Hacker sind bei Chainalysis selbst eingedrungen – ausgerechnet bei der Firma, die im Binance-Hack binnen acht Stunden die Spur nach Nordkorea fand

Ein Unternehmen, das Polizei, Geheimdiensten und Börsen für viel Geld Werkzeuge zur Jagd auf Kryptokriminelle verkauft, konnte das eigene Haus nicht schützen. Chainalysis hat offiziell eingeräumt: Ein externer Angreifer verschaffte sich unbefugten Zugang zu ihren Systemen und internen Tools und zog anschließend Daten der Plattformnutzer ab. Das Eingeständnis kam am 30. Oktober – genau an dem Tag, an dem dieselbe Chainalysis mit der Miene eines allwissenden Orakels den Schuldigen am größten Raubzug der Kryptogeschichte benannte: Ihrer Darstellung nach erbeutete die nordkoreanische Gruppe TraderTraitor rund 6,4 Mrd. $ aus den Wallets von Binance.

Liest man die Details aus erster Hand, verflüchtigt sich die detektivische Präzision irgendwie. Es heißt lediglich, das Eindringen sei „in diesem Monat“ bemerkt worden. Der Angreifer erbeutete Nutzer-IDs, vollständige Namen, dienstliche E-Mail-Adressen und Funktionen innerhalb der Organisationen – auch bei jenen Kunden, die Chainalysis jetzt mit wenig erfreulichen Briefen beglückt. Einige Betroffene wurden laut Unternehmen schon früher vertraulich informiert. Wie viele Datensätze insgesamt abgeflossen sind und wessen Konten ausgeräumt wurden, haben die führenden Analysten des Planeten bis heute nicht ausgezählt: Jedem Kunden wird eine individuelle Aufstellung versprochen, „sobald die Analyse abgeschlossen ist“. Die Lücken, durch die der Eindringling kam, werden gerade im laufenden Betrieb geflickt.

Im öffentlichen Bericht klafft dabei dort eine Leere, wo die wichtigsten Fragen stehen müssten: An welchem Tag genau wurde das Eindringen entdeckt, wie viele Wochen schaltete und waltete der Angreifer im Netzwerk, durch welche Schwachstelle kam er herein und welche „internen Tools“ konnte er nutzen? Keine einzige Zahl, kein Datum, kein einziger technischer Fakt.

Die gestohlenen Angaben nennt Chainalysis beschwichtigend „nicht sensibel“. Das klingt nett, solange man vergisst, wer ihre Software kauft: Die Hauptkunden der Firma sind Strafverfolgungsbehörden, Steuerbehörden und Nachrichtendienste, Kryptobörsen und Banken. Vollständige Namen, dienstliche E-Mail-Adressen und Funktionen aktiver Ermittler für Kryptokriminalität sind keine „nicht sensible Kleinigkeit“, sondern ein fertiges, goldenes Adressbuch für gezieltes Phishing und Erpressung. Das weiß Chainalysis selbst sehr genau: Im selben Text bittet sie ihre Kunden eindringlich, unerwarteten E-Mails zum Zurücksetzen des Passworts, Push-Anfragen zur Bestätigung einer Anmeldung und Betrügern, die im Namen von Firmenmitarbeitern anrufen, nicht zu trauen.

Die KI war’s, Binance hat damit nichts zu tun

Ein Vergnügen für sich ist die offizielle Erklärung für das Versagen. Sie beginnt mit dem klassischen „Die anderen hat es auch erwischt“: Chainalysis sei betroffen gewesen „wie viele andere Technologieplattformen in den letzten Wochen“ – gehackt werde derzeit eben jeder, man möge nicht so streng sein. Dann fährt die schwere Marketing-Artillerie auf: Schuld seien eine „branchenweite Zunahme KI-gestützter Cyberangriffe“ und irgendwelche „offensiven agentischen Techniken“. Was für ein Agent, wer ihn gestartet hat, wie eine künstliche Intelligenz den Perimeter eines auf IT-Sicherheit spezialisierten Unternehmens überwunden hat – kein Wort. Dafür soll das Leck mit demselben Modepulver behandelt werden: Für die Prüfung wurden externe Berater und „hochentwickelte große Sprachmodelle“ hinzugezogen. Die KI ist eingebrochen – also soll die KI auch Wache stehen.

Gleich zweimal betont das Unternehmen in seinem kurzen Text nervös, dieser Einbruch habe nichts mit dem Milliardendiebstahl bei Binance zu tun. Das glauben wir gern. Die Ironie liegt ganz woanders. Als eine fremde Börse ausgeräumt wurde, reichten den Experten von Chainalysis acht Stunden für eine präzise Diagnose samt konkretem Staat: Die Abflüsse begannen am 29. Oktober um 16:20 Uhr New Yorker Zeit, und schon um 0:30 Uhr präsentierte man der Welt Nordkorea. Wir haben gestern ausführlich beschrieben, wie bequem es ist, jedes Milliardenloch den Machenschaften Pjöngjangs anzulasten. Doch kaum ist jemand in die eigenen Server von Chainalysis eingedrungen, schaltet sich der legendäre Spürsinn der Detektive ab: Der Eindringling hat weder Flagge noch Gruppe noch Spuren – nur das nebulöse Wort „agentisch“.

Noch komischer wirkt das Jonglieren mit Formulierungen rund um Passwörter. Im Vorspann der Mitteilung meldet das Unternehmen munter, es habe keinerlei Hinweise auf einen Zugriff auf „Anmeldedaten“ überhaupt gefunden. Doch schon ein paar Absätze weiter, im Brief an die Kunden, schrumpft die Formulierung still und leise: Dort heißt es nur noch, der Angreifer sei nicht an Passwörter „im Klartext“ gelangt. Gehashte Passwörter könnten also, so muss man annehmen, durchaus mit unbekanntem Ziel abgewandert sein – ganz zu schweigen von der Frage, warum ein Cybersicherheitsunternehmen im Jahr 2026 „Passwörter im Klartext“ überhaupt als eigene Kategorie erwähnt. Und der abschließende Rat an die Kunden, „die Zwei-Faktor-Authentifizierung zu aktivieren, falls Ihre Organisation das noch nicht getan hat“, verrät ungewollt ein offenes Geheimnis: Auf einer geschlossenen Plattform für Sicherheitsbehörden und Finanzermittler konnte man bis heute ganz gemütlich ohne zweiten Faktor arbeiten.

Wie echte Sicherheit durch ein Schaufenster aus Zertifikaten und schönen Slogans ersetzt wird, haben wir bereits in unserer Analyse zu Vanta beschrieben. Bei Chainalysis ist dieses Schaufenster nach allen Regeln des Genres bestückt: „Experten von Weltrang“, „unternehmensweiter Ansatz“, „gestärkte Sicherheitslage“. Es fehlt nur die Antwort auf die einfachen Fragen: wie viele Datensätze abgegriffen wurden, wie viele Tage der Eindringling drinnen saß und durch welche Tür er hereinkam. Unterm Strich ergibt sich ein Bild wie gemalt: Eine Firma, die anhand der Blockchain binnen acht Stunden eine nordkoreanische Spur in fremden Taschen findet, kann über den Einbruch in die eigene Küche nur sagen, dass eine gesichtslose KI schuld ist, Binance damit garantiert nichts zu tun hat und lediglich Namen, E-Mail-Adressen und Funktionen von Leuten abgeflossen sind, deren Beruf es ist, Hacker zu fangen.