#币安被黑 Die Binance-eigene Wallet überwies 200 Millionen USDT an eine von Hackern kontrollierte Hot Wallet. 72 Sekunden später hatten die Hacker die gesamten 200 Millionen abgegriffen. Der ungewöhnliche Vorfall ereignete sich um 5:42 Uhr morgens Pekinger Zeit.
Kontrolliert wurde Binance 14, eine der wichtigsten Hot Wallets von Binance, von der aus bereits 18,91 Millionen Transaktionen getätigt worden waren.
Die Hacker nutzten EIP-7702, das Ethereum letztes Jahr eingeführt hat. Damit kann eine Wallet die Ausführungsrechte an einen Vertrag delegieren und ihn beliebige Transaktionen ausführen lassen. Um 4:20 Uhr richteten die Hacker die Delegierung ein. Weniger als vier Minuten später wurde die Wallet mit einer einzigen Transaktion um etwa 2,5 Milliarden leergeräumt. Zusammen mit den 820 Millionen USDC, die über sie von einer anderen Wallet abgezogen wurden, ergibt das die 3,3 Milliarden, von denen alle sprechen. Nach der Leerung schien das Binance-System nicht sofort reagiert zu haben. Einzahlungen von Nutzern gehen zunächst an individuelle Einzahlungsadressen und werden dann regelmäßig in einer Sammeltransaktion an die Hot Wallet überwiesen. Auch nach dem Diebstahl liefen diese Sammeltransaktionen wie gewohnt weiter: Es kamen weitere 2.199 ETH an, von denen in drei Transaktionen 2.198 abgegriffen wurden.
Die 200 Millionen hatte Binance mit seiner eigenen Wallet Binance 124 nachgelegt. Zum Glück wurde die Adresse, an die die Hacker das Geld erhielten, von Tether gesperrt, sodass die Mittel dort eingefroren sind. Um 6:22 Uhr postete He Yi, dass Auszahlungen ausgesetzt würden. 17 Minuten später kam es zu einem weiteren Abgriff: 128 ETH und 122 Token wurden an eine neue Adresse übertragen.
Als ich zuletzt um 6:57 Uhr nachsah, war die Delegierung noch aktiv und verwies auf den Vertrag der Hacker. Seit 6:55 Uhr überträgt Binance die verbliebenen Coins in Cold Wallets – es läuft also auf ein Wettrennen mit den Hackern hinaus.
Am meisten beschäftigt mich die Transaktion um 4:20 Uhr. Darin waren 50 Autorisierungen enthalten, die alle mit dem privaten Schlüssel von Binance 14 signiert werden mussten. Sie unterschieden sich nur durch ihre Nonces, und eine davon stimmte überein. Das heißt, die Hacker hatten bereits im Voraus 50 Autorisierungen mit einem privaten Schlüssel von Binance signieren lassen.
24 Sekunden nach dem Hauptabgriff signierte auch die Hot Wallet Binance 16 mit ihrem eigenen privaten Schlüssel mehrere Überweisungen und schickte 28.000 ETH sowie 55,74 Millionen USDT an die Hacker.
Deshalb vermute ich, dass die Hacker Binance dazu bringen konnten, mit seinen privaten Schlüsseln für sie zu signieren. Das Problem liegt höchstwahrscheinlich im Signatursystem. Wenn Binance die Untersuchungsergebnisse veröffentlicht, werde ich sie mit den On-Chain-Daten abgleichen.
Stablecoins können eingefroren werden, ETH hingegen noch nicht. Den größten Teil der entwendeten Mittel machen ETH aus. Eine einzige Adresse der Hacker hält 195.000 ETH, und bisher wurde kein einziger davon bewegt.
Die Adresse der Hacker wird mit Nachrichten überflutet: Manche fordern Geld, andere beschimpfen sie, wieder andere spammen Bibelverse. Außerdem posten manche Links und behaupten, die Hacker würden noch drei weitere Börsen angreifen. In den nächsten Tagen wird es viele Phishing-Links geben – seid unbedingt vorsichtig. Alles lässt sich on-chain nachprüfen. Wer interessiert ist, kann selbst nachsehen.
Die technischen Fähigkeiten der Hacker werden immer ausgefeilter. Das ist das KI-Zeitalter – die Börsen müssen mit der Zeit gehen!!
Kontrolliert wurde Binance 14, eine der wichtigsten Hot Wallets von Binance, von der aus bereits 18,91 Millionen Transaktionen getätigt worden waren.
Die Hacker nutzten EIP-7702, das Ethereum letztes Jahr eingeführt hat. Damit kann eine Wallet die Ausführungsrechte an einen Vertrag delegieren und ihn beliebige Transaktionen ausführen lassen. Um 4:20 Uhr richteten die Hacker die Delegierung ein. Weniger als vier Minuten später wurde die Wallet mit einer einzigen Transaktion um etwa 2,5 Milliarden leergeräumt. Zusammen mit den 820 Millionen USDC, die über sie von einer anderen Wallet abgezogen wurden, ergibt das die 3,3 Milliarden, von denen alle sprechen. Nach der Leerung schien das Binance-System nicht sofort reagiert zu haben. Einzahlungen von Nutzern gehen zunächst an individuelle Einzahlungsadressen und werden dann regelmäßig in einer Sammeltransaktion an die Hot Wallet überwiesen. Auch nach dem Diebstahl liefen diese Sammeltransaktionen wie gewohnt weiter: Es kamen weitere 2.199 ETH an, von denen in drei Transaktionen 2.198 abgegriffen wurden.
Die 200 Millionen hatte Binance mit seiner eigenen Wallet Binance 124 nachgelegt. Zum Glück wurde die Adresse, an die die Hacker das Geld erhielten, von Tether gesperrt, sodass die Mittel dort eingefroren sind. Um 6:22 Uhr postete He Yi, dass Auszahlungen ausgesetzt würden. 17 Minuten später kam es zu einem weiteren Abgriff: 128 ETH und 122 Token wurden an eine neue Adresse übertragen.
Als ich zuletzt um 6:57 Uhr nachsah, war die Delegierung noch aktiv und verwies auf den Vertrag der Hacker. Seit 6:55 Uhr überträgt Binance die verbliebenen Coins in Cold Wallets – es läuft also auf ein Wettrennen mit den Hackern hinaus.
Am meisten beschäftigt mich die Transaktion um 4:20 Uhr. Darin waren 50 Autorisierungen enthalten, die alle mit dem privaten Schlüssel von Binance 14 signiert werden mussten. Sie unterschieden sich nur durch ihre Nonces, und eine davon stimmte überein. Das heißt, die Hacker hatten bereits im Voraus 50 Autorisierungen mit einem privaten Schlüssel von Binance signieren lassen.
24 Sekunden nach dem Hauptabgriff signierte auch die Hot Wallet Binance 16 mit ihrem eigenen privaten Schlüssel mehrere Überweisungen und schickte 28.000 ETH sowie 55,74 Millionen USDT an die Hacker.
Deshalb vermute ich, dass die Hacker Binance dazu bringen konnten, mit seinen privaten Schlüsseln für sie zu signieren. Das Problem liegt höchstwahrscheinlich im Signatursystem. Wenn Binance die Untersuchungsergebnisse veröffentlicht, werde ich sie mit den On-Chain-Daten abgleichen.
Stablecoins können eingefroren werden, ETH hingegen noch nicht. Den größten Teil der entwendeten Mittel machen ETH aus. Eine einzige Adresse der Hacker hält 195.000 ETH, und bisher wurde kein einziger davon bewegt.
Die Adresse der Hacker wird mit Nachrichten überflutet: Manche fordern Geld, andere beschimpfen sie, wieder andere spammen Bibelverse. Außerdem posten manche Links und behaupten, die Hacker würden noch drei weitere Börsen angreifen. In den nächsten Tagen wird es viele Phishing-Links geben – seid unbedingt vorsichtig. Alles lässt sich on-chain nachprüfen. Wer interessiert ist, kann selbst nachsehen.
Die technischen Fähigkeiten der Hacker werden immer ausgefeilter. Das ist das KI-Zeitalter – die Börsen müssen mit der Zeit gehen!!
