Nordkorea hat die Verantwortung für den auf rund 6,3 Milliarden US-Dollar geschätzten Diebstahl von Kryptowährungen bei Binance bestritten, nachdem das FBI den Angriff nordkoreanischen Cyberaktivitäten zugeschrieben hatte, die es unter dem Namen TraderTraitor verfolgt.
Kim Yo Jong, eine hochrangige nordkoreanische Regierungsvertreterin und Schwester von Staatschef Kim Jong Un, wies die Vorwürfe in einer am 3. November von den Staatsmedien verbreiteten Erklärung zurück. Die Blockchain-Analyseunternehmen Chainalysis und TRM Labs haben den Angriff ebenfalls TraderTraitor zugeschrieben.
Für Kryptobörsen und Compliance-Teams besteht die unmittelbare Herausforderung darin, den Kontakt zu den gestohlenen Geldern zu ermitteln und deren Weiterbewegung einzuschränken, während die Ermittlungen andauern.
„Das FBI versucht, die DVRK als ‚Cyberkriminalstaat‘ zu brandmarken, und behauptet, Informationen erhalten zu haben, wonach eine von der DVRK ‚unterstützte‘ Hackerorganisation an dem Vorfall beteiligt war“, sagte Kim Yo Jong in einer von KCNA verbreiteten Stellungnahme.
Binance’ Update zur Reaktion erkennt die Feststellung des FBI an, dass Nordkorea verantwortlich war, weist jedoch darauf hin, dass die eigene Untersuchung noch andauert.
Die Börse erklärte, sie habe mehr als ausreichende Mittel zurückgelegt, um den Verlust zu decken, und kaufe Ersatz-Token. Das Auffüllen dieser Bestände ist etwas anderes als die Wiederbeschaffung der gestohlenen Kryptowährung.
Was die Beweise aussagen
Das FBI erklärte, dass es gemeinsam mit seinen Partnern beim US Secret Service und bei der IRS Criminal Investigation beobachtet habe, wie TraderTraitor-Akteure gestohlene Vermögenswerte überwiegend in Ether (ETH) umwandelten. In seinem öffentlichen Hinweis legte das FBI die seiner Zuschreibung zugrunde liegenden Beweise nicht dar.
Chainalysis erklärte, dass die stärksten veröffentlichten Beweise in der Vermischung gestohlener Binance-Gelder mit Erlösen aus dem Bitget-Diebstahl bestünden. Die Bitget-Untersuchung datiert den Angriff im Umfang von 387 Millionen US-Dollar auf den 24. September und schreibt ihn nordkoreanischen Akteuren zu.
Blockchain-Aufzeichnungen zeigen, wie sich Gelder bewegen, doch eine einzelne Transaktion belegt nicht die Identität der Person oder Organisation, die eine Adresse in der realen Welt kontrolliert. Ermittler können Transaktionsanalysen mit Börsenaufzeichnungen und anderen Informationen kombinieren, um eine Zuschreibung zu untermauern.
TRM Labs erklärte, dass es sowohl On-Chain- als auch Off-Chain-Informationen nutzen konnte, um zu seiner Zuschreibung zu gelangen. Das Unternehmen hat nicht erläutert, welche konkreten Off-Chain-Informationen es verwendet hat, erklärte jedoch, es habe „diese Einschätzung mit hoher Zuversicht“ getroffen. Zudem teilte es mit, weitere Informationen bereitzustellen, sobald die Untersuchung voranschreitet.
Was Krypto-Sicherheitsteams prüfen sollten
Der Hinweis des FBI fordert Anbieter von Dienstleistungen für virtuelle Vermögenswerte und andere Organisationen des privaten Sektors auf, Transaktionen mit Adressen, die mit dem Diebstahl in Verbindung stehen oder daraus abgeleitet wurden, zu blockieren. Für Börsen und Compliance-Teams besteht der praktische Ausgangspunkt darin, diese Adressen mit den eigenen Screening-Systemen und der Transaktionshistorie abzugleichen.
Teams sollten relevante Treffer untersuchen, Transaktionsaufzeichnungen sichern und die Ergebnisse über ihre Sicherheits- und Compliance-Prozesse eskalieren. Die Überprüfung historischer Aktivitäten ist wichtig, da ein Kontakt bereits bestanden haben kann, bevor eine Adresse identifiziert wurde. Auch die Screening-Kontrollen müssen aktualisiert werden, sobald Ermittler weitere Erkenntnisse veröffentlichen.
Prävention erfordert auch Aufmerksamkeit für den Entwicklerzugang. Separate nordkoreanische Kampagnen haben Entwickler mithilfe gefälschter Abläufe bei Rekrutierung und Bewerbungsgesprächen kompromittiert und Blockchain-Smart-Contracts genutzt, um Malware zum Diebstahl von Kryptowährungen zu verbergen. Diese Fälle unterstreichen, wie wichtig es ist, von Recruitern bereitgestellten Code sorgfältig zu prüfen und Zugangsdaten auf Entwicklerarbeitsplätzen zu schützen; sie belegen nicht, wie die Angreifer auf Binance Zugang erlangten.
Organisationen sollten zwischen der Blockierung von Aktivitäten innerhalb ihrer eigenen Dienste und dem Einfrieren von Vermögenswerten auf einer Blockchain unterscheiden. Eine Börse kann Aktivitäten auf ihrer Plattform einschränken, und manche Token-Emittenten können ihre Token einfrieren. Diese Kontrollen verleihen nicht jedem Node-Betreiber die Möglichkeit, Übertragungen über ein gesamtes Netzwerk hinweg zu verhindern.
TRM Labs berichtete, dass kleine Abhebungen bei Tornado Cash vor dem Diebstahl die Operator-Wallet des Angreifers finanzierten. Diese Erkenntnis betrifft die Vorbereitung des Angriffs; sie belegt nicht, dass die gestohlenen Binance-Gelder anschließend über den Dienst abgehoben wurden.
Der Binance-Vorfall verdeutlicht zudem, wie wichtig es ist, eingefrorene Gelder, wiedererlangte Vermögenswerte und aufgefüllte Reserven getrennt zu betrachten. Ein Einfrieren kann die Weiterbewegung einschränken, ohne die Vermögenswerte an das Opfer zurückzugeben. Eine Auffüllung bedeutet, fehlende Vermögenswerte zu ersetzen, und nicht zwangsläufig, die gestohlenen Gelder zurückzuerlangen.
Der Hinweis des FBI bittet um die Zusammenarbeit der Branche, begründet jedoch nicht selbst eine pauschale rechtliche Verpflichtung für jede Kryptoorganisation. Compliance-Teams sollten ermitteln, welche Verpflichtungen für ihre Geschäftstätigkeit und Rechtsgebiete gelten. Sie können die Gefährdung bewerten und Kontrollen stärken, während die Ermittler das Bild von Zuschreibung und Wiedererlangung weiter vervollständigen.
Mehr lesen: Der Diebstahl im Liquid Network und die teilweise Rückgabe gestohlener Bitcoins zeigen, warum Aussagen zur Wiedererlangung zwischen zurückgegebenen Vermögenswerten und weiterhin offenen Verlusten unterscheiden müssen.