Binance hat 90 % der rund 6,3 Milliarden US-Dollar ersetzt, die beim Hackerangriff am Donnerstag gestohlen wurden – ein Anstieg von 80 % gegenüber dem vorherigen Update. Nach Bestätigung würde diese Zahl den größten verzeichneten Kryptodiebstahl übertreffen – die rund 1,5 Milliarden US-Dollar, die im Februar 2025 bei Bybit erbeutet wurden, ein Angriff, den Ermittler ebenfalls mit Nordkorea in Verbindung bringen. Der Austausch plant, die Auszahlungen am 1. November phasenweise wieder aufzunehmen.

„Wir haben inzwischen 90 % der gestohlenen Vermögenswerte ersetzt und sind entschlossen, die verbleibenden 10 % abzudecken. Unsere Nutzer werden die finanziellen Auswirkungen dieses Vorfalls nicht tragen“, sagte Co-CEO Richard Teng am Samstag auf X (Beitrag).

In seinem dritten und neuesten Update erklärte Binance, die 10 größten betroffenen Token seien „zu 100 % vollständig gedeckt“. Dies sind BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD und ZEC. Die verbleibenden 10 % bestehen aus weniger liquiden Token außerhalb dieser Gruppe und könnten länger dauern.

Quellen der Ersatzmittel

Binance erklärte, es habe drei Quellen genutzt, um die gestohlenen Vermögenswerte zu ersetzen: eine teilweise Inanspruchnahme des Secure Asset Fund for Users (SAFU), einen Teil seines Futures-Versicherungsfonds und seine Konzernkasse.

Das Unternehmen bestätigte später in einem X-Beitrag, dass die SAFU-Übertragung abgeschlossen sei, und verwies auf eine auf der Blockchain sichtbare Übertragung von 7.499 BTC. Die Übertragung kann über eine von Binance identifizierte Bitcoin-Adresse eingesehen werden (Blockchain-Explorer).

SAFU ist eine im Juli 2018 eingerichtete Notreserve für Vorfälle wie Sicherheitsverletzungen. Sie wird von der in Abu Dhabi regulierten Clearingstelle Nest Clearing and Custody Limited verwahrt. Binance sagte, der Fonds werde auf rund 1 Milliarde US-Dollar aufgefüllt.

Der Futures-Versicherungsfonds schützt Händler vor Defizitverlusten aus insolventen Positionen und begrenzt erzwungene Liquidationen, die als Auto-Deleveraging bezeichnet werden. Binance erklärte, es habe nur den Betrag über der erforderlichen Fondsgröße freigegeben, während der verbleibende Saldo eine regulatorische Anforderung sei. Der Fonds liege weiterhin über dem erforderlichen Deckungslevel, obwohl kein Austausch Auto-Deleveraging vollständig vermeiden kann.

Auszahlungen und Proof of Reserves

Binance hatte die Auszahlungen nach dem Angriff ausgesetzt, der nach Unternehmensangaben begann, als seine Hot Wallets am Donnerstag gegen etwa 20:05 UTC kompromittiert wurden. Hot Wallets bleiben für die Abwicklung alltäglicher Überweisungen mit dem Internet verbunden und sind daher stärker exponiert als die Offline-Kaltlagerung, die Austausche typischerweise für den Großteil der Kundengelder nutzen. Einzahlungen und andere nicht betroffene Dienste blieben betriebsbereit.

Der Austausch hatte zuvor gesagt, die Auszahlungen würden innerhalb von 48 Stunden wieder aufgenommen. Nun heißt es, die Auszahlungen würden am 1. November phasenweise wieder geöffnet.

Binance hat außerdem einen neuen Proof-of-Reserves-Schnappschuss veröffentlicht, der am Samstag um Mitternacht UTC aufgenommen wurde. Nachvollziehbarkeitsnachweise der Reserven wurden nach dem Zusammenbruch von FTX im Jahr 2022 bei großen Austauschen weit verbreitet. Der vollständige Zero-Knowledge-Beweis voraussichtlich 40 bis 50 Stunden dauern. Das Unternehmen sagte, Inhaber der 10 abgedeckten Token könnten dann eine Deckung von mindestens 1:1 überprüfen, was nach Schätzung am Dienstag verfügbar sein wird. In einem früheren Update hatte Binance gesagt, die Ergebnisse würden bis Montag vorliegen.

Ermittlungen laufen weiter

Binances erste Einschätzung wies auf den kompromittierten Laptop eines Ingenieurs hin. Das zweite Update erklärte, die weiteren Untersuchung habe „zusätzliche Eindringpunkte aufgedeckt“. Teng beschrieb einen „komplexen Angriff“, an dem ein kompromittierter Laptop und Schadsoftware zum Löschen von Beweisen beteiligt gewesen seien. Binance sagte, es gebe keine Hinweise darauf, dass private Wallet-Schlüssel abgeflossen seien. Wären solche Schlüssel kompromittiert, hätte ein Angreifer direkte Kontrolle über die von ihnen geschützten Gelder.

Nach Angaben von Binance wurden rund 3 Milliarden US-Dollar der gestohlenen Vermögenswerte on-chain eingefroren. On-chain-Einfrierungen setzen auf die Emittenten von Token voraus, die Address-Sperrlisten unterstützen – eine Funktion, die bei Stablecoin-Emittenten verbreitet ist –, während Vermögenswerte ohne Emittent, etwa Bitcoin, auf diese Weise nicht blockiert werden können. Diese Zahl ist von der 90-%-Ersatzzahl getrennt, die die Ersetzung von Vermögenswerten widerspiegelt und nicht deren Wiedererlangung.

Binances Updates haben die Verantwortlichen nicht benannt. TRM Labs und Chainalysis brachten den Angriff mit Nordkorea in Verbindung, wie aus einem früheren TechNext24-Bericht hervorgeht (Bericht). Binance erwartet, innerhalb von etwa 48 Stunden nach seinem zweiten Update weitere technische Erkenntnisse mitzuteilen und einen vollständigen Abschlussbericht zu veröffentlichen.