Die Angreifer hinter dem Binance-Hack haben 175 Millionen Dollar in gestohlenen Altcoins in etwa 2.300 BTC umgewandelt, wie das Blockchain-Analyseunternehmen Elliptic berichtet. Das zusätzliche Bitcoin stammt aus dem Tausch von Assets, die bereits beim Angriff auf die Börse am 29. Oktober erbeutet worden waren – die Umwandlungen veränderten also die Form der zuvor gestohlenen Mittel und stellten keinen neuen Diebstahl dar. Mit anderen Worten: Die Operationen verändern, wo sich die Mittel befinden und wie schwer sie zurückzuverfolgen sind – nicht aber, wie viel gestohlen wurde.

Elliptics Bericht, der am 7. November aktualisiert wurde, beschreibt umfangreiche Transfers über Tausende Wallets, mehrere Blockchains und Dutzende Dienste. Die detaillierte Tagesdokumentation des Unternehmens verfolgt zudem Bitcoin, der in Coinjoin-Transaktionen fließt – Privacy-Tools, die Coins mehrerer Nutzer zusammenführen und die Rückverfolgung erschweren.

Binance-Hack-Bericht verfolgt 175 Millionen Dollar in Bitcoin-Umwandlungen

Elliptic-Mitgründer und Chief Scientist Tom Robinson charakterisierte die Wäsche-Operation als stark automatisiert. Seine Analyse zählte mehr als 20.000 Wallets auf 16 Blockchains, mindestens 36 Dienste und 65.000 Transaktionen – ein Tempo von durchschnittlich etwa einer neuen Wallet alle 30 Sekunden und einer Transaktion alle 10 Sekunden. Diese Zahlen beschreiben aggregierte Aktivität und sind kein Beweis dafür, dass künstliche Intelligenz die Transfers steuerte.

Gestohlene Altcoins, darunter SOL, XRP und TRX, trugen zu den Bitcoin-Umwandlungen bei. Etwa 90 Millionen Dollar in SOL wurden über Swaps, Bridges und Privacy-Dienste bewegt – Token-zu-Token-Tauschgeschäfte, Transfers zwischen Blockchains und Tools, die Transaktionsspuren verschleiern sollen – wobei ein Großteil des Werts schließlich in Bitcoin umgewandelt wurde. Auch THORChain war beteiligt und ermöglichte Umwandlungen zwischen Netzwerken. Ethereum machte einen kleineren Teil der umgewandelten Assets aus, während die primären Bitcoin- und Ether-Bestände der Angreifer unbewegt blieben.

Laut dem Eintrag vom 7. November flossen etwa 88 BTC im Wert von 6,7 Millionen Dollar in Wasabi-artige Coinjoins. Diese Transaktionen kombinieren Inputs mehrerer Teilnehmer, wodurch direkte Verbindungen zwischen eingehenden und ausgehenden Bitcoins schwerer zu erkennen sind. Robinson identifizierte außerdem etwa 412.000 NEAR im Wert von 1,5 Millionen Dollar, die das Hauptkonto in kleinen Tranchen verließen. Die neu umgewandelten 2.300 BTC wurden auf separaten Bitcoin-Adressen platziert, getrennt von den bestehenden Beständen der Angreifer.

Wallet-Salden weichen ab, während Ermittler den gestohlenen Mitteln nachspüren

Eine separate Zählung der Analyseplattform Arkham zeigt einen deutlich geringeren Anstieg als Elliptics Umwandlungsschätzung. Arkhams gelabelte Entität hielt Berichten zufolge am 7. November um 10 Uhr Ostküstenzeit 18.384,725 BTC, verglichen mit den 18.270,2 BTC, die beim Binance-Hack abgeflossen waren – eine Differenz von rund 114,525 BTC, weit unter der Zahl von 2.300 BTC. Eine Arkham-Entitätsseite, die für diesen Artikel eingesehen wurde, wies laut news.bitcoin.com etwa 18.387 BTC in den gelabelten Wallets aus.

Diese Messwerte allein gleichen die beiden Plattformen nicht ab. Ein Vergleich erforderte die Zuordnung von Adressen, Zeitstempeln und Annahmen darüber, welche Wallets den Angreifern gehören. Elliptics Zahl erfasst umgewandelte, gestohlene Altcoins, während Arkhams Saldo Adressen umfasst, die unter ihrem Entitätslabel gruppiert sind. Unterschiede im Erfassungsumfang oder im Zeitpunkt könnten die Lücke erklären, wobei die verfügbaren Berichte die Ursache nicht belegen. Derartige Abweichungen sind ein wiederkehrendes Merkmal von On-Chain-Untersuchungen, da jede Analyseplattform eigene Entitätslabels und Erfassungsregeln auf dieselben zugrunde liegenden Adressen anwendet.

In dem Bericht zitierte On-Chain-Daten zeigen Bitcoin-Einzahlungen aus THORChain-Vaults und TRX-Swaps über Sun.io, ein Swap-Protokoll im TRON-Netzwerk, was auf anhaltende Wäsche-Aktivität im Zusammenhang mit dem Hack hindeutet – neben den inaktiven primären Bitcoin- und Ether-Beständen.

Das Wäschen von Bitcoin bleibt davon verschieden, die Erlöse in ausgebare Mittel abzustoßen. Elliptic schätzte, dass trotz der umfangreichen Umschichtungen nur ein vernachlässigbarer Anteil der gestohlenen Assets die Auszahlungsphase erreicht haben dürfte. Da Elliptics Dokumentation Tag für Tag erstellt wird, sind die Zahlen vom 7. November ein Schnappschuss einer noch laufenden Operation; die nachfolgenden Einträge des Berichts sowie veröffentlichte Saldo-Tracker wie Arkhams Entitätsseite bilden die fortlaufende Chronik, die zu beobachten ist, während die Rückverfolgung weitergeht.

Wie der Angriff ablief und wie Binance reagierte

Bei dem Vorfall am 29. Oktober zogen die Angreifer 18.270,2 BTC von der Börse ab. Die Ermittler stellten fest, dass sie unbefugten Zugriff auf einen internen Wallet-Signierungsdienst erhalten hatten, und Binance beschrieb kompromittierte Mitarbeitergeräte sowie Schadsoftware, die den unbefugten Transfers vorausgegangen waren.

Im Nachgang erklärte die Börse, sie habe die identifizierten Einfallstore geschlossen und betroffene Systeme neu aufgebaut oder ersetzt. Ihre Reaktion umfasste strengere Gerätekontrollen und stärkere Prüfungen der Wallet-Dienste nach dem Vorfall.

Binance bezifferte die betroffenen Assets in ihrem Vorfallbericht vom 3. November auf rund 6,34 Milliarden Dollar und erklärte, sie habe mehr als ausreichend Mittel zurückgestellt, um die finanziellen Auswirkungen zu absorbieren. Das Unternehmen berief sich zudem auf FBI-Informationen, die den Vorfall Nordkorea zuschreiben. 98 % der betroffenen Token-Assets seien bis zum 31. Oktober wieder aufgefüllt worden, während der Aufkauf der verbleibenden illiquiden Assets fortgesetzt werde. Binance meldete rund 2,85 Milliarden Dollar an eingefrorenen oder abgefangenen Assets, vorbehaltlich der Abstimmung und von Marktpreisänderungen.

Quelle: Blockonomi