Die Angreifer hinter dem auf schätzungsweise 6,3 Milliarden Dollar bezifferten Hack von Binance kontrollieren weiterhin Milliarden Dollar in gestohlener Kryptowährung – trotz einer schnellen Welle von Einfrierungsmaßnahmen durch Token-Emittenten. Der Vorfall ist zu einem Praxistest für die On-Chain-Interventionswerkzeuge der Kryptoindustrie geworden – und zeigt sowohl, wie schnell zentralisierte Emittenten die Notbremse ziehen können, als auch, wo diese Macht endet.

Der Angriff, der größte in der Geschichte der Kryptowährungen, begann am Donnerstag um 20:04 Uhr UTC. Die Täter – von Ermittlern mit den nordkoreanischen Hackern in Verbindung gebracht, die hinter dem Bitget-Hack des vergangenen Monats stecken – machten sich sofort daran, die gestohlenen Vermögenswerte umzuwandeln.

Ihr Plan war es, frostmögliche Vermögenswerte wie die Stablecoins USDT und USDC in nicht frostmögliche umzutauschen, etwa Bitcoin (BTC) und Ether (ETH).

Der CertiK-Ingenieur Dickson Wu verfolgte 500 Millionen Dollar in USDT, die an eine einzige Adresse gesendet wurden; bis 20:59 Uhr UTC – weniger als eine Stunde nach Beginn des Hacks – waren 325 Millionen Dollar an Market Maker gegen ETH verkauft. Die Hacker rannten gegen einige der mächtigsten Gatekeeper der Kryptobranche an: Stablecoin-Riesen wie Tether und Circle, die bereits begonnen hatten, Adressen auf Schwarze Listen zu setzen, die mit dem Diebstahl in Verbindung stehen.

Binance teilte am Freitag mit, dass rund 3 Milliarden Dollar der gestohlenen Vermögenswerte On-Chain eingefroren wurden, bei einem geschätzten Gesamtvolumen von 6,3 Milliarden Dollar, und dass das Unternehmen mit Strafverfolgungsbehörden, Token-Emittenten und Blockchain-Analysefirmen zusammenarbeitet, um weitere Gelder zu verfolgen.

Das Ausmaß des Diebstahls ist selbst nach Krypto-Maßstäben gewaltig. Doch mit etwa der Hälfte der bereits stillgelegten Vermögenswerte stellt sich die Frage: Wie viel von der gestohlenen Kryptowährung können die Täter tatsächlich ausgeben?

Krypto mit Ausschalter

Anders als BTC oder ETH – dezentrale Kryptowährungen ohne zentralen Emittenten und ohne jemanden, der auf die Pause-Taste drücken könnte – haben zentralisierte Stablecoins wie Tethers USDT und Circles USDC Emittenten, die Token an bestimmten Adressen einfrieren können. Das verschafft ihnen die Macht, bei Vorfällen wie diesem rasch zu handeln.

Tether frohr insgesamt rund 1,567 Milliarden Dollar in USDT ein; die erste große Einfrierung erfolgte nur 37 Minuten, nachdem die gestohlenen Gelder die Haupt-Ethereum-Wallet der Angreifer erreicht hatten. Circle frohr drei Minuten später rund 823 Millionen Dollar in USDC ein, und andere Emittenten wie Ripple und World Liberty Financial zogen bald nach.

Die Fähigkeit, Kryptowährung stillzulegen, ist keine ausschließliche Stablecoin-Funktion. Zwar fehlen dezentralen Protokollen zentrale Emittenten, doch einige blieben nicht untätig: Arbitrums Security Council verbrachte rund 30,5 Millionen Dollar in ARB und ETH in eine zwischengeschaltete eingefrorene Wallet, aus der die Mittel nur nach weiteren Maßnahmen des Rates oder durch Abstimmung der Arbitrum-DAO-Governance bewegt werden können. Ob der Security Council oder eine DAO-Abstimmung diese Vermögenswerte letztlich an Binance zurückführt, bleibt abzuwarten.

Eine wichtige Unterscheidung bleibt bestehen: Eingefrorene Gelder sind nicht zwingend wiedererlangte Gelder. Das Stilllegen von Vermögenswerten hindert die mutmaßlichen Angreifer daran, sie auszugeben, doch es führt das Geld nicht automatisch an Binance oder dessen Nutzer zurück.

Die Aave-Komplikation

Das dezentrale Kreditprotokoll Aave fügt der Gleichung eine weitere Komplexitätsebene hinzu. Zwischen 20:58 und 21:01 Uhr UTC zahlte eine Wallet, die mit den Angreifern in Verbindung steht, 60 Millionen Dollar in USDT in Aave V3 auf Ethereum ein und lieh sich 44,6 Millionen Dollar in Wrapped Ether (WETH) – rund 40 Minuten vor der ersten Einfrierung.

LlamaRisk, ein Aave-Risikodienstleister, erklärte in seiner Aktualisierung um 1:00 Uhr, dass die Position des Angreifers danach rund 59,9 Millionen Dollar in USDT-Besicherung gegen 43,8 Millionen Dollar an Schulden hielt. Aave teilte mit, die Position bleibe überbesichert und stelle die Lieferanten des Protokolls nicht riskant.

Da das USDT bereits in Aaves Kreditpool eingezahlt worden war, konnte das Auf die Schwarze Liste Setzen der Angreifer-Wallet die im Protokoll gehaltene Besicherung nicht automatisch zurückholen. Wie Aave-Chan-Initiative-Gründer Marc Zeller erklärte: „USDT ist echtes, durch Dollar gedecktes Geld, und die Position ist kriminell, aber aus Sicht des Protokolls überbesichert."

Um weitere Einzahlungen und Kreditaufnahmen zu verhindern, frohr Aave vorübergehend die Märkte seiner V3- und V4-Deployments, wobei bestehende Nutzer weiterhin Gelder abheben, Kredite zurückzahlen und Positionen liquidieren konnten. Das Protokoll hob die vorsorgliche Einfrierung über die V3- und V4-Märkte später wieder auf und erklärte, seine Verträge seien nicht betroffen und die Positionen blieben überbesichert. Die Kreditposition des Angreifers selbst blieb bestehen, und was mit der darin enthaltenen kriminell beschafften Besicherung geschieht, ist weiterhin ungeklärt.

„Ein ganz normaler Tag im Krypto-Bereich“, sagte Zeller.

Was können die Angreifer also tatsächlich behalten?

Das On-Chain-Analyseunternehmen Elliptic schätzte, dass bis 7:00 Uhr UTC am Freitag 2,84 Milliarden Dollar eingefroren waren, während die Angreifer weiterhin rund 3,33 Milliarden Dollar an Vermögenswerten kontrollierten, die Emittenten nicht stilllegen konnten.

Und obwohl die Einfrierungen den Gewinnpool der Angreifer nahezu halbiert haben, heißt das nicht, dass alle verbleibenden Gelder sicher wiedererlangt werden können. Bitcoin und Ether haben keinen zentralisierten Token-Emittenten, der einzelne Adressen auf die Schwarze Liste setzen könnte, wie es Tether oder Circle tun können. Sobald gestohlene Vermögenswerte in diese nativen Kryptowährungen umgewandelt sind, können Transaktionen zwar eingeschränkt, aber tatsächlich eingefroren werden sie deutlich schwerer.

Binance hat zugesagt, alle Verluste mit seinem Secure Asset Fund for Users (SAFU) – dem Notfallreservefonds des Unternehmens, der zum Schutz der Nutzermittel in Extremsituationen eingerichtet wurde – sowie mit Unternehmensmitteln zu decken, und erklärt, die Vermögenswerte der Nutzer seien sicher. Laut der neuesten Aktualisierung von Binance-Chef Richard Teng ist die Börse bereits dabei, „gestohlene Vermögenswerte für Nutzer wiederzuerlangen“. Während Strafverfolgungsbehörden, Token-Emittenten und Blockchain-Analysefirmen die Geldflüsse weiter verfolgen, wird das Schicksal der verbleibenden rund 3,33 Milliarden Dollar – und wie viel davon noch stillgelegt oder wiedererlangt werden kann – die endgültigen Kosten des größten Hacks der Kryptogeschichte mitbestimmen.