Binance-Hack und von KI entdeckte Schwachstellen: Was ändert sich wirklich?

Der Binance-Angriff nutzte vor allem bekannte Schwachstellen aus

Bei dem Angriff am 29. Oktober stahlen die Täter digitale Vermögenswerte im Wert von mehr als 6 Milliarden Dollar von der Kryptowährungsbörse Binance. Das FBI brachte den Diebstahl mit der nordkoreanischen TraderTraitor-Operation in Verbindung. Derzeit gibt es keine öffentlichen Belege dafür, dass bei dem Angriff künstliche Intelligenz oder sogenannte KI-Schwärme eingesetzt wurden.

Binances erste Untersuchung identifizierte den Laptop eines kompromittierten Mitarbeiters als möglichen Ausgangspunkt, später wurden jedoch weitere Zugangspunkte gefunden. David Marcus, ein ehemaliger PayPal-Manager, sagte, die Nutzung kompromittierter Zugangsdaten und vertrauenswürdiger Zugänge sei eine bekannte Schwachstelle in der Finanzsicherheit.

Auch groß angelegte Angriffe auf Kryptowährungsbörsen sind nicht neu. Das FBI schrieb den Diebstahl von 1,5 Milliarden Dollar bei Bybit im vergangenen Jahr derselben nordkoreanischen Operation zu. Zuvor waren bereits Mt. Gox, Bitfinex, Coincheck und Binance selbst Opfer schwerer Angriffe geworden.

Automatisierte Geldwäsche könnte das Verschwinden gestohlener Gelder beschleunigen

Chainalysis identifizierte Tausende Transaktionen, bei denen gestohlene Gelder innerhalb kurzer Zeit wiederholt zwischen digitalen Wallets verschoben wurden. Einige Beobachter sehen darin ein frühes, öffentlich stark beachtetes Beispiel für sogenannte agentische Geldwäsche.

Dem Atlantic Council zufolge deuten die Transaktionsmuster allein jedoch eher auf Automatisierung hin und lassen nicht zwangsläufig auf den Einsatz von KI-Agenten schließen. Eine wichtige Veränderung könnte darin bestehen, dass sich gestohlene Gelder schneller bewegen. Behörden und Dienstleistern bleibt dadurch weniger Zeit, Vermögenswerte einzufrieren oder verdächtige Überweisungen zu blockieren.

Das FBI, der Secret Service, der Internal Revenue Service, Blockchain-Analysefirmen und private Unternehmen arbeiteten zusammen, um die Vermögenswerte zu verfolgen und einzufrieren. Binance erklärte, rund 95 Prozent der betroffenen Vermögenswerte aus eigenen Mitteln ersetzt zu haben. Das bedeutet nicht, dass 95 Prozent des Geldes von den Hackern zurückgeholt wurden.

KI beschleunigt sowohl das Auffinden von Schwachstellen als auch die Abwehr

Am 21. Oktober veröffentlichten Forscher von Wiz Informationen zu gravierenden PHP-Schwachstellen. Die Schwachstellen in der weit verbreiteten Open-Source-Programmiersprache wurden mit Unterstützung modernster KI-Modelle entdeckt. Google übernahm Wiz Anfang dieses Jahres. Unabhängig davon behob auch Node.js eine gravierende, von OpenAI gemeldete Schwachstelle.

Eine Schwachstelle zu entdecken ist nicht dasselbe wie sie auszunutzen, und Sicherheitsforscher haben Softwarefehler schon lange aufgespürt und dokumentiert. Die Analyse legt nahe, dass die eigentliche Neuerung darin liegen könnte, dass immer leistungsfähigere Modelle dabei helfen, seit Langem bestehende Schwachstellen schneller zu finden und zu testen. Das könnte Verteidiger und Angreifer in einen Wettlauf zwingen.

Wiz meldete die PHP-Schwachstellen im August vertraulich, fast zwei Monate vor der öffentlichen Bekanntgabe und den im Oktober veröffentlichten Fehlerbehebungen. Das gab Entwicklern und Dienstleistern Zeit zur Vorbereitung, doch die Veröffentlichung erschwerte in den letzten Tagen die koordinierte Bereitstellung.

Große Finanz- und Technologieunternehmen testen bereits defensive KI-Tools. JPMorganChase ist ein Gründungspartner im Programm Project Glasswing von Anthropic, das frühen Zugang zum Modell Claude Mythos für defensive Sicherheitsarbeit bietet. Laut einer Umfrage von KPMG haben 84 Prozent der Führungskräfte im Bankwesen ihre Investitionen in Cybersicherheit wegen KI-bezogener Risiken erhöht.

Regulierer müssen echte Risiken von angenommenen Risiken unterscheiden

Der Atlantic Council erklärt, dass in den kommenden fünf bis 10 Jahren an der Schnittstelle von Cybersicherheit, KI und Finanztechnologie komplexe Rechtsfragen entstehen könnten. Dazu könnte gehören, wann ein KI-Unternehmen für die mittelbaren Folgen seiner Tools oder Agenten haftet und wer für Schäden durch ein autonomes System verantwortlich ist.

Nicht jedes Problem erfordert zwangsläufig neue Regeln. Eine Analyse des Congressional Research Service kommt zu dem Schluss, dass das bestehende US-Bundesstrafrecht greifen kann, wenn jemand KI vorsätzlich nutzt, um sich unbefugten Zugang zu einem Computer zu verschaffen. Auch bestehende Grundsätze der Fahrlässigkeit und der geteilten Verantwortung könnten bei der Haftungsbestimmung eine Rolle spielen.

Für Finanzinstitute und Softwareentwickler liegt die Bedeutung der Nachrichten darin, dass dieselben Tools, mit denen Angreifer Schwachstellen schneller finden können, auch die Abwehr beschleunigen können. Die Analyse empfiehlt politischen Entscheidungsträgern daher, sich auf konkrete Bedrohungen zu konzentrieren, sobald sie entstehen, und tatsächlich neue Probleme von schnelleren oder umfangreicheren Varianten langjähriger Missbräuche zu unterscheiden.