Hacker erbeuten bei Binance 6,3 Milliarden Dollar, das meiste in 20 Minuten

Binance, die größte Kryptowährungsbörse der Welt, hat rund 6,3 Milliarden Dollar an Hacker verloren, die ihre Online-Wallets auf zehn Blockchains leerräumten – den Großteil davon innerhalb von etwa 20 Minuten. Damit ist es der größte bekannte Krypto-Diebstahl und etwa viermal so viel wie beim bisherigen Rekord: Damals wurden der konkurrierenden Börse Bybit 1,5 Milliarden Dollar gestohlen. Binance hat Auszahlungen gestoppt und untersucht, wie die Angreifer eindringen konnten. Wer Coins auf der Plattform hält, kann sie deshalb vorerst nicht abziehen.

Die Börse erklärt, dass ihre Kunden nicht für den Verlust aufkommen müssen. „Binance wird alle Verluste aus dem SAFU-Fonds und den Mitteln des Unternehmens decken. Die Kundengelder sind sicher“, heißt es in einer Stellungnahme. Gemeint ist der Secure Asset Fund for Users, eine Notfallreserve für genau solche Fälle. Einzahlungen funktionieren wie gewohnt. Das Problem ist der Zugriff: Solange Auszahlungen nicht wieder möglich sind, kann man zwar den Kontostand bei Binance ansehen, aber sein Geld nicht anderswohin bewegen. Genau dieses Risiko geht ein, wer Kryptowährungen bei einer Börse statt in einer selbst kontrollierten Wallet aufbewahrt.

Binances erste Erklärung deutete auf einen einzelnen Rechner hin. Die vorläufige Untersuchung legte nahe, dass ein Angreifer über den Laptop eines kompromittierten DevOps-Ingenieurs Zugriff auf einen Service-Container erhielt und nicht autorisierte Auszahlungsaufträge einreichen konnte. Wenige Stunden später zeichnete das Unternehmen ein umfassenderes Bild: Man habe „weitere Einfallstellen entdeckt“ und es mit einem komplexen Angriff zu tun. Co-CEO Richard Teng schrieb, „der Angreifer hat nicht einfach die Berechtigungen eines einzelnen Ingenieurs genutzt, und es handelte sich nicht um eine einmalige Aktion mit nur einem Klick“. Binance zufolge gibt es keine Hinweise darauf, dass ein privater Wallet-Schlüssel durchgesickert ist.

Externe Ermittler beschreiben einen im Voraus einstudierten Coup. Das Blockchain-Analyseunternehmen TRM Labs verfolgte, wie rund 6,36 Milliarden Dollar die Binance-Wallets auf Ethereum, Bitcoin, Tron, dem XRP Ledger, Solana und fünf weiteren Netzwerken verließen. Außerdem fand es Hinweise auf Testläufe des Angriffscodes auf anderen Wallets – Stunden vor dem Diebstahl. Da Wallets mit unterschiedlichen Schlüsseltypen und Signaturverfahren dem Angreifer innerhalb von etwa einer halben Stunde gültige Signaturen lieferten, kommt TRM zu dem Schluss, dass der Angreifer wahrscheinlich die Möglichkeit erlangte, Binances eigenes Signatursystem dazu zu bringen, von ihm ausgewählte Transaktionen zu genehmigen.

TRM schreibt den Angriff mit hoher Sicherheit TraderTraitor zu, einer staatlichen nordkoreanischen Hackergruppe, die das FBI für den Diebstahl bei Bybit verantwortlich machte. Chainalysis kam zum selben Schluss. Binance selbst hat keinen Täter benannt.

Schon wenige Minuten nach dem Angriff begann ein Wettlauf, um das Geld einzufrieren. Die Unternehmen, die Stablecoins ausgeben, können diese sperren – und genau das geschah: Tether fror rund 1,77 Milliarden USDT ein, Circle etwa 825 Millionen USDC und Ripple 40,5 Millionen RLUSD. Zudem zwang der Security Council von Arbitrum laut TRM rund 30 Millionen Dollar aus der Wallet des Angreifers in seinem Netzwerk. Binance beziffert die insgesamt eingefrorene Summe auf etwa 3 Milliarden Dollar. Für Bitcoin und Ether gibt es keinen Herausgeber, der die Coins sperren könnte. Deshalb tauschte der Angreifer Stablecoins hastig in Ether um und verkaufte einen Teil davon mit einem Abschlag von mehr als 10 Prozent, um sie dem Zugriff zu entziehen.

Bei den Beschwichtigungen wird es allerdings dünn. TRM schätzt, dass der Angreifer weiterhin mehr als 420.000 ETH und 18.270 BTC kontrolliert – zusammen etwa 2,4 Milliarden Dollar, die niemand einfrieren kann. Die nächsten Schritte dürften über Cross-Chain-Bridges, Tauschdienste und außerbörsliche Broker laufen. Binance hat nicht mitgeteilt, welcher Anteil der Notfallreserve durch den Verlust aufgezehrt wird, und auch keine Ursache des Angriffs veröffentlicht. Vorerst beruht das Versprechen, die Kundengelder seien sicher, auf dem Wort des Unternehmens. Und „weitere Einfallstellen“ entdeckt zu haben, ist nicht dasselbe, wie einen Angriff unter Kontrolle gebracht zu haben.

Börsen sind attraktive Ziele, weil sie Coins für ihre Kunden in Hot Wallets verwahren, die mit dem Internet verbunden sind, damit Auszahlungen schnell abgewickelt werden können. Bitget verlor im vergangenen Monat bei einem Angriff 387,5 Millionen Dollar, für den die Börse ebenfalls Nordkorea verantwortlich machte. Auch der Gesamtmarkt bekam die Folgen zu spüren: Bitcoin und Ether gaben nach Bekanntwerden der Nachricht nach und notierten am Mittag in Hongkong laut CNN rund 2 bis 3 Prozent im Minus.

Die Unterbrechung bietet auch Betrügern eine Gelegenheit. Binance hat seine Kunden aufgefordert, „bei Betrugsversuchen wachsam zu bleiben“ und „inoffiziellen Links, Nachrichten oder Anfragen nach Kontoinformationen nicht zu vertrauen“. Die Börse hat kein Verfahren zur Rückerstattung oder Wiederbeschaffung angekündigt, bei dem Passwörter, Verifizierungscodes oder Wallet-Daten abgefragt werden. Eine Nachricht, die verspricht, eine Auszahlung zu beschleunigen, ist daher Betrug – ganz gleich, welches Logo sie trägt. Binance hat nicht mitgeteilt, ob Auszahlungen in einzelnen Ländern oder Netzwerken zuerst wieder möglich sein werden.

Auszahlungen sind seit etwa 22:15 Uhr UTC am 29. Oktober ausgesetzt. In einer Mitteilung am Morgen des 30. Oktober erklärte Binance, man liege weiterhin im Zeitplan, um sie in etwa 45 Stunden wieder aufzunehmen. Das deutet auf den frühen Sonntag, den 1. November, hin. Ob alle Netzwerke gleichzeitig wieder freigeschaltet werden, hat das Unternehmen jedoch nicht gesagt. Binance hat angekündigt, nach Abschluss der Reparaturen einen aktualisierten Proof of Reserves zu veröffentlichen und nach Ende der Untersuchung einen technischen Abschlussbericht vorzulegen.

Bis dahin bittet die größte Kryptobörse ihre Kunden um genau das, was Kryptowährungen eigentlich überflüssig machen sollten: Vertrauen.

Schlagwörter: Cybersicherheit, Kryptowährungen, Binance, Bybit, Richard Teng, TraderTraitor