Ein Laptop wurde zum Haupteingang für einen Rekord-Raub
Schätzungsweise 6,3 Milliarden US-Dollar verschwanden innerhalb von etwa 20 Minuten von Binance, was den größten Krypto-Raub der Geschichte markiert. Diese erschütternde Summe, etwa viermal so groß wie der bisherige Rekord, bewegte sich in einer Flut von unautorisierten Transaktionen über mehrere Blockchains hinweg. Das schiere Ausmaß deutet auf einen Angreifer mit tiefem Zugriff hin, nicht nur auf einen opportunistischen Hack.
Ermittler vermuten, dass der Einbruch mit dem Laptop eines einzigen kompromittierten Ingenieurs begann – ein scheinbar harmloser Ausgangspunkt für einen derart massiven Diebstahl. Dieser erste Stützpunkt bot einen Einstiegspunkt in die interne Infrastruktur von Binance und ermöglichte es dem Angreifer, die Signierungssysteme zu manipulieren, ohne direkt private keys preiszugeben. Dieser Unterschied ist entscheidend: Die Keys blieben auf ihren jeweiligen Maschinen sicher, aber das System, das zu ihrer Verwendung autorisiert war, wurde kompromittiert.
Binance beschrieb einen Einbruch in eine DevOps-Maschine sowie "zusätzliche Einbruchspunkte", was auf einen komplexen, mehrstufigen Angriff hindeutet. Forensische Berichte stehen noch aus, aber die gemeldeten Ergebnisse deuten darauf hin, dass der Angreifer die eigenen Systeme von Binance dazu zwang, willkürliche Transaktionen zu signieren. Dies ermöglichte das schnelle Leeren von Hot Wallets und demonstriert eine ausgeklügelte Ausnutzung interner operativer Kontrollen.
Die Keys blieben möglicherweise an ihrem Platz – das Signierungssystem nicht
Binance verwendet gemeinsam genutzte Hot Wallets für Kundenauszahlungen, eine gängige Praxis bei Börsen. Jede Überweisung erfordert eine Signatur durch einen private key, doch Binance fand keine Beweise für eine Exfiltration von Keys. Dieser Unterschied ist kritisch: Der Angreifer stahl die Keys nicht; er zwang die eigenen Systeme von Binance dazu, illegale Transaktionen zu signieren.
Eine Sicherheitsfirma hat Berichten zufolge 11 verschiedene Keys zurückverfolgt, die Überweisungen an den Angreifer signierten, was auf eine systemische Kompromittierung und nicht auf ein einzelnes Key-Leck hindeutet. Dies deutet auf einen weitaus heimtückischeren Angriffsvektor hin als einfachen Diebstahl von Zugangsdaten. Der Angreifer soll typische Sicherheitsvorkehrungen durch die Manipulation der internen Infrastruktur von Binance umgangen haben.
Die Angreifer haben wahrscheinlich interne Dienste oder Container kompromittiert und das vertrauenswürdige Signierungssystem von Binance effektiv in einen unwissenden Komplizen verwandelt. Sie konnten dann gültige Signaturen von den eigenen Systemen von Binance anfordern, was es ihnen ermöglichte, willkürliche Transaktionen zu autorisieren. Dies erlaubte es ihnen, Hot Wallets zu "leeren" und Gelder abzuziehen, ohne jemals direkt im Besitz der privaten Keys zu sein.
Auf Ethereum bereitete der Angreifer 50 vorab signierte Autorisierungsnotizen vor, um Transaktions-Nonces auszunutzen. Da die Hot Wallet aktiv Kundenauszahlungen verarbeitete, schlugen 49 Versuche aufgrund einer Diskrepanz beim Zähler fehl. Ein Versuch entsprach jedoch genau der Sequenz und leerte die Wallet bis auf einen Rest von 1 ETH. Dieser raffinierte Missbrauch des Signierungsprozesses unterstreicht einen tiefgreifenden Vertrauensbruch in das System selbst.
Fünfzig Versuche, eine Nonce und eine Wallet mit einem Rest von 1 ETH
Die Angreifer sahen sich einem beweglichen Ziel gegenüber. Ethereum-Transaktionen tragen jeweils eine nonce, einen sequenziellen Wert, der als Transaktionszähler fungiert. Da die Hot Wallet weiterhin Kundenauszahlungen verarbeitete, änderte sich ihre Nonce ständig, wodurch jede vorab signierte Autorisierung ungültig wurde, wenn ihr erwarteter Nonce-Wert veraltet war.
Ihre gemeldete Taktik war eine Brute-Force-Eleganz: Vorbereitung von 50 vorab signierten Autorisierungen. Von diesen verfehlten 49 Versuche Berichten zufolge die korrekte Nonce, während der Zähler voranschritt. Einer jedoch stimmte präzise überein und ermöglichte eine Leerung, die die Wallet bis auf einen Rest von lediglich 1 ETH entleerte.
Dieser ausgeklügelte Angriff nutzte Berichten zufolge EIP-7702, einen Vorschlag, der es externally owned accounts ermöglicht, vorübergehend ein Smart-Contract-ähnliches Verhalten zu delegieren. Diese Delegation könnte komplexe Aktionen, wie einen programmatischen Abzug, direkt von der Hot-Wallet-Adresse aus ermöglichen und dabei standardmäßige Multi-Signature-Kontrollen umgehen. Solche Fähigkeiten unterstreichen, warum eine robuste Transaktionsvalidierung und strenge interne Kontrollen von größter Bedeutung sind. Weitere Einzelheiten zu dem Sicherheitsvorfall finden Sie unter Binance Links $6.3 Billion Crypto Theft to Compromised DevOps Laptop.
Gefällt Ihnen der Artikel? Erhalten Sie jeden Morgen einen wie diesen per E-Mail.
eine E-Mail pro Tag · Abmeldung mit zwei Klicks · kein Tracking durch Dritte
Das Einfrieren von Milliarden konnte nicht jede Münze zurückholen
Dann kam das Einfrieren: Schätzungsweise 2,7 bis 3 Milliarden US-Dollar an zentralisierten Token wurden Berichten zufolge unerreichbar. Emittenten wie Tether und Circle setzten gestohlene Vermögenswerte schnell auf die schwarze Liste und froren über 1,5 Milliarden US-Dollar in USDT bzw. 800 Millionen US-Dollar in USDC ein. Auch der Sicherheitsrat von Ripple und Arbitrum fror die verbleibenden Stablecoin-Guthaben ein, was die inhärente Zentralisierung und die Interventionsmöglichkeiten dieser Vermögenswerte demonstriert.
Doch die verbleibenden 2,4 Milliarden US-Dollar erwiesen sich als weitaus schwerer zu fassen. Vermögenswerte wie ETH und BTC, die konvertiert und auf dezentrale Basisschichten übertragen wurden, entzogen sich dem Zugriff des Einfrierbefehls einer einzelnen Instanz. Diese deutliche Trennung unterstreicht den anhaltenden Kompromiss bei Kryptowährungen: Zentralisierte Token bieten Wiederherstellungsoptionen, während dezentrale Vermögenswerte die Zensurresistenz wahren.
Tracing-Firmen schrieben den ausgeklügelten Angriff schnell nordkoreanisch verknüpften Akteuren zu. Binance verpflichtete sich seinerseits, alle Verluste aus eigenen Mitteln zu decken, pausierte betroffene Dienste und versprach eine umfassende technische Nachbetrachtung. Der Vorfall unterstreicht ein kritisches Paradoxon: Auch wenn einige Krypto-Assets eine unveränderliche Dezentralisierung versprechen, bleibt die Infrastruktur, die sie sichert, ein verlockendes Ziel für hochgradig organisierte, staatlich geförderte Bedrohungen.
Häufig gestellte Fragen
Wie funktionierte der Binance-Hack Berichten zufolge?
Ermittler geben an, dass die Angreifer möglicherweise interne Systeme kompromittiert und die autorisierte Signaturinfrastruktur von Binance genutzt haben, um bösartige Übertragungen zu genehmigen, anstatt direkt die privaten Schlüssel der Wallet zu stehlen.
Warum bereitete der Angreifer 50 signierte Autorisierungen vor?
Der Transaktionszähler der Wallet, oder Nonce, änderte sich ständig, während Auszahlungen verarbeitet wurden. Berichten zufolge bereitete der Angreifer mehrere Versuche vor, damit einer davon mit dem exakten Wert des Zählers übereinstimmen konnte.
Warum konnten einige gestohlene Kryptowerte eingefroren werden, aber nicht alle?
Zentralisierte Token-Emittenten können einige Vermögenswerte, wie etwa Stablecoins, auf eine schwarze Liste setzen. Native Vermögenswerte wie ETH und BTC haben keinen einzelnen Emittenten mit derselben Fähigkeit, sie einzufrieren.
Hat Binance gesagt, dass Benutzergelder erstattet werden?
Binance erklärte, dass es die Verluste mit eigenen Mitteln, einschließlich seines SAFU-Fonds, decken werde, während es den Vorfall untersuche und an der Wiederherstellung der betroffenen Dienste arbeite.