Die Angreifer hinter dem 6,3-Milliarden-Dollar-Diebstahl bei Binance haben begonnen, ihre Beute entlang einer klaren Trennlinie zu splitten: Assets, die eingefroren oder potenziell zurückgeholt werden können, und Assets, die außerhalb der Reichweite von Freezing-Maßnahmen liegen. Diese Trennlinie wird maßgeblich darüber entscheiden, wie viel der gestohlenen Gelder überhaupt jemals zurückgegeben werden kann.

Stablecoin-Herausgeber ziehen an Blacklist- und Freeze-Hebeln, während die Hacker darum wetteifern, Gelder in ETH, BTC und andere Token ohne Herausgeber oder Abschaltmechanismus zu verschieben. Das Wettrennen, Token zu sperren, bevor sie in nicht mehr wiederherstellbares Terrain gelangen, folgt auf den als größten Diebstahl der Krypto-Geschichte bezeichneten Vorfall – der, ironischerweise, die größte Krypto-Börse der Welt traf. Binance hat in seinem ersten Bericht zu dem Vorfall den Exploit auf einen kompromittierten Laptop eines DevOps-Ingenieurs zurückgeführt.

Was wurde aus dem Binance-Hack eingefroren?

Die Angreifer, die Blockchain-Analysefirmen TRM Labs und Chainalysis mit hoher Konfidenz Nordkoreas TraderTraitor-Einheit zuschreiben, sahen fast 3 Milliarden Dollar der von der Börse bewegten Token eingefroren. Diese Zuordnung hat praktisches Gewicht: Nordkorea verbundene Einheiten dieser Art wurden zuvor in US-Sanktionsmaßnahmen genannt, die Ermittlern eine rechtliche Grundlage für Beschlagnahmen und Einziehungen neben On-Chain-Freezes geben.

Tether und Circle, die Herausgeber der größten Stablecoins nach Marktkapitalisierung, haben laut TRM Labs rund 1,77 Milliarden USDT bzw. 825 Millionen USDC auf die Blacklist gesetzt. Blacklisting ist eine eingebaute Kontrolle zentralisierter Stablecoins – Token einer gelisteten Adresse können nicht mehr bewegt werden – eine Macht, die für Assets wie ETH oder BTC schlicht nicht existiert. Von den gestohlenen 88,5 Millionen RLUSD hat Ripple 40,5 Millionen eingefroren, während das mit Trump verbundene World Liberty Financial 27,8 Millionen seines USD1-Token gesperrt hat. Arbitrums Security Council griff ebenfalls ein und half, 30,5 Millionen Dollar zu stoppen.

Dennoch halten die Nordkorea verbundenen Angreifer weiterhin fast 3 Milliarden Dollar, die keine Stelle anfassen kann, laut Tracking von Arkham und Lookonchain: rund 1,09 Milliarden Dollar in ETH, 1,41 Milliarden Dollar in BTC und 682,9 Millionen TRX. Der Angreifer erzielte zudem 158,25 Millionen Dollar durch den Verkauf von Altcoins wie AAVE, ENA, LINK, PEPE und UNI und hat dieses gesamte Geld zwischenzeitlich in Ethereum umgewandelt, ein nicht freezierbares Asset.

Wer kann eingreifen und wer nicht?

Der DEX-Aggregator 1inch und das Reserve-Protokoll bieten einen direkten Vergleich der Interventionsbrücke, die die Hacker zu überqueren versuchen.

1inch teilte mit, dass mit dem Exploit verbundene Adressen bereits vom Zugriff auf seine dApp, Wallet und API blockiert wurden. Der DEX-Aggregator habe zudem Binance kontaktiert, um Hilfe anzubieten, und koordiniere sich mit ZeroShadow, SEAL 911 und TRM Labs (Erklärung auf X).

Reserve konnte hingegen nichts tun, als die Angreifer rund 3,4 Milliarden seines RSR-Token an sich rissen. Das Team schrieb auf X, dass "niemand, auch wir nicht, die Token einfrieren kann", da RSR unveränderlich ist und keine Admin-Keys besitzt.

Arbitrums Security Council ging noch direkter vor. Laut dem Arbitrum-Governance-Forum änderte der Rat den Inbox-Contract des Netzwerks auf Ethereum vorübergehend, fügte eine Funktion hinzu, um eine Cross-Chain-Transaktion unter Imitation der Exploit-Adresse zu reproduzieren, und verlagerte 8.425 ETH und 74.559.805 ARB in eine Halting-Wallet mit der Endung 0DA0. Der Rat stellte anschließend den Contract wieder her, und die Gelder können sich erst nach einer ArbitrumDAO-Abstimmung bewegen. Derselbe Notfallmechanismus kam im April zum Einsatz, als der Rat rund 30.766 ETH – damals etwa 71 Millionen Dollar wert – im Zusammenhang mit dem KelpDAO-Exploit einfror.

Was der Bitget-Hack bereits gezeigt hat

Eingefroren ist nicht gleichzusetzen mit wiedererlangt, und die Branche hat frische Beweise dafür, wie wenig Freezing erreichen kann, sobald ein Angreifer umwandelt. Beim Bitget-Verstoß im September, so berichtete Cryptopolitan, sperrten Circle und Tether nur 318.000 Dollar von 387,5 Millionen gestohlenen Dollar, weil der Dieb den Rest bereits in Ether umgetauscht hatte. Von Cryptopolitan zitierte Bitquery-Daten zeigen, dass Wallets, die innerhalb einer Woche eingefroren werden, nach einer Woche 59 % ihres USDT halten, nach sechs Monaten jedoch nur noch 12 %.

Binance hat Ein- und Auszahlungen ausgesetzt, zugesagt, Nutzer-Verluste aus seinem SAFU-Reservefonds – dem Notfall-Versicherungsfonds der Börse, 2018 gegründet und aus Handelsgebühren aufgebaut – sowie aus Unternehmensmitteln zu decken, und erwartet, dass Auszahlungen innerhalb von 48 Stunden wieder aufgenommen werden. Co-CEO Richard Teng versuchte, Nutzer zu beruhigen, und schrieb auf X: "Your money is safe and we're covering every loss."

Die Börse hat nicht gesagt, wie viel der eingefrorenen 3 Milliarden Dollar sie tatsächlich zurückholen kann, noch hat sie detailliert, was mit den verbleibenden 3,3 Milliarden Dollar geschehen wird. Die nächsten Markierungen richten sich allesamt nach dem Vorfall selbst: ob die Auszahlungen nach Binances angegebener 48-Stunden-Vorgabe wieder aufgenommen werden, wie die ArbitrumDAO-Abstimmung über die beschlagnahmten 8.425 ETH und 74.559.805 ARB verläuft, ob weitere Herausgeber und Protokolle ihre Freeze-Befugnisse bei noch in Bewegung befindlichen Token nutzen, und wann Binance die Aussichten auf Wiedererlangung sowohl des eingefrorenen als auch des unantastbaren Teils der Beute klärt.

Quelle: Cryptopolitan