Binance erklärte am 3. November, dass Hacker gefälschte Vorstellungsgespräche, Schadsoftware und ein kompromittiertes internes KI-Tool genutzt hätten, um am 29. Oktober auf seine Wallet-Systeme zuzugreifen und 6,34 Milliarden US-Dollar zu stehlen.
Zusammenfassung
- Die Angreifer nutzten kompromittierte Mitarbeitercomputer und gestohlene Deployment-Anmeldedaten, um Zugang zur Wallet-Signaturinfrastruktur von Binance zu erlangen.
- Bösartige Ethereum-Autorisierungen ermöglichten weitere Transfers, nachdem Binance seine regulären Auszahlungsdienste ausgesetzt hatte.
- Binance gibt an, dass etwa 2,85 Milliarden US-Dollar eingefroren oder abgefangen wurden, wobei die Verluste der Kunden gedeckt sind.
- Experten erwarten eine stärkere Nachfrage nach Verwahrungsschutzmaßnahmen und warnen zugleich, dass regulierte Plattformen weiterhin Risiken ausgesetzt sind.
Laut dem ersten Vorfallbericht von Binance entwickelte sich der Angriff über mehrere Monate und kombinierte die Täuschung von Mitarbeitern mit kompromittierter Software und unbefugtem Zugriff auf interne Systeme.
Die Börse erklärte, sie habe bis zum 31. Oktober 98 % der betroffenen Token-Vermögenswerte wieder aufgefüllt und kaufe die verbleibenden, weniger liquiden Kryptowährungen auf. CEO Richard Teng sagte, die Auszahlungen seien weitgehend wieder aufgenommen worden und die Nutzer würden keine Verluste erleiden.
Binance-Angreifer bewegten sich von Entwicklerwerkzeugen zu Wallet-Systemen
Der Bericht führt eine frühe Begegnung auf Juni zurück, als ein Wallet-DevOps-Ingenieur bei der Suche nach einem KI-Codierungswerkzeug eine manipulierte Homebrew-Installation herunterlud. Sicherheitsmitarbeiter erkannten die Anomalie, ersetzten das Gerät und rotierten die zugehörigen Anmeldedaten.
Binance erklärte jedoch, die Begegnung habe die Rolle des Ingenieurs und seiner Kollegen, die an der Wallet-Infrastruktur arbeiteten, offengelegt.
Im September wurde ein zweiter Ingenieur über eine legitime Rekrutierungsplattform von jemandem angesprochen, der sich als Projektleiter ausgab. Auf ein Videointerview mit einem angeblichen Personalvertreter folgte ein weiteres Interview mit dem vermeintlichen CEO eines fiktiven Unternehmens.
Gegen Ende wurde der Ingenieur angewiesen, ein Aufgaben-Repository auf einen Arbeitscomputer herunterzuladen. Während der Einrichtung lief bösartiger Code und ersetzte das legitime Entwicklungswerkzeug pyenv durch eine kompromittierte Version.
Binance beschrieb die Schadsoftware als zuvor von seinen Endpoint-Sicherheitswerkzeugen unentdeckt und erklärte, sie habe Aktivitäten verschleiert und Spuren beseitigt.
Am 20. Oktober nutzte der Angreifer den kompromittierten Computer und ein internes KI-Tool, um die Kontrolle über die Computer zweier Wallet-Ingenieure zu erlangen. Einer davon enthielt ein Container-Deployment-Token.
Tage später, am 29. Oktober, nutzte der Angreifer diese gestohlenen Anmeldedaten, um einen Container bereitzustellen und ein bösartiges Skript auszuführen, das die Wallet-Signaturvorgänge erreichte.
Ethereum-Berechtigungen hielten Transfers nach dem Auszahlungsstopp aufrecht
Laut dem Bericht transferierten fünf Hot Wallets von Binance zwischen 20:05 und 20:09 UTC am 29. Oktober 233,46 Millionen XRP an eine vom Angreifer kontrollierte Adresse. Andere Wallets sendeten etwa 970.500 SOL, 44,2 Millionen OP und 18.270 BTC.
Der Angreifer nutzte dann den Signaturdienst, um über den EIP-7702-Mechanismus von Ethereum bösartige Berechtigungen einzurichten, der es einer Wallet ermöglicht, die Ausführung an Smart-Contract-Code zu delegieren.
Frühere Erkenntnisse zum Wallet-Angriff erklärten, wie der Angreifer die EIP-7702-Funktion von Ethereum nutzte, um einem bösartigen Smart Contract die Berechtigung zu erteilen, Gelder von Binances Hot Wallet namens Binance 14 zu bewegen.
Binance erklärte, dass die Aussetzung von Auszahlungen bereits auf Ethereum eingerichtete Berechtigungen nicht ungültig machen konnte. Seine Multiparty-Computation-Wallet erforderte ein spezielles Verfahren, um sie zu widerrufen, da kein einzelner privater Schlüssel für einen sofortigen Widerruf verfügbar war.
Die letzte unbefugte Überweisung über 2.961,9 ETH wurde um 23:56 UTC abgeschlossen, nachdem sie zuvor gesendet worden war und ausstehend geblieben war. Binance löschte die Delegation von Binance 14 um 00:10 UTC am 30. Oktober.
In einer Warnmeldung vom 31. Oktober schrieb das FBI den Diebstahl der TraderTraitor-Aktivität Nordkoreas zu. Die Behörde erklärte, sie arbeite mit dem U.S. Secret Service und der Criminal Investigation des IRS zusammen und forderte Dienstanbieter auf, Transaktionen im Zusammenhang mit identifizierten Adressen zu blockieren.
Experten sehen die Adoption weiter voranschreiten, mit Fokus auf Verwahrungsschutz
Joe Sticco, Mitbegründer und CEO von Cryptex Finance, sagte gegenüber crypto.news, er erwarte nicht, dass der Vorfall einen jahrelangen Rückschlag für die Adoption verursachen werde.
Er verwies auf Maßnahmen von Tether, Circle und DeFi-Protokollen zur Einfrierung betroffener Vermögenswerte als Beleg dafür, dass Marktteilnehmer bei größeren Störungen koordiniert handeln könnten. Sticco erwartet, dass der Vorfall die Nachfrage nach regulierten Börsen und stärkeren Verwahrungspraktiken, einschließlich Cold Storage, erhöhen könnte.
James Butterfill, Leiter der Forschung bei CoinShares, betonte die rechtlichen Schutzmaßnahmen im Zusammenhang mit der Verwahrung.
„Der Vorfall verdeutlicht, warum der rechtliche Rahmen für die Verwahrung von Bedeutung ist. MiCA bietet wesentlich stärkere Schutzmaßnahmen für Kunden autorisierter Einrichtungen wie Coinbase Luxembourg, einschließlich der Trennung von Kundenvermögen und der Haftung für Verwahrungsverluste, die durch dem Anbieter zurechenbare Vorfälle verursacht werden“, sagte Butterfill gegenüber crypto.news.
„Diese Schutzmaßnahmen stärken die Rechenschaftspflicht, aber eine Autorisierung kann nicht jeden Hack verhindern, Anleger nicht vor Marktverlusten schützen oder ein allgemeines Anlegerentschädigungssystem bereitstellen.“
Butterfill fügte hinzu, dass regulierte Krypto-Verwahrung stärkere Schutzmaßnahmen bietet, ohne dass Bestände Bankeinlagen gleichgestellt werden, die durch ein Einlagensicherungssystem gedeckt sind.
Binance baut betroffene Systeme wieder auf und beauftragt Überprüfungen
Binance erklärte, dass etwa 2,85 Milliarden US-Dollar eingefroren oder abgefangen worden seien, vorbehaltlich Abstimmung und Marktpreisänderungen. Die frühere Wiederherstellungszusage des Unternehmens habe mehr als den vollständigen geschätzten Verlust für die Ersetzung betroffener Vermögenswerte bereitgestellt.
Die Börse erklärte, sie habe die betroffene Wallet-Umgebung und das interne KI-Tool wieder aufgebaut, kompromittierte Geräte ersetzt, Zugangsdaten außer Betrieb genommen und Mitarbeitergeräte gescannt.
Binance beauftragt unabhängige Cybersicherheitsfirmen mit der Überprüfung des Vorfalls und plant erhöhte Ausgaben für Entwicklersicherheit, Endpoint-Schutz und Verhaltensüberwachung.
