ein typischer DevOps-Laptop

Was ein Angreifer mitnimmt, ohne ein Passwort zu knacken

devops@laptop:~$ ls -a

~/.kube/configZugang zu Kubernetes-Clustern, oft mit Admin-RechtenProduktion
~/.aws/credentialsSchlüssel für Cloud-KontenProduktion
~/.ssh/id_ed25519Anmeldung an Servern und Bastion-HostsProduktion
Browser-SitzungenAngemeldet bei Cloud-Konsole, SSO und Git, oft ohne neue AbfrageProduktion
.env, secrets.yamlDatenbank-Passwörter und API-Schlüssel aus ProjektenProduktion
~/.docker/config.jsonSchreibzugriff auf die Container-RegistryBuild
CI-Token, gh authPipelines starten, Code ändern, Releases auslösenCode

Beispielhafte Auflistung, nicht die Ausstattung bei Binance. Ein Angreifer mit Zugriff auf das Gerät sieht dieselben Dateien und Sitzungen wie der Engineer.

Kein Einzelfall: das Muster seit Jahren

Kein Einzelfall

Dreimal derselbe Weg: über den Rechner eines Engineers

2022
LastPass
1. 1Heimrechner eines DevOps-Engineers
2. 2Keylogger über verwundbare Medien-Software, Master-Passwort mitgeschnitten
3. 3Firmen-Tresor und Cloud-Backups mit Kundendaten
Verschlüsselte Tresore von Kunden kopiert
2025
Bybit
1. 1Rechner eines Entwicklers beim Wallet-Anbieter Safe{Wallet}
2. 2Manipulierter Code in der Wallet-Oberfläche
3. 3Unterzeichner geben eine bösartige Transaktion frei
Rund 1,5 Mrd. US-Dollar, laut FBI TraderTraitor
2026
Binance
1. 1Laptop eines DevOps-Engineers
2. 2Service-Container
3. 3Unautorisierte Auszahlungen
Rund 6,3 Mrd. US-Dollar (Schätzung Binance)

Kein Angriff auf eine Kryptografie, kein Zero-Day im Kernsystem: Jedes Mal war der Einstieg ein Mensch mit weitreichenden Rechten und sein Gerät.

Gruppen wie Lazarus haben sich auf genau diesen Einstieg spezialisiert. Öffentlich dokumentiert sind gefälschte Bewerbungsgespräche, in denen Entwickler eine „Programmieraufgabe“ ausführen sollen, die Schadsoftware nachlädt, präparierte Pakete in öffentlichen Registries und gefälschte Updates für Entwicklerwerkzeuge. Wie schnell ein einziges kompromittiertes Paket auf tausende Entwicklerrechner kommt, haben wir beim Supply-Chain-Angriff auf Axios beschrieben.

Ob der Binance-Laptop auf einem dieser Wege kompromittiert wurde, ist offen. Für die Abwehr spielt es eine kleinere Rolle, als es scheint: Irgendein Gerät wird irgendwann kompromittiert. Entscheidend ist, was danach passiert.

Was das für Unternehmen ohne Krypto-Börse heißt

Sie haben keine Milliarden in einer Hot Wallet. Aber Sie haben fast sicher dieselbe Konstellation: wenige Menschen mit sehr weitreichenden Rechten und Geräte, auf denen diese Rechte liegen.

Ihr „Service-Container“

Bei Binance war es der Dienst, der Auszahlungen einreicht. Bei Ihnen ist es der Zahlungslauf im ERP, der Export der Kundendatenbank, die Deploy-Pipeline oder das Admin-Konto des Online-Shops.

Ihr DevOps-Laptop

Der Rechner der Person, die Server, Cloud und Pipelines betreut. Im Mittelstand ist das oft ein einzelner Admin oder ein externer Dienstleister, mit mehr Rechten als irgendwer sonst im Haus.

Ihre Nacht

Der Angriff auf Binance begann gegen 21 Uhr unserer Zeit. Die Frage für Sie ist nicht nur, ob ein Alarm kommt, sondern ob ihn jemand vor dem nächsten Morgen sieht.

Wie Red Teaming genau diesen Weg prüft

Ein Penetrationstest fragt: Welche Schwachstellen hat dieses System? Red Teaming fragt: Kommt ein Angreifer an ein bestimmtes Ziel, und merkt es jemand? Beim Binance-Szenario ist das Ziel klar definiert: die eine Aktion, die ein Angreifer auf keinen Fall auslösen können darf. Den Unterschied beider Ansätze erklärt unser Artikel Red Teaming vs. Penetrationstest.

Für das Laptop-Szenario gibt es eine eigene Form: Assumed Breach. Die Übung beginnt nicht mit dem Einbruch, sondern danach. Wir nehmen an, ein Entwickler-Laptop ist kompromittiert, und gehen den Weg Schritt für Schritt. Am Ende wissen Sie nicht nur, ob der Weg offen ist, sondern an welcher Stelle eine Kontrolle fehlt. Ob und wie schnell Ihre Erkennung anschlägt, prüft ein längerer Red-Team-Einsatz mit eigenem Detection-Test.

Assumed Breach: das Laptop-Szenario

Red Teaming geht den Weg, bevor es ein Angreifer tut

Startpunkt: Wir nehmen an, ein Entwickler-Laptop ist kompromittiert.

PrüffrageBeispielbefund

01ErntenWas lässt sich vom Gerät mitnehmen?Kubeconfig mit Cluster-Admin-Rechten, seit elf Monaten gültig
02WeiterkommenErreicht man damit die Produktion?Ja, per VPN direkt auf die API des Clusters, ohne zweiten Faktor
03AuslösenKann ein Dienst die kritische Aktion allein auslösen?Der Zahlungsdienst gibt Überweisungen ohne Betragsgrenze und ohne zweite Freigabe frei
04BemerkenMerkt es jemand, und wann?Alarm nach 3 Stunden 40 Minuten, Reaktion erst am nächsten Morgen

Befunde erfunden, zur Veranschaulichung. Im Red-Teaming-Starter beginnt der interne Teil mit genau so einem Startpunkt, etwa einem normalen Benutzerkonto oder VPN-Zugang; Rechteausweitung und Lateral Movement vertieft der Starter Plus.

Fünf Fragen für Ihr nächstes Teammeeting

Sie brauchen dafür keinen Dienstleister. Stellen Sie diese Fragen der Person, die bei Ihnen Server, Cloud und Pipelines betreut, und notieren Sie, wo die Antwort „weiß ich nicht“ lautet.

1
Welche dauerhaften Produktionszugänge liegen auf Entwickler-Laptops?
Kubeconfigs, Cloud-Schlüssel und SSH-Keys ohne Ablaufdatum sind die Beute, die ein Angreifer zuerst sucht. Ziel: kurzlebige Zugänge, die bei Bedarf ausgestellt werden, und Schlüssel, die an Hardware gebunden sind (FIDO2, Secure Enclave), statt Dateien im Home-Verzeichnis.
2
Kann ein einzelner Dienst oder eine einzelne Person die kritischste Aktion allein auslösen?
Zahlungen, Datenexporte, Deployments in die Produktion: Gibt es Betragsgrenzen, eine zweite Freigabe durch eine andere Person oder einen Bestätigungsweg außerhalb des Systems? Das ist die Kontrolle, die einen kompromittierten Laptop von einem 6-Milliarden-Schaden trennt.
3
Ist die Produktion vom Arbeitsgerät getrennt?
Zugriff auf Cluster und Cloud-Konten nur über gehärtete Admin-Wege, mit Geräteprüfung und erneuter Anmeldung, nicht direkt aus dem VPN des Laptops, mit dem auch E-Mails gelesen und Pakete installiert werden.
4
Würden Sie es merken, und wer reagiert nachts?
Ungewöhnliche Zugriffe auf Cluster, neue Tokens, Massenaktionen außerhalb der Arbeitszeit: Gibt es dafür Alarme, und ist geklärt, wer sie nachts und am Wochenende sieht und was er tun darf?
5
Wissen Ihre Entwickler, dass sie das Ziel sind?
Gefälschte Bewerbungsgespräche mit Programmieraufgaben, präparierte Pakete, falsche Updates: Angriffe auf Entwickler sind seit Jahren dokumentiert. Testaufgaben gehören in eine Wegwerf-Umgebung, nicht auf das Gerät mit den Produktionszugängen.

Der Red-Teaming-Starter: das Laptop-Szenario in 5–7 Tagen

Genau diesen Weg spielt der Red-Teaming-Starter durch, von außen und von innen. Von außen prüfen wir, was ein Angreifer findet und wo er hineinkommt: geleakte Zugangsdaten, offene Dienste, Anmeldungen, APIs. Für den internen Teil arbeiten wir Grey-Box: Sie geben uns einen Startpunkt, etwa ein normales Benutzerkonto oder einen VPN-Zugang. Das ist der Punkt, an dem ein Angreifer nach einem kompromittierten Laptop stünde, und es spart Tage reiner Aufklärung.

Wir fragen nicht, wie viele Schwachstellen es gibt, sondern wie weit jemand kommt, der wirklich hinein will. Ein Scanner findet bekannte Lücken; einen Angriffspfad aus mehreren kleinen Schwächen findet er nicht.

Red-Teaming-Starter

Vier Phasen, von außen nach innen

01 · Tag 1–2Aufklärung
Was sieht ein Angreifer von außen? OSINT, Angriffsfläche, geleakte Zugangsdaten, offene Dienste, Schatten-IT.
Im Binance-SzenarioWen greift man an, und was liegt schon offen?
02 · Tag 3–4Angriff und Anmeldung
Angriffe auf Anmeldungen, etwa Credential Spraying, Umgehung von API- und Berechtigungsprüfungen, Schwächen am Perimeter.
Im Binance-SzenarioDer Einstieg: Konto, Zugang, Laptop
03 · Tag 5Zugriff und Wirkung
Wie tief reicht der Zugriff? Rechteausweitung und Lateral Movement, nachgewiesen, ohne echte Daten anzufassen.
Im Binance-SzenarioVom Gerät bis zum Service-Container
04 · Tag 6–7Bericht
Angriffspfade, priorisierte Funde, konkrete Maßnahmen und eine Management Summary für die Geschäftsführung.
Im Binance-SzenarioWelche Kontrolle fehlt, und wie Sie sie schließen

Ablauf über rund 7 Tage (Starter Plus); im Starter fällt der interne Teil kompakter aus. Vorgehen nach PTES, NIST SP 800-115 und MITRE ATT&CK. Kritische Funde melden wir sofort, nicht erst im Bericht.

Wir arbeiten produktionssicher: Wir fassen keine echten Kundendaten an und lösen keine absichtlichen Ausfälle aus. Statt einen Zugriff auszunutzen, weisen wir nach, dass er möglich wäre. Vor dem Start stehen eine schriftliche Freigabe, ein klar abgegrenzter Umfang und eine Notbremse mit festen Ansprechpartnern auf beiden Seiten.

Zwei Pakete

Starter und Starter Plus

Starter

ab €2.500rund 5 Tage

Wie weit kommt ein Angreifer von außen, und was fängt er mit einem normalen Zugang an?

Aufklärung und Angriffe von außen
Angriffe auf Anmeldung, APIs und Berechtigungen
Leichter interner Teil ab Ihrem Grey-Box-Startpunkt
Kompakter Nachweis, wie tief der Zugriff reicht
Technischer Bericht, Management Summary, Abschlussbesprechung online

Empfehlung für das Laptop-Szenario

Starter Plus

ab €3.500rund 7 Tage

Kommt ein Angreifer vom ersten Zugang bis zu Ihren Kronjuwelen?

Alles aus dem Starter
Tiefer interner Teil: Rechteausweitung und Lateral Movement
Angriffspfad-Karte von außen nach innen
Ein kostenloser Retest der kritischen Funde
Ergebnisbesprechung live mit der Geschäftsführung

Preise netto. Den Festpreis nennen wir nach einem kurzen Online-Scoping; er hängt vom Umfang ab (Domains, Systeme, API-Endpunkte).

Hinter dem Starter steht unser Security-Team aus vier Expertinnen und Experten in Deutschland und Vietnam. Der deutsche Security-Lead prüft jeden Bericht und gibt ihn frei. Wenn Sie erst wissen wollen, was von außen überhaupt sichtbar ist, lesen Sie unseren Artikel zum Angriffsflächen-Monitoring; wenn Sie einzelne Anwendungen gründlich prüfen lassen wollen, ist der Penetrationstest der richtige Weg. Zum Starter-Angebot

Häufige Fragen zum Binance-Hack

Was ist beim Binance-Hack passiert?

Am Abend des 29. Oktober 2026 flossen Milliarden aus Hot Wallets von Binance ab. Binance stoppte Ein- und Auszahlungen, schätzt die Auswirkungen auf rund 6,3 Mrd. US-Dollar und meldet rund 3 Mrd. davon als eingefroren. Binance will die Verluste aus dem SAFU-Fonds und eigenen Mitteln ersetzen.

Wie ist der Angreifer bei Binance hineingekommen?

Nach der ersten Einschätzung von Binance über den kompromittierten Laptop eines DevOps-Engineers. Darüber erhielt der Angreifer Zugriff auf einen Service-Container und reichte von dort unautorisierte Auszahlungen ein. Wie der Laptop kompromittiert wurde, ist noch nicht bekannt; Binance hat einen technischen Bericht angekündigt.

Wurden private Schlüssel von Binance gestohlen?

Binance gibt an, keine Hinweise auf geleakte private Schlüssel der Wallets gefunden zu haben. Das spricht dafür, dass der Angreifer keinen Schlüssel brauchte, sondern einen internen Dienst nutzte, der Transaktionen einreichen und signieren lassen darf.

Was ist ein Assumed-Breach-Test?

Ein Red-Teaming-Szenario, das nicht beim Einbruch beginnt, sondern danach: Man nimmt an, ein Gerät oder Konto ist bereits kompromittiert, etwa ein Entwickler-Laptop, und prüft, wie weit ein Angreifer von dort kommt, welche Kontrollen ihn aufhalten und ob jemand es bemerkt.

Was kostet der Red-Teaming-Starter?

Der Red-Teaming-Starter kostet ab €2.500 netto (rund 5 Tage, von außen und mit einem leichten internen Grey-Box-Teil), der Starter Plus ab €3.500 (rund 7 Tage, mit Rechteausweitung, Lateral Movement, Angriffspfad-Karte und einem kostenlosen Retest). Den Festpreis nennen wir nach einem kurzen Online-Scoping; er hängt vom Umfang ab.

Prüft der Red-Teaming-Starter genau das Binance-Szenario?

Weitgehend. Der interne Teil des Starters beginnt dort, wo ein Angreifer nach einem kompromittierten Laptop stünde: bei einem normalen Benutzerkonto oder einem VPN-Zugang. Wie weit er von dort bis zu Ihren kritischen Systemen kommt, vertieft der Starter Plus mit Rechteausweitung und Lateral Movement. Phishing und Social Engineering sind nicht enthalten, auf Anfrage als Zusatzmodul.