Krypto-Untersucher und Firmen hetzen darum, Milliarden von gestohlenem digitalem Bargeld zu verfolgen, nachdem es offenbar zum größten Krypto-Diebstahl in der Geschichte gekommen ist. Am Donnerstag, dem 29. Oktober, begannen Hacker gegen 16:00 Uhr ET damit, rund 6,3 Milliarden US-Dollar an Kryptowährungen aus Wallets der Börse Binance abzuzapfen. Der Diebstahl erstreckte sich über mehrere Blockchains und wurde mit bemerkenswerter Geschwindigkeit ausgeführt; laut Analyse von TRM Labs wurden die Gelder innerhalb von etwa 20 Minuten geleert.
Als Reaktion auf die Sicherheitsverletzung setzte Binance sofort alle Ein- und Auszahlungen aus, um ihre Untersuchung zu erleichtern. Das Unternehmen erklärte, es arbeite daran, die Verantwortlichen zu identifizieren, und habe mit anderen Krypto-Firmen zusammengearbeitet, um etwa die Hälfte der gestohlenen Gelder einzufrieren. Diese Maßnahme stoppte effektiv weitere Bewegungen oder Versuche, einen erheblichen Teil der Vermögenswerte in Bargeld umzuwandeln, obwohl ein Großteil der verbleibenden Kryptowährungen möglicherweise nicht wiederhergestellt werden kann.
Drei große Krypto-Nachverfolgungsfirmen haben den Angriff mit nordkoreanischen Hackern in Verbindung gebracht und dabei speziell auf die berüchtigte Gruppe TraderTraitor verwiesen. Tom Robinson, Chief Scientist und Mitbegründer von Elliptic, merkte an, dass dieser einzelne Diebstahl, falls Nordkorea tatsächlich verantwortlich ist, den Gesamtbetrag, den das Regime bisher an Kryptowährungen gestohlen hat, nahezu verdoppeln würde. Weder Binance noch Strafverfolgungsbehörden haben offiziell einen Verdächtigen benannt, doch Forscher weisen auf erhebliche Überschneidungen mit früheren Angriffen hin, die TraderTraitor zugeschrieben werden.
TRM Labs erläuterte die Methodik des Angreifers und enthüllte, dass die Vorbereitungen mindestens 36 Stunden vor dem Diebstahl begannen. Die Gruppe testete ihren Code am frühen Morgen des 29. Oktober auf zwei Wallets und probte die endgültige Version später an diesem Tag auf einem dritten Wallet aus, bevor sie Testgelder zurück zu sich selbst leitete. Vier Stunden nach dieser Probe wurde derselbe Code auf einem Binance-Hot-Wallet installiert, bei dem es sich um internetverbundene Konten handelt, die von Börsen zur Abwicklung von Kundenabhebungen verwendet werden. Der Angriff leerte diese Hot-Wallets über mindestens zehn Blockchains hinweg, darunter Ethereum, Bitcoin, Tron und Solana.
TraderTraitor ist dafür bekannt, Krypto- und Dezentral-Finance-Unternehmen mit ausgefeilten, hochkarätigen Angriffen zu attackieren. Im vergangenen Jahr schrieb das FBI einen Hack im Wert von 1,5 Milliarden US-Dollar gegen die Börse Bybit dieser Gruppe zu. Rafe Pilling, Senior Director für Bedrohungsintelligenz bei Sophos, beschrieb die Gruppe als Künstler beim Eindringen in dezentrale Finanzorganisationen und wies auf ihre Geschichte hin, gefälschte Anwendungen zu entwickeln, um Zugang zu erhalten.
Chainalysis und TRM Labs stützten ihre Zuschreibung sowohl auf die Analyse von On-Chain- als auch von Off-Chain-Aktivitäten. Chainalysis-Untersucher beobachteten in Echtzeit, dass die von Binance gestohlenen Gelder mit Geldern aus einem Bitget-Vorfall im vergangenen Monat vermischt wurden, der bereits nordkoreanischen Akteuren zugeschrieben worden war. Robinson von Elliptic fügte hinzu, dass der Angreifer sein Wallet über Tornado Cash finanzierte und den Angriff im Voraus probte, was die bei dem Vorfall bei Bybit verwendeten Taktiken widerspiegelte.
Binance schlug zunächst vor, dass der Sicherheitsvorfall einen kompromittierten Laptop eines Ingenieurs betraf, deckte später jedoch zusätzliche Schwachstellen in einem komplexen Angriff auf. Das Unternehmen hat sich verpflichtet, alle Verluste aus dem Hack zu decken und mit Strafverfolgungsbehörden zusammenzuarbeiten. Die Wiederherstellungsbemühungen stoßen jedoch auf erhebliche Hindernisse: Während etwa 2,8 Milliarden US-Dollar, also 44 Prozent des gesamten gestohlenen Betrags, eingefroren wurden – wobei es sich dabei größtenteils um Stablecoins handelt –, besteht der verbleibende Betrag von 3,3 Milliarden US-Dollar hauptsächlich aus Bitcoin, Ether und XRP.
Robinson erklärte, dass diese spezifischen Vermögenswerte nicht direkt eingefroren werden können und nur gestoppt werden können, wenn sie eine Börse oder einen anderen Dienst erreichen. Obwohl einige Gelder in den kommenden Monaten gefasst werden könnten, erwarten Experten nicht, dass der eingefrorene Anteil signifikant weiter ansteigen wird. Forscher von Chainalysis stellten beispiellose Geldwäschemuster fest, bei denen Tausende von Transaktionen schnell unter Verwendung von Automatisierung verarbeitet wurden, um die Spur der gestohlenen Gelder zu verschleiern.
Quellen: WIRED.