Binance untersucht einen Diebstahl von Kryptowährungen im Umfang von 6,3 Milliarden US-Dollar, der der größte in der Geschichte der Branche sein könnte.
Die Börse gab den Vorfall am 29. Oktober bekannt, nachdem Angreifer Gelder aus Wallets abgezogen hatten, die zur Abwicklung von Transaktionen verwendet wurden. Binance vermutete zunächst, dass der Laptop eines kompromittierten Ingenieurs betroffen war, doch eine anschließende Untersuchung deckte weitere Angriffspunkte auf.
Branchenpartner haben Vermögenswerte im Wert von etwa 3 Milliarden US-Dollar ausfindig gemacht oder eingefroren. Binance hat unterdessen zugesagt, Kundenverluste über den Secure Asset Fund for Users (SAFU) und eigene Unternehmensmittel zu decken.
Binance hat Auszahlungen vorübergehend ausgesetzt, während Einzahlungen weiterhin möglich sind. In einem Beitrag auf X erklärte Co-CEO Yi He, dass die Börse daran arbeite, ihre Auszahlungsdienste und die damit verbundenen Adresskontrollen zu verbessern. Die Auszahlungen sollen innerhalb von 48 Stunden wieder aufgenommen werden.
So lief der Angriff ab
Binance zufolge führte die Börse den mutmaßlichen ersten Eindringversuch zunächst auf den kompromittierten Laptop eines Ingenieurs zurück, der den Angreifern möglicherweise den Zugriff auf interne Systeme ermöglichte. Später meldete die Börse weitere Angriffspunkte, ohne zusätzliche technische Einzelheiten zu nennen.
Der mutmaßliche Zugangspunkt verdeutlicht, warum Entwicklerarbeitsplätze für Angreifer, die Zugriff auf kritische Systeme erlangen wollen, attraktive Ziele sein können.
„Binance hat nicht erklärt, wie der Laptop kompromittiert wurde, aber Entwicklergeräte werden täglich angegriffen“, sagte Mackenzie Jackson, Field CTO bei Aikido Security.
Jackson erklärte, dass kompromittierte Entwicklergeräte Cloud-Zugangsdaten, SSH-Schlüssel und Zugriffstoken preisgeben können, die Angreifer möglicherweise nutzen, um sich durch interne Systeme zu bewegen. Binance hat jedoch nicht bestätigt, ob diese Methoden bei diesem Angriff zum Einsatz kamen.
Das Blockchain-Analyseunternehmen TRM Labs erklärte, die Angreifer hätten Binances Infrastruktur zur Signierung von Transaktionen kompromittiert und dadurch nicht autorisierte Überweisungen aus den betroffenen Wallets ermöglicht. Nach seiner Analyse wurde der größte Teil der gestohlenen Kryptowährungen innerhalb von etwa 20 Minuten transferiert.
Binance hat die Angreifer nicht identifiziert. Die Blockchain-Analyseunternehmen TRM Labs und Chainalysis bringen den Vorfall jedoch mit nordkoreanischen Hackern in Verbindung, wobei sie auf Ähnlichkeiten mit früheren Angriffen und die Bewegung der gestohlenen Gelder verweisen.
Chainalysis berichtete außerdem, dass Erträge aus einem früheren Angriff auf Bitget mit den von Binance gestohlenen Vermögenswerten vermischt wurden. Die Untersuchung dauert an, und Binance hat die Zuordnung nicht bestätigt.
Paolo Ardoino, CEO von Tether, teilte auf X mit, dass sein Unternehmen mehr als 1,567 Milliarden US-Dollar an Geldern eingefroren hatte, die vermutlich mit dem Binance-Hack in Verbindung standen. Der Arbitrum Council teilte ebenfalls mit, dass er etwa 30,8 Millionen US-Dollar an mit dem Exploit verknüpften Geldern eingefroren hatte.
Koordinierte Reaktion begrenzt die Bewegung gestohlener Gelder
Der Binance-Vorfall zeigt, wie die Zusammenarbeit zwischen Kryptowährungsbörsen, Stablecoin-Emittenten und Blockchain-Sicherheitsunternehmen die Bewegung gestohlener Vermögenswerte einschränken kann.
Tether, Circle, Ripple und andere Organisationen leiteten Maßnahmen ein, um mit dem Angriff verbundene Kryptowährungen einzufrieren. Das Einfrieren von Vermögenswerten garantiert jedoch nicht deren Wiedererlangung. Stablecoin-Emittenten können zwar Übertragungen bestimmter Token blockieren, Kryptowährungen wie Bitcoin und Ether lassen sich jedoch nicht auf dieselbe Weise einfrieren.
Die Reaktion erfolgt zudem, während Ermittler mögliche Verbindungen zu nordkoreanischen Hackern prüfen, die bereits zuvor über Angriffe auf Mitarbeiter und interne Systeme Kryptowährungsunternehmen ins Visier genommen haben.
„Dieser Vorfall befindet sich noch in der anfänglichen Phase des ‚Kriegsnebels‘, und Binance wird Zeit benötigen, um vollständig zu untersuchen, wie es zu diesem Angriff kam. Die ersten Berichte stimmen jedoch mit der Vorgehensweise der als TraderTraitor bekannten Gruppe überein, einem von Nordkorea staatlich unterstützten Cluster, der mit früheren Diebstählen von Kryptowährungen in Verbindung steht“, sagte Rafe Pilling, Senior Director of Threat Research bei Sophos.
Für Kryptowährungsbörsen unterstreicht der Vorfall, wie wichtig es ist, Entwicklerarbeitsplätze abzusichern, den Zugriff auf die Infrastruktur zur Signierung von Transaktionen zu beschränken und die Reaktion auf Sicherheitsvorfälle mit externen Partnern zu koordinieren.
Organisationen benötigen außerdem Verfahren, um nicht autorisierte Transaktionen schnell zu identifizieren und mit den zuständigen Emittenten und Strafverfolgungsbehörden zusammenzuarbeiten, damit sich weitere Verluste begrenzen lassen.
Offen bleibt, wie die Angreifer die Kontrolle über kritische Systeme erlangten, wie viel von der gestohlenen Kryptowährung wiedererlangt werden kann und wann Binance-Kunden wieder normalen Zugriff auf die Börsendienste erhalten.
Weitere Meldungen: Cathay Pacific hat eine Datenpanne beim Reisetechnologieanbieter Amadeus offengelegt, durch die Informationen aus etwa 53.000 Flugbuchungen preisgegeben wurden.