Nordkoreanische Hacker sollen Binance in etwa 20 Minuten 6,36 Milliarden US-Dollar gestohlen haben, doch die weltgrößte Kryptowährungsbörse arbeitet daran, sicherzustellen, dass die Kunden nicht den Preis dafür zahlen müssen.
Der Angriff vom 29. Okt. ist der größte Krypto-Diebstahl aller Zeiten und übertrifft den Bybit-Hack im Umfang von 1,5 Milliarden US-Dollar im Februar 2025. Das Blockchain-Analyseunternehmen TRM Labs schrieb den Vorfall mit hoher Wahrscheinlichkeit TraderTraitor zu, einer nordkoreanischen Hacker-Einheit, die auch mit dem Bybit-Angriff in Verbindung gebracht wird.
Binance setzte zunächst Auszahlungen über mehrere Blockchain-Netzwerke hinweg aus, während die Börse den Sicherheitsverstoß untersuchte. Bis Sonntag hatte die Börse jedoch etwa 90 % der gestohlenen Vermögenswerte ersetzt und damit begonnen, Auszahlungen schrittweise wiederherzustellen.
Ein 20-minütiger Angriff auf die Wallet-Infrastruktur von Binance
Laut TRM Labs begannen die Angreifer mindestens 36 Stunden vor dem Diebstahl am 29. Okt. damit, Schadcode zu testen und Transaktionsautorisierungen vorzubereiten.
Die Hauptwelle der Auszahlungen begann um 20:05 UTC. Dabei transferierten Binance-Wallets auf mehreren Blockchains Gelder an von den Angreifern kontrollierte Adressen. Die Angreifer verschoben innerhalb von etwa 20 Minuten den Großteil der 6,36 Milliarden US-Dollar. Eine zweite Welle mit Avalanche- und Polygon-Wallets folgte gegen 23:05 UTC.
Die Untersuchung von TRM ergab rund 3,79 Milliarden US-Dollar an Ethereum-bezogenen Vermögenswerten, 1,47 Milliarden US-Dollar in Bitcoin sowie Vermögenswerte im Wert von mehreren hundert Millionen US-Dollar auf Tron und dem XRP Ledger.
Die Angreifer hatten offenbar die Infrastruktur zur Unterzeichnung von Binance-Auszahlungen kompromittiert, anstatt einfach einen privaten Schlüssel zu stehlen. Auf Ethereum nutzten sie vorab signierte EIP-7702-Autorisierungen, um eine Binance-Hot-Wallet dazu zu bringen, einen bösartigen Smart Contract auszuführen, der ihre Gelder transferierte.
Binance identifizierte zunächst den Laptop eines kompromittierten Mitarbeiters und einen unbefugten Zugriff auf einen Service-Container. Co-CEO Richard Teng erklärte später jedoch, dass die Ermittler weitere Angriffspunkte entdeckt hätten, und beschrieb eine komplexere Operation.
„Nordkoreas Kryptowährungsoperationen haben sich von wiederholten Angriffen auf Börsen und Projekte für digitale Vermögenswerte zu einem Erlösmodell im industriellen Maßstab entwickelt“, sagte Justin Moore, Director of Adversary Operations bei Arctic Wolf, gegenüber eSecurity Planet. „Statt sich auf eine einzige Art von Exploit zu verlassen, nehmen diese Akteure Entwickler, Mitarbeiter, Signatursysteme und die Infrastruktur von Drittanbietern ins Visier und suchen nach dem Punkt, an dem sich vertrauenswürdiger Zugriff in einen autorisierten Transfer umwandeln lässt.“
Binance friert Milliarden an gestohlenen Vermögenswerten ein und ersetzt sie
An der Reaktion waren Emittenten von Kryptowährungen, Blockchain-Sicherheitsteams und Strafverfolgungsbehörden beteiligt. Tether, Circle, Ripple und World Liberty Financial froren Stablecoins im Wert von etwa 2,67 Milliarden US-Dollar ein, während der Security Council von Arbitrum weitere ETH- und ARB-Token einfror.
Binance erklärte am Freitag , dass Partner aus der Branche dabei geholfen hätten, gestohlene Vermögenswerte im Wert von etwa 3 Milliarden US-Dollar einzufrieren. Bis Samstag hatte das Unternehmen mehr als 6,34 Milliarden US-Dollar aus eigenen Mitteln bereitgestellt, um die Verluste der Kunden zu decken.
In einem Update vom Samstag erklärte Binance, rund 90 % der gestohlenen Vermögenswerte ersetzt zu haben. Die verbleibenden 10 % könnten länger dauern, da einige Kryptowährungen weniger liquide und in den erforderlichen Mengen schwieriger zu erwerben seien.
Die Börse begann außerdem, Auszahlungen schrittweise wiederherzustellen. Zunächst wurde der Zugriff auf Ethereum-basierte Vermögenswerte und einige Bestände auf der BNB Smart Chain wieder geöffnet, bevor weitere Netzwerke wie Solana hinzukamen.
Sicherheitsexperten warnen vor kompromittiertem Mitarbeiterzugriff
Der Vorfall wirft Fragen darüber auf, wie Börsen die Systeme schützen, die Transaktionen autorisieren, insbesondere wenn Mitarbeiter Zugriff auf eine Infrastruktur haben, mit der sich Milliardenbeträge bewegen lassen.
Moore erklärte, die offensichtliche Kompromittierung von Auszahlungs- und Signaturprozessen über mehrere Blockchains hinweg stelle eine deutliche Eskalation der Kryptodiebstahl-Aktivitäten Nordkoreas dar.
„Das bestimmende Merkmal des Binance-Vorfalls ist die offensichtliche Unterwanderung vertrauenswürdiger Auszahlungs- und Signaturprozesse über mehrere Blockchains hinweg“, sagte er. Er empfahl eine stärkere Isolierung privilegierter Mitarbeitergeräte, eine unabhängige Genehmigung für Transaktionen mit weitreichenden Auswirkungen sowie die Trennung der Signaturinfrastruktur von alltäglichen Arbeitsumgebungen.
Rand Davis, Chief Technology Officer bei SecurityScorecard, erklärte gegenüber eSecurity Planet, der Vorfall zeige, wie Angreifer Mitarbeiter ins Visier nehmen und die Systeme hinter den Sicherheitskontrollen angreifen. Der Breach Susceptibility Indicator (BSI) von SecurityScorecard für Binance lag bei 97. Das Unternehmen gibt an, dass Organisationen mit einem Wert von 97 oder höher 39-mal häufiger von einem Sicherheitsverstoß betroffen sind als der Durchschnitt der Vergleichsgruppe. Der Indikator misst jedoch beobachtete Sicherheitsprobleme und die Gefährdungslage, nicht die Wahrscheinlichkeit eines Angriffs.
Davis warnte außerdem, dass Unternehmen, die von Kryptowährungsbörsen und Verwahrstellen abhängig sind, kontinuierlich Einblick in diese Beziehungen behalten und sich auf Situationen vorbereiten sollten, in denen ein Anbieter Auszahlungen oder andere Dienste aussetzt.
Was der Binance-Hack für Krypto-Nutzer bedeutet
Die Entscheidung von Binance, die Verluste zu übernehmen, bedeutet, dass Kunden, deren Vermögenswerte betroffen waren, nicht unmittelbar finanziell für den Diebstahl aufkommen müssen. Der Vorfall hat jedoch ein weiteres Risiko der Aufbewahrung von Kryptowährungen auf zentralisierten Börsen offengelegt: Der Zugriff auf Kundenvermögen hängt teilweise von der Sicherheit der internen Infrastruktur der Plattform ab.
Obwohl Binance Auszahlungen über mehrere Netzwerke hinweg wiederhergestellt hat, bedeutet der schrittweise Ansatz, dass bei einigen Nutzern weiterhin Verzögerungen auftreten können, während die Börse die Sicherheitsprüfungen abschließt. Das Unternehmen muss außerdem seine Untersuchung abschließen und einen aktualisierten Reservenachweis veröffentlichen.
Für Unternehmen, die digitale Vermögenswerte halten oder für Zahlungen und Liquidität auf Börsen angewiesen sind, macht der Vorfall eine Notfallplanung unerlässlich. Eine Plattform kann finanziell weiterhin in der Lage sein, gestohlene Gelder zu ersetzen, während sie den Zugriff auf Kundenbestände vorübergehend einschränkt.
Die größere Sorge besteht darin, dass die Kompromittierung vertrauenswürdiger Mitarbeiterzugänge und Systeme zur Transaktionsgenehmigung Schutzmaßnahmen umgehen kann, die einzelne Wallets ansonsten nur schwer angreifbar machen würden. Die Wiederherstellung durch Binance mag Kunden hinsichtlich der Fähigkeit des Unternehmens beruhigen, den Verlust aufzufangen, doch der Vorfall hinterlässt für die gesamte Kryptowährungsbranche ein schwierigeres Sicherheitsproblem, das gelöst werden muss.
Weiterführende Lektüre: Mehr über Nordkoreas Kryptowährungsdiebstahl-Aktivitäten erfahren Sie in der Analyse, wie ein KelpDAO-Hack im Wert von 293 Millionen US-Dollar Schwachstellen der DeFi-Sicherheit offenbarte und von Forschern mit der Lazarus Group in Verbindung gebracht wurde.