Binance verweist auf gehacktes Laptop eines Ingenieurs bei 6,3-Mrd.-Dollar-Brechung

Update (30. Okt., 2:44 Uhr UTC): Dieser Artikel wurde aktualisiert, um Binance’ vorläufige Untersuchung der Sicherheitsverletzung einzubeziehen.

Binance erklärte, die erste Untersuchung der mehrere Milliarden Dollar umfassenden Krypto-Brechung habe auf ein kompromittiertes Laptop eines DevOps-Ingenieurs hingewiesen.

Die Börse erklärte, die Kompromittierung des Laptops habe einem Angreifer möglicherweise Zugriff auf einen Dienst-Container und die Einreichung unbefugter Auszahlungstransaktionen ermöglicht. Es gebe keine Hinweise auf einen Leak privater Wallet-Schlüssel, doch die Untersuchung laufe weiter.

Ben-Natan sagte am Donnerstag gegenüber Cointelegraph, Blockaids vorläufige Einschätzung deute ebenfalls auf „Missbrauch von Schlüsseln“ hin, bei dem Angreifer ein Signiersystem täuschen oder kompromittieren, um schädliche Transaktionen zu autorisieren – ohne den zugrundeliegenden privaten Schlüssel zu extrahieren.

„Es scheint … eine Kompromittierung der Signierinfrastruktur zu sein. Wir glauben nicht, dass ein Schlüssel geleakt wurde“, sagte er.

Ben-Natans Einschätzung stützte sich auf Blockaids Erfahrung mit ähnlichen Angriffen und Beobachtungen der Onchain-Aktivität.

Binance schätzt Schaden auf 6,3 Mrd. USD, friert rund 3 Mrd. USD ein

Binance beziffert den geschätzten Gesamtschaden nun auf rund 6,3 Mrd. US-Dollar und teilte mit, mit Blockchain-Partnern zusammenzuarbeiten, um etwa 3 Mrd. US-Dollar betroffener Vermögenswerte onchain einzufrieren.

Die Börse erklärte, alle Verluste aus ihrem Secure Asset Fund for Users (SAFU) sowie aus Unternehmensmitteln zu decken; Kundengelder seien sicher. Zudem versprach sie, einen aktualisierten Proof of Reserves zu veröffentlichen.

Binance setzte Ein- und Auszahlungen vorübergehend aus, während Sicherheitsprüfungen liefen, und entzog die Autorisierung für die betroffene Adresse. Sie arbeitet mit Strafverfolgungsbehörden und Blockchain-Intelligence-Partnern zur Rückverfolgung und Wiederbeschaffung der Mittel zusammen.

Die Börse kündigte an, nach Abschluss der Untersuchung und vollständiger Faktenprüfung einen detaillierten technischen Post-Mortem zu veröffentlichen.

Blockaid identifiziert bösartige Wallet-Delegation

In seiner Onchain-Analyse, veröffentlicht auf X, erklärte Blockaid, der Angreifer habe 50 EIP-7702-Autorisierungen in einer einzigen Transaktion gegen Binance 14 gebündelt. Eine Autorisierung habe angeblich die erforderliche Nonce des Kontos erfüllt und sei daher akzeptiert worden.

EIP-7702 erlaubt es einem Konto, die Ausführung an Smart-Contract-Code zu delegieren. Blockaid zufolge wurde das betroffene Konto einem nicht verifizierten Sweeper-Vertrag delegiert, der einem autorisierten Operator das Abziehen von Token und Ether ermöglichte.

Ben-Natan erklärte gegenüber Cointelegraph, der Vorfall könnte mehrere kompromittierte Geräte und Bewegung innerhalb des Binance-Netzwerks umfasst haben.

Vor Binance’ jüngstem Update hatte Arkham-Chef Miguel Morel gegenüber Cointelegraph erklärt, es gebe noch unzureichende Informationen, um zu klären, ob der Angriff gestohlene Schlüssel oder kompromittierte Infrastruktur involvierte.

„Soweit wir das beurteilen können, scheint der Angriff noch andauern“, sagte er damals.

Nordkorea, Bybit-Vergleich

Auf die Frage, ob die mutmaßliche Manipulation der Signierung dem Bybit-Angriff vom Februar 2025 ähnelte, bezeichnete Ben-Natan die Vorfälle als „sehr, sehr ähnlich“.

Dort hatte Bybits veröffentlichtes forensisches Update berichtet, dass Angreifer die Zugangsdaten eines Safe-Entwicklers kompromittiert, auf die Infrastruktur des Wallet-Anbieters zugegriffen und Unterzeichner zur Genehmigung einer schädlichen Transaktion getäuscht hatten.

Ben-Natan erklärte zudem, die Aktivität ähnele Operationen, die mit Nordkorea in Verbindung gebracht werden, wobei er Blockaids Vertrautheit mit solchen Angriffen nannte. Er verwies auf ausgefeilte onchain-Vorbereitungen, betonte aber, dass die Zuordnung weiterhin unbestätigt sei.

Binance hat die Angreifer nicht identifiziert und erklärte, mit Strafverfolgungsbehörden zusammenzuarbeiten, um deren Identität zu ermitteln.

Magazin: Tampered Ledger berichtete einen Monat vor der Nachrichtenveröffentlichung in Singapur: Asia Express