Eine Untersuchung des Blockchain-Analyseunternehmens Bitquery vom 2. November verfolgte rund 108,8 Millionen US-Dollar in USDC aus Konten bei drei Kryptobörsen – Mittel, die der On-Chain-Ermittler ZachXBT als mutmaßlichen Diebstahl von einem EU-ansässigen Unternehmen gekennzeichnet hatte, wie in einem Beitrag des X-Kontos Officer’s Notes übermittelt. Die Bitquery-Untersuchung ergab, dass elf der 15 empfangenden Wallets vor dem 1. November bereits Auszahlungen von denselben Börsen erhalten hatten, dass 62,98 Millionen US-Dollar in Stablecoins in 27.553 ETH umgewandelt wurden und dass nur 3,7 Millionen US-Dollar der Mittel als freezierbares USDC verblieben.

Einundzwanzig Stunden über drei Börsen hinweg

Die erste Abhebung verließ OKX am 1. November um 12:25 UTC. Kraken folgte 44 Minuten später und zahlte letztlich 95 % der Gesamtsumme aus, während Crypto.com den Rest neben OKX beisteuerte. Etwa zwei Drittel des Geldes, 73,2 Millionen US-Dollar, flossen in den drei Stunden bis 23:00 UTC ab, und die letzte Zahlung ging am folgenden Morgen um 09:09 UTC ein.

Eine Wallet erhielt 43 Kraken-Abhebungen innerhalb von 91 Minuten, jeweils unter 50.000 US-Dollar. Bitquery interpretiert das Muster so, dass der Dieb ein Limit für Einzelabhebungen umging – eine übliche Sicherung auf Börsenkonten. Wenn diese Lesart zutrifft, veränderte das Limit die Form des Abflusses, ohne seine Größe zu verringern.

Keiner dieser Beträge ist ein Verlust, den das Opfer bestätigt hat. Bitquery analysierte ausschließlich Ethereum und prüfte die Haupt-Wallets der drei Börsen, sodass Aktivitäten auf anderen Chains oder über andere Wallets derselben Börsen die Zahl erhöhen könnten. Das Opfer bleibt namentlich nicht genannt, doch die Historie der Wallets deutet auf ein Handels- oder Zahlungsunternehmen hin, das seit Mai Kraken nutzt – eine Sichtweise, die Bitquery laut eigener Aussage nur mit Vorbehalt vertritt.

Warum die alten Wallets über den Börsen-Login hinausweisen

Elf der 15 empfangenden Wallets hatten vor dem 1. November Auszahlungen von denselben Börsen erhalten, und zusammen nahmen sie 84 % des Geldes entgegen. Die älteste erhielt ihre erste Kraken-Abhebung am 4. Mai und 48 weitere vor dem Diebstahl. Mehrere der Wallets zahlten sich im Sommer gegenseitig Geld zu. Acht der 15 sind Trust-Wallet-Smart-Accounts, die eingerichtet wurden, um Netzwerkgebühren in USDC zu zahlen – die Gebühr wird also vom Token-Guthaben statt von ETH abgezogen –, wobei Bitquery nichts fand, was auf einen Fehler der App selbst hindeutet.

Diese Historie ist der Grund, warum Bitquery die Wallets als Eigentum des Opfers betrachtet, und sie erklärt, warum der Börsen-Login allein nicht erklärt, was danach geschah. Das USDC wurde typischerweise innerhalb von drei Minuten an eine neue Wallet weitergeleitet, und das Weiterleiten erforderte die Keys der empfangenden Wallet. Bitquery kommt zu dem Schluss, dass der Dieb höchstwahrscheinlich sowohl die Logins als auch diese Keys besaß. Aus ihrer Sicht deutet das entweder auf einen Einbruch in die Geräte oder das Wallet-Setup des Eigentümers hin oder auf jemanden aus dem eigenen Team des Opfers. Die Chain kann das nicht unterscheiden.

Die Eigentumsbewertung bleibt eine Inferenz aus dem Wallet-Verhalten, und weder das Opfer noch die Börsen haben sie bestätigt. Falls einige dieser Adressen einem Mitarbeiter, Auftragnehmer oder Geschäftspartner gehörten, würden frühere Auszahlungen zeigen, dass das Unternehmen einer Person vertraute, nicht dass seine eigenen Keys leckten. In jedem Fall zeigt nichts in der Spur eine Kompromittierung von Kraken, Crypto.com oder OKX. Die Abhebungen stammten von den Konten eines einzelnen Kunden.

Wo eine Allowlist greift und wo sie versagt

Eine Allowlist erlaubt einem Konto, nur an zuvor genehmigte Adressen abzuheben. Die Spur teilt diesen Diebstahl in zwei Fälle, die diese Einstellung unterschiedlich auf die Probe stellen.

Die 11 bekannten Wallets sind der Fall, den eine Allowlist nicht abdecken kann. Waren sie bereits genehmigt, würden Überweisungen an sie die Prüfung passieren, da die Einstellung die Adresse einschränkt und nichts darüber aussagt, wer ihre Keys heute besitzt.

Die vier neuen Wallets, die 17,27 Millionen US-Dollar erhielten, sind der entgegengesetzte Fall. Die ersten Zahlungen von OKX und Kraken gingen an Adressen ohne frühere Historie. Wie Bitquery es formuliert: Nutzen die Konten eine Allowlist, konnte der Dieb sie erweitern; hatten sie keine, konnte das Geld überallhin fließen. Ob eines dieser Konten eine solche aktiviert hatte, ist nicht öffentlich.

Für diesen zweiten Weg sind die zusätzlichen Kontrollen der Börsen gedacht:

• OKX: Neben seiner Allowlist-Funktion blockiert eine separate Sperre für neue Adressen Abhebungen an einen neu hinzugefügten Empfänger für 24 Stunden.
• Crypto.com Exchange: Für neu genehmigte Adressen gilt eine 24-stündige Haltesperre, und das Deaktivieren der Funktion dauert weitere 24 Stunden, bis sie wirksam wird.
• Kraken: Die Global Settings Lock blockiert neue Abhebeadressen und Änderungen an geschützten Einstellungen. Ihre Aufhebung bedeutet, eine vom Nutzer gewählte Verzögerung abzuwarten – sofern zuvor kein Master Key eingerichtet wurde, eine separate Anmeldeinformation, die die Wartefrist außer Kraft setzen kann.

Keine dieser Kontrollen erfasst eine Wallet, die bereits auf der Liste steht. Eine Sperre, die neue Adressen verlangsamt, erlaubt weiterhin jedem mit den richtigen Keys, eine alte zu nutzen.

Innerhalb weniger Stunden aus freezierbarem USDC getauscht

Die abgehobenen Mittel verließen die Börsen als USDC, das sein Emittent Circle an jeder Adresse einfrieren kann – eine Befugnis, die Emittenten bei früheren On-Chain-Diebstählen bereits ausgeübt haben. ETH hat keinen Emittenten, und DAI hat keine Freeze-Funktion, daher war die Umwandlung der Stablecoins die erste Aufgabe des Diebs.

Kurz vor Mitternacht UTC am 1. November begann eine neue Wallet, Stablecoins über UniswapX zu verkaufen, eine Auktion, bei der Handelsfirmen um die Ausführung von Orders konkurrieren. In etwa vier Stunden verkaufte sie 62,98 Millionen US-Dollar in USDC und USDT für 27.553 ETH, rund 2.286 US-Dollar pro Münze. Ein anderer Zweig der Mittel floss in DAI. Bitquery sah während des Verkaufs oder bei seiner Prüfung am Montag keine Circle-Freeze-Maßnahme und erklärt, nicht zu wissen, ob jemand Circle zum Handeln aufgefordert hatte.

Am 2. November um 13:47 UTC lagen noch 78,27 Millionen US-Dollar auf Ethereum in Adressen, die Bitquery dem Dieb zuordnet, der Großteil davon außerhalb der Reichweite eines jeden Emittenten. Etwa 30,5 Millionen US-Dollar waren bereits abgeflossen. Der größte Abfluss, 8,12 Millionen US-Dollar, ging an eine KuCoin-Einzahlungsadresse, die Bitquery für das Gemeinschaftskonto von Kyrrex hält, einer europäischen Börse. LI.FI, ein Bridge- und Swap-Router, nahm 4,34 Millionen US-Dollar entgegen, ein Teil davon über Einmal-Order-Wallets, die das Analyseunternehmen TRM als Wagyu einstuft, einen Dienst, der in Monero tauscht – eine datenschutzorientierte Kryptowährung, deren Ledger darauf ausgelegt ist, Sender, Empfänger und Beträge zu verbergen. FixedFloat, eine Sofortbörse ohne Kontoanforderung, nahm 1,32 Millionen US-Dollar entgegen.

Der Anblick der ETH auf Ethereum gibt dem Opfer keine Möglichkeit, sie zurückzubewegen. Was noch erreichbar ist, hängt von Parteien mit Macht über ihren Anteil ab: Circle über das verbliebene USDC, KuCoin und Kyrrex darüber, wessen Konto die Einzahlung gutgeschrieben hat, und die Sofortbörsen darüber, wer die Orders aufgegeben hat.

Was die Zugangsfrage klären würde

Kraken, das 178 der Abhebungen ausgezahlt hat, kann bestätigen, wem das Konto gehört und was darin geschah. Drei Aufzeichnungen würden Bitquerys Theorie prüfen: wann die vier neuen Adressen hinzugefügt wurden und ob zu diesem Zeitpunkt eine Sperre oder Verzögerung galt; ob die Abhebungen über eine eingeloggte Sitzung oder über API-Keys mit Abhebungsrechten erfolgten – Anmeldeinformationen, die Software ohne personelle Anmeldung auf ein Konto zugreifen lassen; und ob sich in den Stunden vor 12:25 UTC am 1. November eine Sicherheitseinstellung änderte.

Zeigen diese Protokolle, dass die neuen Adressen durchgingen, weil eine Wartefrist deaktiviert war, verschiebt sich die Lektion hin zu Kontoeinstellungen. Waren die Einstellungen intakt und das Geld floss dennoch über alte Wallets, wird die Lesart einer Wallet-Key-Kompromittierung stärker. Das nächste öffentliche Signal ist enger gefasst: ob Circle die noch gehaltenen 3,74 Millionen USDC einfriert – fast alle in fünf Wallets –, bevor der Dieb sie bewegt.

Prüfen, wer von jeder gespeicherten Adresse ausgeben kann

Für alle, die große Börsenguthaben halten, spricht die Spur dafür, eine Abhobeliste nach Key-Inhaber statt nach Adresse zu prüfen. Bei jedem gespeicherten Ziel lautet die Frage, welches Telefon, welcher Laptop, welche Browser-Erweiterung oder welcher Dienst heute dafür signieren kann und ob dasselbe Gerät auch den Börsen-Login enthält. Bitquerys Punkt ist, dass ein einziger Einbruch in ein solches Gerät beide öffnet.

Die empfohlenen Verteidigungsmaßnahmen folgen daraus: ein Hardware-Key für Login und für die Wallets auf der Allowlist, die aktivierte Wartefrist für neue Adressen und dieselbe Wachsamkeit gegenüber allowlisteten Wallets wie gegenüber dem Konto selbst. Eine Zahlung, die in einer nicht mehr genutzten Wallet eingeht, ist ein Warnsignal. Coindoo dokumentierte eine ähnliche Lücke, als alte Wallets geleert wurden, nachdem Händler einen Bot nicht mehr nutzten – eine Adresse, über die man nicht mehr nachdenkt, kann weiterhin jemanden haben, der von ihr ausgeben kann.