Update (30. Okt., 2:44 Uhr UTC): Dieser Artikel wurde aktualisiert und enthält nun Binnances vorläufige Untersuchung des Security-Vorfalls.

Binnances erste Untersuchung des Milliarden-Diebstahls im Kryptobereich deutet auf den kompromittierten Laptop eines DevOps-Ingenieurs hin. Der Exchange erklärte am Freitag, dass die Kompromittierung einem Angreifer möglicherweise den Zugriff auf einen Service-Container und die Einreichung unbefugter Abhebungstransaktionen ermöglicht habe. Man habe keine Hinweise auf ein Leck privater Wallet-Keys gefunden, betonte jedoch, dass die Untersuchung andauere.

Die vorläufige Einschätzung von Blockaid deutet in dieselbe Richtung. Gegenüber Cointelegraph erklärte Blockaid-CEO Ido Ben-Natan am Donnerstag, der Vorfall scheine auf einen „Key-Missbrauch“ zurückzugehen, bei dem Angreifer ein Signing-System täuschten oder kompromittierten, um schädliche Transaktionen zu autorisieren, ohne den zugrunde liegenden privaten Key zu extrahieren.

„Es scheint … eine Kompromittierung der Signing-Infrastruktur zu sein. Wir glauben nicht, dass ein Key geleakt wurde“, sagte er. Ben-Natans Einschätzung stützte sich auf Blockaids Erfahrung mit ähnlichen Angriffen und dessen Beobachtungen der Onchain-Aktivität.

Binance beziffert den Schaden auf 6,3 Milliarden US-Dollar und friert etwa 3 Milliarden ein

Binance kündigte seine vorläufigen Ergebnisse in einer Erklärung auf X an, bezifferte den geschätzten Gesamtschaden des Vorfalls auf rund 6,3 Milliarden US-Dollar und erklärte, mit Blockchain-Partnern etwa 3 Milliarden US-Dollar an gestohlenen Assets onchain eingefroren zu haben. Wird die Schätzung bestätigt, würde sie den Bybit-Diebstahl vom Februar 2025 übersteigen – bislang der größte gemeldete Hack in der Geschichte der Kryptowährungen.

Der Exchange erklärte, alle Verluste über seinen Secure Asset Fund for Users (SAFU) sowie Unternehmensmittel auszugleichen, und betonte, dass die Gelder der Nutzer sicher seien. SAFU ist ein Notfallversicherungsfonds, den Binance 2018 einrichtete, der aus einem Teil der Handelsgebühren gespeist wird und darauf ausgelegt ist, in extremen Fällen Nutzer Verluste abzusichern. Zudem kündigte das Unternehmen an, einen aktualisierten Proof of Reserves zu veröffentlichen – die kryptografische Methode, mit der Exchanges nachweisen, dass sie die Assets hinter den Kundenguthaben tatsächlich halten.

Ein- und Auszahlungen wurden während der Sicherheitsüberprüfungen vorübergehend ausgesetzt, und Binance erklärte, die Autorisierung der betroffenen Adresse widerrufen zu haben. Das Unternehmen arbeitet mit Strafverfolgungsbehörden und Blockchain-Analysepartnern daran, die Gelder zurückzuverfolgen und wiederzubeschaffen, und kündigte an, nach Abschluss der Untersuchung und vollständiger Faktenprüfung einen detaillierten technischen Post-Mortem-Bericht zu veröffentlichen.

Blockaid identifiziert bösartige Wallet-Delegation

In einer Onchain-Analyse, veröffentlicht auf X, erklärte Blockaid, der Angreifer habe 50 EIP-7702-Autorisierungen in einer einzigen Transaktion gebündelt, die auf Binance 14 abzielte. Eine Autorisierung habe laut Berichten die erforderliche Nonce des Kontos erfüllt und sei daher akzeptiert worden.

EIP-7702, das mit Ethereums Pectra-Upgrade im Mai 2025 eingeführt wurde, ermöglicht es einem Konto, die Ausführung an Smart-Contract-Code zu delegieren. Blockaid führte weiter aus, dass das betroffene Konto an einen unverifizierten Sweeper-Contract delegiert worden sei, der einem bestimmten Operator das Abzug von Token und Ether ermöglichte.

Verwandt: Binance-Hack erschüttert Kryptomärkte, BNB fällt 7 %, Bitcoin rutscht ab

Ben-Natan sagte Cointelegraph, die Operation könnte mehrere kompromittierte Geräte und Bewegungen im internen Netzwerk des Exchange umfasst haben.

Vor Binnances letzter Aktualisierung hatte Arkham-CEO Miguel Morel gegenüber Cointelegraph erklärt, die Informationen reichten nicht aus, um zu bestimmen, ob der Angriff gestohlene Keys oder eine kompromittierte Infrastruktur betraf. „Soweit wir erkennen können, scheint der Hack noch im Gange zu sein“, sagte er seinerzeit.

Vergleich mit Nordkorea und Bybit

Auf die Frage, ob die mutmaßliche Manipulation des Signierungsprozesses dem Bybit-Angriff vom Februar 2025 ähnelte, beschrieb Ben-Natan die beiden Vorfälle als „sehr, sehr ähnlich“. In jenem Fall hieß es in Bybits veröffentlichtem Forensik-Update, Angreifer hätten die Zugangsdaten eines Safe-Entwicklers kompromittiert, auf die Infrastruktur des Wallet-Anbieters zugegriffen und Signer dazu getäuscht, eine schädliche Transaktion zu genehmigen. Das FBI schrieb jenen Diebstahl, auf rund 1,5 Milliarden US-Dollar geschätzt, Nordkorea-verbundenen Hackern zu.

Ben-Natan sagte auch, die Aktivität ähnele Operationen, die mit Nordkorea in Verbindung gebracht werden, und verwies auf Blockaids Vertrautheit mit solchen Angriffen. Er verwies auf ausgeklügelte Onchain-Vorbereitungen, betonte jedoch, dass die Zuschreibung noch nicht bestätigt sei.

Binance hat die Angreifer noch nicht identifiziert und erklärt, mit den Strafverfolgungsbehörden zusammenzuarbeiten, um ihre Identität festzustellen.

Magazin: Manipulierter Ledger in Singapur einen Monat vor Bekanntwerden gemeldet: Asia Express