Laut Binance-Co-CEO Richard Teng führten Hacker im September eine Reihe gefälschter Vorstellungsgespräche mit einem Ingenieur, die in einer Programmieraufgabe mit versteckter Malware endeten.
Das gefälschte Vorstellungsgespräch ist eine bekannte Technik, die seit 2022 dokumentiert ist und Akteuren mit Verbindungen zu Nordkorea zugeordnet wird.
Unternehmen und Bewerber sollten ein einfaches Reflexverhalten annehmen: Niemals eine im Rahmen eines Bewerbungsverfahrens bereitgestellte Datei ohne Überprüfung herunterladen oder ausführen.
Ein Vorstellungsgespräch ist von Natur aus ein Moment des Vertrauens: Der Bewerber will überzeugen, der Recruiter will bewerten. Genau das nutzen Hacker aus. Der Hack bei Binance, der weltweit größten Kryptobörse, ist ein eindrucksvolles Beispiel, und das Risiko geht weit über den Kryptosektor hinaus. Für Recruiter, auch in Luxemburg, ist das gefälschte Vorstellungsgespräch inzwischen ein eigenständiges Sicherheitsthema.
Laut CNBC erklärt Binance, dass Hacker gefälschte Vorstellungsgespräche, Schadsoftware und kompromittierte interne KI-Tools kombiniert haben, um beim Angriff vom 29. Oktober in die Infrastruktur der Wallets einzudringen. In einem Interview mit dem Sender am 3. November 2026 wies Co-CEO Richard Teng die Vorstellung eines einzelnen Schwachpunkts, etwa des Laptops eines einzelnen Mitarbeiters, zurück: Die Angreifer hätten, so Teng, „Monate damit verbracht, sich Zugang zu verschaffen".
Der Angriff erstreckte sich über mehrere Monate. Im Juni hätten die Angreifer eine gefälschte Version eines Entwicklertools verbreitet, um einen Ingenieur zur Installation zu verleiten. Ein von Binance veröffentlichter Sicherheitsbericht besagt, dass ein DevOps-Ingenieur des Binance Wallet eine manipulierte Homebrew-Installation heruntergeladen hatte. Die verdächtige Aktivität wurde erkannt und das Gerät ausgetauscht, doch die Rolle dieses Ingenieurs und seiner Kollegen im Team für die Wallet-Infrastruktur war bereits offengelegt. Im September gaben sich die Angreifer als Recruiter aus und führten eine Reihe von Gesprächen mit einem weiteren Ingenieur, die in einer Programmieraufgabe mit versteckter Malware endeten, die darauf ausgelegt war, Sicherheitsmaßnahmen zu umgehen. Anschließend arbeiteten sie sich durch die internen KI-Tools bis zu dem System vor, das die Transaktionen der Wallets autorisiert.
Zur Zuschreibung: Teng selbst machte Nordkorea nicht verantwortlich, räumte aber ein, dass das FBI den Angriff mit der nordkoreanischen Gruppe TraderTraitor in Verbindung gebracht hat. Die Firma TRM Labs war laut US-Medien des TNND-Netzwerks „mit hoher Sicherheit" zum gleichen Schluss gekommen. Binance gibt an, 98% der betroffenen 6,34 Milliarden Dollar wieder aufgefüllt, das betroffene Wallet-System und das KI-Tool neu aufgebaut und einen unabhängigen Experten mit der Überprüfung beauftragt zu haben. In einer von The Express Tribune übernommenen Reuters-Meldung sagte Teng, die Teams arbeiteten „rund um die Uhr", um die Nutzer schadlos zu halten.
Diese Falle ist nicht neu. Die „Contagious Interview" genannte Kampagne wurde bereits 2023 vom Forschungsteam Unit 42 von Palo Alto Networks beschrieben. Wie The Hacker News berichtet, besteht ihr Ziel darin, Softwareentwickler über ein fiktives Vorstellungsgespräch mit Malware zu infizieren, oft mithilfe von npm-Paketen oder GitHub-Repositories, die als einfache technische Tests präsentiert werden. Laut einem neueren Bericht desselben Mediums, datiert auf September 2026, hat die seit mindestens 2022 aktive Kampagne mindestens 30.000 Geräte in mehr als 100 Ländern kompromittiert und Gelder oder Zugangsdaten von über 7.000 Kryptowährungs-Wallets abgezogen.
Binance kennt das Problem seit Langem. Sicherheitschef Jimmy Su erklärte gegenüber Decrypt, dass die Börse jeden Tag gefälschte Lebensläufe erhalte, die sie nordkoreanischen Akteuren zuschreibt. Ihm zufolge gehen die Angreifer so weit, ihren Zielen eine hochrangige Stelle anzubieten und dafür das „Zwei- oder Dreifache" zu zahlen, nur um sie zu einem Gespräch zu bewegen. Auch Gründer Changpeng Zhao schlug 2025 Alarm: Laut Cryptonews beschreibt er diese Hacker als „fortgeschritten, kreativ und geduldig". Schließlich teilte Binance am 27. Oktober 2026 laut Crypto Briefing mit, weitere Versuche im Zusammenhang mit dieser Kampagne blockiert zu haben.
Die Angreifer spielen zudem auf beiden Seiten, indem sie sich als Recruiter oder als Bewerber mit gefälschten Identitäten ausgeben. Für HR-Teams gehört die Identitätsprüfung daher inzwischen zum Einstellungsprozess.
Luxemburg ist nicht gefeit. Mit seinem Image als Land der Chancen ist das Großherzogtum ein natürliches Ziel, wie Paperjam in seiner Recherche zu „Job-Scams" hervorhebt. Seit mehreren Monaten berichten Bewerber, über WhatsApp, LinkedIn oder Telegram von angeblichen Recruitern kontaktiert worden zu sein, und die Personalagentur Hays Luxembourg hat eine Warnung vor der Zunahme gefälschter Profile veröffentlicht, die die Identität ihrer Mitarbeiter missbrauchen. Ein vom Medium zitierter Experte merkt an, dass künstliche Intelligenz mittlerweile Nachrichten in sehr korrektem Luxemburgisch ermöglicht. Diese Betrügereien zielen vor allem auf Daten oder Geld der Bewerber ab, während das technische gefälschte Vorstellungsgespräch eher IT- und Finanzprofile ins Visier nimmt, die in Luxemburg stark vertreten sind.
Die bewährten Vorgehensweisen sind bekannt. Für Bewerber bedeutet das: Existenz des Recruiters und des Unternehmens über einen offiziellen Kanal prüfen, bei zu großzügigen Angeboten oder zu schnellen Abläufen misstrauisch sein und es ablehnen, Software oder ausführbare Aufgaben außerhalb einer isolierten Umgebung herunterzuladen. Für Arbeitgeber heißt es, Teams mit Zugang zu sensiblen Systemen zu informieren und sichere Testumgebungen bereitzustellen. Die Großherzogliche Polizei veröffentlicht außerdem Präventionshinweise zu verschiedenen Betrugsarten.
Der Fall Binance zeigt, dass ein gefälschtes Vorstellungsgespräch ausreichen kann, um teure technische Schutzmaßnahmen zu umgehen, weil es sich an einen Menschen in einer Vertrauenssituation richtet. Für HR-Teams ist der Einsatz doppelt: Bewerber schützen, deren Arbeitgebermarke missbraucht werden kann, und Mitarbeiter, die von falschen Recruitern angesprochen werden können.
Der Reflex lässt sich in einem Satz zusammenfassen: bei jedem unaufgeforderten Angebot, das den Download von Code verlangt, misstrauisch sein und vor der Ausführung prüfen. Das bedeutet, Teams zu informieren, sichere Testumgebungen bereitzustellen und die Wachsamkeit gegenüber dem gefälschten Vorstellungsgespräch in die Recruiting-Praxis zu integrieren, damit dieser Reflex zur kollektiven Gewohnheit wird.
Was ist ein gefälschtes Vorstellungsgespräch in der Cybersicherheit?
Es handelt sich um einen von Hackern inszenierten falschen Bewerbungsprozess, mit dem eine Person zur Installation von Schadsoftware gebracht werden soll, meist unter dem Vorwand eines technischen Tests, eines Videokonferenz-Updates oder einer Programmieraufgabe.
Wie erkennt man einen falschen Recruiter?
Warnsignale sind ein unaufgeforderter Kontakt, eine ungewöhnlich hohe Vergütung, ein sehr schneller Ablauf und vor allem die Aufforderung, eine Datei herunterzuladen oder auszuführen. Prüfen Sie die Identität des Recruiters über die offiziellen Kanäle des Unternehmens.
Sind luxemburgische Unternehmen betroffen?
Ja. Paperjam berichtet von einer Zunahme gefälschter Stellenangebote und des Missbrauchs von Recruiter-Identitäten in Luxemburg. Gefragte IT- und Finanzprofile sind potenzielle Ziele.
.jpg)
.jpeg)
.jpg)
