Binance gibt an, im Jahr 2026 57 mutmaßliche Cyberbedrohungen mit möglichem Nordkorea-Bezug blockiert und 98 % der bei seinem Hack in Höhe von 6,34 Milliarden Dollar gestohlenen Token ersetzt zu haben.
Zusammenfassung
- Binance entdeckte unter den mutmaßlichen Bedrohungen Rekrutierungsbetrug, schädliche Entwicklertools und gefälschte Videokonferenz-Apps.
- Yi He räumte die schwerwiegenden Kosten des Angriffs ein, der die Verteidigungslinien der Börse umgangen hatte.
- Die Börse gibt an, weiterhin weniger liquide Token zu kaufen, um die Wiederauffüllung der Vermögenswerte abzuschließen.
- US-Ermittler haben den Diebstahl vom 29. Oktober der nordkoreanischen TraderTraitor-Aktivität zugeschrieben.
Binance-Mitbegründer und Co-CEO Yi He skizzierte die versuchten Eindringlinge in einem Beitrag auf X vom 3. November und teilte die Erkenntnisse der Börse zu dem Sicherheitsvorfall vom 29. Oktober.
Ihr Bericht beschrieb wiederholte Versuche, Mitarbeiter über Rekrutierung, Software-Downloads und Social Engineering zu erreichen. Zu den Techniken gehörten betrügerische Vorstellungsgespräche, kompromittierte Softwarepakete und Browser-Erweiterungen sowie schädliche Programme, die als beliebte Entwicklertools getarnt waren.
Gefälschte Videokonferenz-Anwendungen waren ein weiterer Weg, neben Kampagnen, die darauf abzielten, Anmeldedaten zu stehlen oder Malware zu installieren, die Angreifern Fernzugriff auf einen Computer verschafft.
„Wir haben viele von ihnen abgefangen, aber die Kosten dafür, auch nur einen nicht zu stoppen, waren schwerwiegend – und das hätte niemals passieren dürfen“, schrieb Yi.
Binance beschreibt, wie ein gefälschtes Vorstellungsgespräch einen Mitarbeiter erreichte
Laut den ersten Erkenntnissen von Binance wurde ein Softwareentwickler im September über eine legitime Jobbörse von jemandem angesprochen, der sich als Projektleiter ausgab.
Ein angeblicher Personalvertreter führte ein Videointerview durch und teilte ein Social-Media-Profil mit persönlichen Fotos und Videos. Ein zweiter Interviewer, der als Chief Executive eines fiktiven Unternehmens präsentiert wurde, wies den Entwickler an, eine Aufgabe auf einen Arbeitscomputer herunterzuladen.
Binance zufolge enthielt die Aufgabe schädlichen Code, der während der Einrichtung ausgeführt wurde und der Erkennung durch die eingesetzten Endpoint-Sicherheitstools entging.
Am 20. Oktober nutzte der Angreifer den kompromittierten Computer und ein internes KI-Tool, um zwei Wallet-Entwickler zu erreichen. Die bei diesem Eindringen erlangten Anmeldedaten ermöglichten anschließend den Zugriff auf Wallet-Signierungsvorgänge.
Der Bericht der Börse beschreibt mehrere Phasen des Eindringens, wobei Yis Beitrag jedoch nicht aufschlüsselt, wie viele der 57 mutmaßlichen Fälle Rekrutierungs-Köder beinhalteten.
Frühere Erkenntnisse zur Wallet-Autorisierung führten einen Teil des Diebstahls auf Binance 14 zurück, eine Ethereum-Hot-Wallet. Blockaid identifizierte 50 eingereichte EIP-7702-Autorisierungen, von denen eine erfolgreich Ausführungsrechte an einen schädlichen Vertrag delegierte.
Binance meldet 98 % Wiederauffüllung, während Token-Käufe weiterlaufen
In seinem Bericht vom 3. November gab Binance an, dass 98 % der betroffenen Token-Vermögenswerte wieder aufgefüllt worden seien und dass das Unternehmen die verbleibenden, weniger liquiden Vermögenswerte kaufe. Das Unternehmen erklärte, es habe mehr als die zur Deckung des Verlusts erforderlichen Mittel zurückgelegt.
Wie crypto.news zuvor berichtete, öffnete Binance am 1. November die Bitcoin-Auszahlungen wieder, als Richard Teng die Wiederauffüllung auf etwa 95 % bezifferte.
Die Börse hatte BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD und ZEC als vollständig gedeckt identifiziert. In ihrer Wiederherstellungsmitteilung hieß es, die ausstehenden Token außerhalb dieser Gruppe hätten länger gebraucht, um in den erforderlichen Mengen gekauft zu werden.
Die Ersatzkäufe stützten sich laut den früheren Wiederherstellungsangaben auf den Secure Asset Fund for Users, Überschussreserven aus dem Futures Insurance Fund und die Unternehmenskasse von Binance.
Der Zugang zu Auszahlungen wurde weiterhin nach und nach für einzelne Vermögenswerte und Netzwerke wiederhergestellt. Am 3. November stellte Binance weitere Auszahlungen für 31 zusätzliche Vermögenswerte auf Ethereum und 20 auf Solana wieder her, nachdem fünf Ethereum-Stablecoins wieder geöffnet worden waren.
US-Ermittler identifizieren TraderTraitor-Aktivität
Die Cyber-Warnung des FBI vom 31. Oktober cyber alert schrieb den Diebstahl Nordkorea zu und identifizierte die Aktivität als TraderTraitor.
In Zusammenarbeit mit dem US Secret Service und der Criminal Investigation des IRS beobachtete das Bureau, dass Angreifer gestohlene Vermögenswerte hauptsächlich in Ether umwandelten. Es hieß, eine weitere Geldwäsche über dezentrale Finanzdienstleistungen und Instant-Swap-Dienste werde erwartet.
Die Behörden forderten Börsen, Blockchain-Analyseunternehmen, DeFi-Dienste und Infrastrukturbetreiber auf, Transaktionen zu blockieren, die die aufgeführten Adressen oder daraus abgeleitete Vermögenswerte betreffen.
Nordkorea bestritt am 3. November eine Beteiligung. Laut der Associated Press wies Kim Yo Jong die Anschuldigung des FBI in einer von staatlichen Medien verbreiteten Erklärung zurück.
Gestohlene Gelder gelangen in CoinJoin-Transaktionen
Eine separate Nachverfolgungsarbeit hat die Bewegung gestohlener Vermögenswerte dokumentiert, während Binance Ersatz beschafft.
Elliptic identifizierte etwa 28 BTC im Wert von 2,2 Millionen Dollar, die zwischen dem 1. November und Anfang des 2. November in 18 CoinJoin-Transaktionen eingingen. Die Bitcoin stammten aus umgewandelten gestohlenen Vermögenswerten, während die 18.270 BTC, die direkt von Binance entnommen wurden, bei dieser Bewertung in 19 Adressen verblieben.
Die Untersuchung des Unternehmens umfasste rund 12.000 Wallets, 11 Blockchains und mehr als 40.000 Transaktionen. Mit dem Diebstahl verbundene Adressen hielten schätzungsweise noch 3,24 Milliarden Dollar, hauptsächlich in Ethereum und Bitcoin.
