Laut Elliptic haben mit Nordkorea verbundene Geldwäscher Wegwerf-Memecoins geschaffen, um etwa 430.000 US-Dollar aus dem 6,4 Milliarden US-Dollar schweren Binance-Hack über dezentrale Exchange-Pools zu verschieben.
Zusammenfassung
- Die Geldwäscher erstellten sechs NEAR-Token und leiteten gestohlene Gelder über ihre eigenen Liquiditätspools.
- Elliptic zufolge können Auszahlungen aus Pools wie Handelserlöse wirken, obwohl die Transaktionen nachverfolgbar bleiben.
- Ermittler haben die Geldwäsche über mehr als 20.000 Wallets auf 16 Blockchains verfolgt.
- Tornado Cash hat seit dem 8. November etwa 7.000 ETH erhalten, die mit dem Diebstahl in Verbindung stehen.
Elliptic erklärte in einem am 9. November von Tom Robinson veröffentlichten Bericht, die Betreiber hätten zwischen dem 5. und 7. November FUK, OLCCL, MEILI, MMLI, DABI und SINU geprägt. Die Erstellung jedes einzelnen habe etwa 25 NEAR oder 90 US-Dollar gekostet.
Die Betreiber paarten ihre Token in separaten Handelspools mit NEAR und leiteten dann etwa 117.000 gestohlene NEAR durch diese hindurch. Ähnliche Aktivitäten traten auf Tron auf, während eine damit verbundene Solana-Route bereits bestehende, dünn gehandelte Token nutzte.
Memecoin-Pools lassen Überweisungen wie Handelsgeschäfte aussehen
Laut Robinsons Darstellung kaufte eine Gruppe von Wallets die Token mit gestohlener Kryptowährung, während eine andere Gruppe Token in denselben Pool verkaufte und die tatsächlichen Vermögenswerte einnahm. Mit dem Pool zwischen ihnen transferierten die Wallets keine Gelder direkt.
Die empfangenden Konten konnten folglich wie Händler wirken, die Gewinne mitnehmen. Robinson warnte, dass Compliance-Teams nicht davon ausgehen sollten, dass Gelder sauber seien, nur weil sie aus einem Liquiditätspool stammen.
„Die Spur kann weiterhin on-chain verfolgt werden“, heißt es in dem Bericht.
Die Technik ist älter als dieser Diebstahl: Elliptic identifizierte ihre Verwendung nach dem Bybit-Hack von 2025. Ihre erklärte Wirkung besteht darin, Ermittler zu verzögern, wobei billig erstellte Token nach der Verwendung verworfen werden.
Binance-Geldwäsche erreicht Tornado Cash
Elliptics separater Geldwäsche-Tracker, aktualisiert am 9. November um 13:15 UTC, bezifferte die Operation auf mehr als 20.000 Wallets auf 16 Blockchains. Seine Zählung umfasste mindestens 36 Dienste und 65.000 Transaktionen.
Seit dem 8. November haben mit dem Diebstahl verbundene Wallets etwa 7.000 ETH im Wert von 15 Millionen US-Dollar in Tornado Cash eingezahlt. Einige Einzahlungen stammten von Bitcoin, der bereits Coinjoin-Transaktionen durchlaufen hatte, bevor er wieder in ETH umgewandelt wurde.
Über die gesamte Operation hinweg hatten sich rund 3.000 BTC im Wert von 225 Millionen US-Dollar nach Umwandlungen aus anderen gestohlenen Vermögenswerten in neuen Adressen angesammelt. Die wichtigsten Bitcoin- und Ether-Bestände hatten sich dem Tracker zufolge nicht bewegt.
Etwa 3 Milliarden US-Dollar verblieben auf mit dem Diebstahl verbundenen Adressen, während 2,85 Milliarden US-Dollar eingefroren wurden. Elliptic schätzte, dass wahrscheinlich nur ein vernachlässigbarer Betrag ausbezahlt worden war.
Dem Tracker zufolge schrieb das FBI den Diebstahl am 31. Oktober TraderTraitor zu und forderte Dienste, einschließlich THORChain-Betreiber, auf, verbundene Transaktionen zu blockieren.
Binance führte die Sicherheitsverletzung auf Mitarbeitercomputer zurück
Der Bericht von Binance vom 3. November beschrieb ein monatelanges Eindringen unter Beteiligung von Entwicklersoftware, gefälschten Bewerbungsgesprächen und Zugriff auf interne Systeme, wie crypto.news zuvor berichtete.
Im Juni hatte eine frühere Begegnung mit einer manipulierten Homebrew-Installation die Rolle eines Ingenieurs und dessen Kollegen offengelegt, so die Börse.
Während eines Bewerbungsprozesses im September lud ein Ingenieur ein Aufgaben-Repository auf einen Arbeitscomputer herunter. Laut der Börse ersetzte bösartiger Code ein legitimes Entwicklungswerkzeug und entging der Erkennung durch ihre Endpoint-Sicherheitssysteme.
Am 20. Oktober nutzte der Angreifer den kompromittierten Computer und ein internes KI-Tool, um auf die Maschinen zweier Wallet-Ingenieure zuzugreifen. Gestohlene Container-Deployment-Anmeldedaten ermöglichten anschließend den Zugriff auf Wallet-Signierungsvorgänge.
Die Börse bezifferte die Auswirkungen auf 6,34 Milliarden US-Dollar und erklärte, sie habe mehr als den vollen Betrag zurückgelegt, um Verluste abzudecken.
Separate technische Erkenntnisse beschrieben, wie bösartige EIP-7702-Berechtigungen es einer Ethereum-Wallet ermöglichten, angreifergesteuerten Code auszuführen. Blockaid identifizierte 50 Autorisierungen, die in einer Transaktion eingereicht wurden, wobei eine erfolgreich mit dem Transaktionszähler der Binance-14-Wallet übereinstimmte.
Da die Wallet aktiv Auszahlungen verarbeitete, änderte sich ihr Zähler fortlaufend. Blockaid erklärte, die Autorisierungen hätten aufeinanderfolgende Zählerwerte abgedeckt, wodurch der Angreifer mehrere Chancen erhielt, den Wert bei Ausführung der Transaktion zu treffen.
Die ersten Untersuchungen von Binance ergaben, dass keine Hinweise darauf gefunden wurden, dass ein privater Schlüssel der Wallet preisgegeben wurde.
Eingefrorene Arbitrum-Gelder erfordern eine Governance-Abstimmung
Zu den Wiederherstellungsbemühungen gehört ein am 5. November gestellter Antrag auf Rückgabe eingefrorener Vermögenswerte, bestehend aus 8.425,997 ETH und 74,56 Millionen ARB, die auf Arbitrum immobilisiert sind.
Der Sicherheitsrat des Netzwerks führte vorübergehend ein Upgrade eines Vertrags durch, um die Vermögenswerte auf eine eingefrorene Adresse zu verschieben, und stellte anschließend die ursprüngliche Implementierung wieder her. Eine erneute Verschiebung dieser Guthaben erfordert die Genehmigung der DAO.
Binance schlug vor, die bestehenden eingefrorenen Vermögenswerte durch ein vorübergehendes Vertrags-Upgrade zurückzugeben, ohne eine neue Zuweisung aus der Treasury zu beantragen. Laut dem Vorschlag könnten die wiederhergestellten Vermögenswerte die mit dem Vorfall verbundenen Kosten decken und Reserven wieder auffüllen, die bereits zur Entschädigung von Kunden verwendet wurden.
Die Börse schätzte sieben Wochen oder länger für Diskussion, Abstimmung und Ausführung. Ihr vorgeschlagener Zeitplan umfasste eine Woche Forumsdiskussion, eine einwöchige Stimmungslage-Prüfung, eine zweiwöchige Onchain-Abstimmung und etwa 18 weitere Tage bis zur Ausführung nach der Genehmigung.
