Binance hat am 30. Oktober sein zweites Sicherheitsupdate veröffentlicht und einen vierteiligen Wiederherstellungsplan für den jüngsten Hack der Börse vorgestellt. Ziel ist der Beginn der Wiederherstellung der Auszahlungen innerhalb von etwa 34 Stunden nach der Bekanntgabe. Der phasenweise Neustart der Auszahlungen blieb an abgeschlossene Sicherheitsprüfungen, Behebungen und die Validierung der betroffenen Systeme gebunden, während Einzahlungen und andere nicht betroffene Dienste laut Ankündigung normal weiterliefen.

Die Co-CEOs Yi He und Richard Teng unterzeichneten das Update, das die Kompromittierung der Hot Wallet auf etwa 20:05 Uhr UTC am 29. Oktober datiert. Hot Wallets sind mit dem Internet verbundene Wallets, die Börsen für tägliche Auszahlungen nutzen, im Gegensatz zu Offline-Kaltlagerungssystemen. Zu dem geschätzten Verlust von 6,3 Milliarden Dollar stellte die Erklärung klar, dass die Nutzer die Kosten nicht tragen würden:

„Binance wird die finanziellen Auswirkungen dieser gestohlenen Gelder tragen, nicht unsere Nutzer.“

Die Börse kündigte an, die Verluste über ihren Secure Asset Fund for Users (SAFU) und die Konzernreserve, also die finanziellen Rücklagen des Unternehmens, abzudecken. SAFU ist eine Notreserve, die Binance 2018 eingerichtet hat und die über einen Teil der Handelsgebühren finanziert wird.

Token-Käufe und Onchain-Einfrierungen

Binance teilte mit, dass über 6,34 Milliarden Dollar an Unternehmensmitteln für Verluste reserviert wurden, darunter 5 Milliarden Dollar, die bereits in den betroffenen Token-Anlagen gehalten wurden. Diese Bestände deckten rund 80 % der Verluste über Assets wie $USDC, $USDT, BTC, ETH und BNB ab; Käufe über Markt- und OTC-Kanäle laufen, um die restlichen passenden Token zu beschaffen. OTC-Geschäfte werden direkt zwischen den Vertragspartnern ausgehandelt und nicht über öffentliche Orderbücher abgewickelt.

Etwa 3 Milliarden Dollar wurden laut Binance Onchain eingefroren, und die Bemühungen zur Wiedererlangung laufen gemeinsam mit Strafverfolgungsbehörden, Token-Herausgebern, Intelligence-Firmen und anderen Börsen weiter. Die unabhängige Analyse des Blockchain-Analyseunternehmens Elliptic zur Verfolgung und Einfrierung der gestohlenen Assets bezifferte die verifizierten Einfrierungen auf 2,84 Milliarden Dollar (Stand: Update um 8 Uhr UTC am 30. Oktober), überwiegend in $USDT und $USDC. Die eingefrorenen Gelder bleiben Teil laufender Wiedererlangungsbemühungen.

Da die Verfolgung gestohlener Assets auf öffentlichen Blockchain-Transaktionsaufzeichnungen beruht, können Ermittler Wallet-Guthaben und Transfers direkt Onchain überprüfen. Separat plante Binance einen ersten Proof-of-Reserves-Schnappschuss innerhalb von 12 Stunden nach der Bekanntgabe, mit Ergebnissen bis Montag, den 2. November, die die Bestände der Plattform den Kundenguthaben gegenüberstellen. Proof-of-Reserves-Nachweise haben sich nach dem Zusammenbruch von FTX im Jahr 2022 als weit verbreitete Transparenzpraxis bei großen Börsen etabliert.

Ermittlungen deuten auf Signing-Zugriffe

Erste Erkenntnisse deuteten darauf hin, dass der kompromittierte Laptop eines DevOps-Ingenieurs unbefugte Auszahlungsanträge ermöglichte. DevOps-Ingenieure betreuen die Softwarebereitstellung und die dafür unterstützende Infrastruktur. Binance betonte, keine Hinweise auf kompromittierte private Schlüssel der Wallets gefunden zu haben – also die kryptografischen Zugangsdaten, die den Zugriff auf Onchain-Gelder kontrollieren.

In einem separaten Video am 30. Oktober beschrieb Teng weitere Angriffspunkte, umgangene Freigabekontrollen und einen Selbstzerstörungsmechanismus, der Werkzeuge und Spuren vernichtete. Binance erklärte, die kompromittierte Infrastruktur sei eingedämmt, betroffene Berechtigungen widerrufen und weitere Kontrollen gegen unbefugte Aktivitäten eingeführt worden, während interne und externe Fachleute die vollständige Angriffssequenz rekonstruierten.

Die Analyse des Blockchain-Sicherheitsunternehmens Hypernative identifizierte kompromittierte Signing-Zugriffe und gültige Signaturen aus von Binance kontrollierten Schlüsseln. Das Unternehmen beschrieb die Nutzung von EIP-7702, einer Ethereum-Funktion, die es einer normalen Wallet ermöglicht, Smart-Contract-Code auszuführen, um über eine Binance-Wallet angreiferkontrollierten Code auszuführen.

Binance erwartet innerhalb von etwa 48 Stunden nach der Bekanntgabe weitere verifizierte technische Erkenntnisse, vorbehaltlich ermittlungstaktischer Überlegungen, gefolgt von einer detaillierten Aufarbeitung des Angriffs und der daraufhin eingeführten Schutzmaßnahmen.