Bevor 6,3 Milliarden Dollar die Binance-Wallets verließen, hatten die Angreifer ihre Schritte bereits geprobt.
Und die On-Chain-Beweise offenbaren einen beunruhigenden Zeitablauf.
So lief einer der größten Krypto-Hacks der Geschichte ab.
📅 28. OKTOBER: DIE VORBEREITUNG
Laut TRM Labs begannen die Vorbereitungen mindestens 36 Stunden vor dem Diebstahl.
Eine von den Angreifern kontrollierte Wallet erhielt über Tornado Cash, einen Dienst zur Verschleierung der Herkunft von Transaktionen, kleine ETH-Beträge.
Am 29. Oktober spielten die Angreifer schädlichen Code auf und testeten den Angriff mit mehreren Wallets.
Das waren keine zufälligen Transaktionen. Die Operation war bereits geprobt worden, bevor Milliardenbeträge in Bewegung gesetzt wurden.
📅 29. OKTOBER: DER ANGRIFF BEGINNT
Gegen 20:05 UTC begannen verdächtige Abhebungen von Binance-kontrollierten Wallets.
Was dann folgte, war außergewöhnlich.
• 233,46 Millionen XRP wurden von Binance-Wallets transferiert.
• 18.270 BTC im Wert von etwa 1,47 Milliarden US-Dollar wurden transferiert.
• Rund 612,7 Millionen USDT wurden auf TRON abgezogen.
• Um 20:24 UTC transferierte eine Ethereum-Hot-Wallet 167.464 ETH und Dutzende Token, darunter etwa 1,615 Milliarden USDT.
Laut TRM Labs waren Wallets auf 10 Blockchains betroffen; der Großteil der Gelder wurde innerhalb von etwa 20 Minuten transferiert.
Der geschätzte Gesamtschaden belief sich auf etwa 6,3 MILLIARDEN US-Dollar.
🔍 WIE ERLANGTEN DIE ANGREIFER DIE KONTROLLE?
Hier wird es besonders interessant.
Ermittler entdeckten 50 vorab signierte EIP-7702-Autorisierungen, die auf eine wichtige Ethereum-Hot-Wallet von Binance abzielten.
Diese Autorisierungen ermöglichten es dem Angreifer, das Verhalten der Wallet an schädlichen Smart-Contract-Code zu delegieren.
Nach der Aktivierung konnte der Angreifer wiederholt Vermögenswerte aus dieser Wallet abziehen.
Doch der Angriff beschränkte sich nicht auf Ethereum.
Auch mehrere Binance-Wallets auf verschiedenen Blockchains führten unbefugte Transfers aus.
Das deutet darauf hin, dass die Angreifer möglicherweise etwas viel Umfassenderes als nur eine einzelne Wallet kompromittiert hatten.
🚨 BINANCE REAGIERT
Während sich der Vorfall entfaltete, begannen Tether, Circle und andere Branchenakteure, betroffene Vermögenswerte einzufrieren.
Binance setzte Abhebungen vorübergehend aus und leitete eine Untersuchung ein.
Am 30. Oktober bestätigte Binance:
• Geschätzter Schaden: 6,3 Milliarden US-Dollar.
• Etwa 3 Milliarden US-Dollar wurden On-Chain eingefroren.
• Nutzerverluste werden aus dem SAFU-Fonds und Unternehmensmitteln gedeckt.
• Es wurden keine Hinweise auf durchgesickerte private Wallet-Schlüssel gefunden.
Binances vorläufige Untersuchung deutet darauf hin, dass der Laptop eines kompromittierten DevOps-Ingenieurs unbefugten Zugriff auf einen internen Dienst ermöglicht haben könnte.
Die vollständige technische Untersuchung läuft noch.
👀 WER STECKTE HINTER DEM ANGRIFF?
TRM Labs schreibt die Operation TraderTraitor zu, einer mit Nordkorea verbundenen Hackergruppe, die auch mit dem Bybit-Angriff von 2025 in Verbindung gebracht wird.
Binance hat die Identität des Angreifers jedoch nicht öffentlich bestätigt.
⚠️ WAR ALSO ALLES GEPLANT?
Die Beweise deuten auf eine gezielte Vorbereitung durch die Angreifer hin:
✅ Wallets wurden vor dem Diebstahl mit Geld ausgestattet.
✅ Schadcode wurde eingesetzt und getestet.
✅ Mehrere Probedurchläufe wurden durchgeführt.
✅ Dutzende Autorisierungen wurden im Voraus vorbereitet.
✅ Koordinierte Abhebungen über mehrere Blockchains hinweg.
Doch es gibt einen wichtigen Unterschied.
Beweise dafür, dass Hacker den Angriff geplant haben, sind KEINE Beweise dafür, dass Binance ihn inszeniert hat.
Derzeit gibt es keine bestätigten Beweise für einen Insiderjob oder einen von Binance inszenierten Vorfall.
Unbeantwortet bleibt, wie ein Angreifer möglicherweise genug Zugriff erlangt hat, um Abhebungen über so viele separate Netzwerke hinweg zu autorisieren.
Binance hat einen ausführlichen Abschlussbericht und einen aktualisierten Nachweis der Reserven versprochen.
Bis diese Erkenntnisse veröffentlicht werden, bleibt die ganze Geschichte unvollständig.
Meine wichtigste Frage: Wie könnte ein kompromittierter Mitarbeiter-Laptop möglicherweise Milliarden über mehrere Blockchains hinweg gefährden?
Ein Sicherheitsversagen, eine ausgeklügelte Infiltration oder etwas, das die Ermittler noch nicht aufgedeckt haben?
Was denkt ihr?