Binance stuft einen gemeldeten Sicherheitsvorfall im Umfang von mehreren Milliarden Dollar als gezielten Hack ein, der mit Aktivitäten auf mindestens einer Ethereum-Wallet in Verbindung steht. Dies löste rasche Einfrierungen durch Stablecoin-Emittenten und Blockchain-Sicherheitsanbieter aus. Während die Untersuchungen weiterlaufen, gibt die Börse an, dass sich der geschätzte Gesamtschaden auf rund 6,3 Milliarden Dollar beläuft und bereits bestätigt wurde, dass Kryptowährungen im Wert von 3 Milliarden Dollar eingefroren sind.

Für Nutzer haben die Aufrechterhaltung des Betriebs und die Eindämmung des Vorfalls bei Binance zunächst Priorität. Einzahlungen funktionieren normal, während Auszahlungen voraussichtlich innerhalb von 48 Stunden wieder aufgenommen werden, nachdem die Börse ihre Sicherheitsmaßnahmen für den Auszahlungsprozess und die zugehörigen Adressen überarbeitet hat.

Die wichtigsten Erkenntnisse

• Binance schätzt die Gesamtauswirkungen des Hacks auf etwa 6,3 Milliarden US-Dollar, von denen derzeit 3 Milliarden US-Dollar nachweislich eingefroren sind.

• Die Auszahlungen sollen innerhalb von 48 Stunden wieder aufgenommen werden; Binance zufolge funktionieren Einzahlungen weiterhin.

• Die eingefrorenen Vermögenswerte umfassen mehrere Stablecoins und Token, darunter USDT, USDC, RLUSD, USD1, XUSD sowie an Gold und den US-Dollar gekoppelte Produkte.

• Cybersicherheitsforscher und On-Chain-Ermittler halten den mit Nordkorea verbundenen Akteur TraderTraitor für den wahrscheinlichsten Täter.

• Aave und andere Marktteilnehmer ergriffen Maßnahmen, um Abläufe einzufrieren oder anzupassen, nachdem sie Hinweise auf Aktivitäten im Zusammenhang mit dem Exploit erhalten hatten.

Was Binance zufolge passiert ist – und was eingefroren wurde

In seinen Mitteilungen berichtete Binance, dass der Vorfall auf mehrere Faktoren zurückzuführen sei und die Ermittler den gesamten Angriffsweg zurückverfolgten. Als möglichen Einstiegspunkt vermutete Binance den kompromittierten Computer eines DevOps-Ingenieurs. Binance erklärte, keine Hinweise auf den Verlust eines privaten Schlüssels gefunden zu haben, merkte jedoch an, dass die Untersuchung noch andauere.

Die Börse bestätigte außerdem eine Änderung ihrer betrieblichen Vorgehensweise. Zu einem bestimmten Zeitpunkt setzte sie Auszahlungen aus und pausierte vorübergehend Einzahlungen sowie handelsbezogene Aktivitäten, während sie Sicherheitsprüfungen durchführte, Gelder einfror und sich mit Strafverfolgungsbehörden und Emittenten abstimmte. Später erklärte Binance, dass Einzahlungen weiterhin möglich seien und Auszahlungen pausiert blieben, während der Auszahlungsdienst und die damit verbundenen Adressen abgesichert würden.

Der von Binance bestätigte Betrag der eingefrorenen Vermögenswerte stieg im Laufe der Zeit. Zunächst nannte Binance 2,54 Milliarden US-Dollar an nachweislich eingefrorenen Vermögenswerten, später erhöhte sich der Betrag auf 3 Milliarden US-Dollar, als weitere Einfrierungen wirksam wurden.

Zu den von Binance als eingefroren aufgeführten Vermögenswerten gehörten Tether USDt (USDT), USDC (USDC), Ripple USD (RLUSD), World Liberty Financial USD (USD1), StraitsX USD (XUSD), USDT0, Wrapped Beacon ETH (WBETH), Tether Gold (XAUT), Pax Gold (PAXG) und Pax Dollar (USDP) sowie Arbitrum (ARB).

Arbitrum nannte auch Einzelheiten zu einer der Einfrierungsmaßnahmen: Nach Angaben des Security Council führte dieser eine Transaktion aus, um ARB und Ether im Wert von 30,5 Millionen US-Dollar einzufrieren und die Gelder in eine zwischengeschaltete eingefrorene Wallet zu übertragen. Arbitrum erklärte, dass die ursprüngliche Adresse des Inhabers keinen Zugriff mehr haben würde und weitere Transfers zusätzliche Maßnahmen des Security Council oder eine Entscheidung der Arbitrum-DAO-Governance erfordern würden.

Ermittler: TraderTraitor steht mit früheren Aktivitäten der DVRK in Verbindung

Während sich die Untersuchung von Binance auf die technische Eindämmung konzentriert, stellen externe Analysten eine Verbindung zwischen dem Verhalten des Angreifers und früheren Hackeraktivitäten mit Verbindungen zu Nordkorea her.

Chainalysis-Mitgründer und CEO Jonathan Levin sagte, der Hack sei wahrscheinlich von TraderTraitor ausgeführt worden. In einem Beitrag auf X bezifferte Levin den Diebstahl auf 6,4 Milliarden US-Dollar – etwas mehr als Binances Schätzung von 6,3 Milliarden US-Dollar – und erklärte, Partner aus der Branche hätten etwa 3 Milliarden US-Dollar eingefroren. Chainalysis teilte mit, die Gelder weiterhin zu verfolgen.

Der On-Chain-Ermittler ZachXBT stellte eine Verbindung zwischen diesem Binance-Vorfall und einem früheren, separaten Exploit her. Seinen Angaben zufolge wurden gestohlene Gelder aus dem Binance-Angriff und dem früheren Bitget-Exploit nach dem Eingang über THORChain an derselben Adresse zusammengeführt. Seiner Einschätzung nach könnte somit derselbe Akteur hinter beiden Vorfällen stecken.

Blockaid-Mitgründer und CEO Ido Ben-Natan sagte gegenüber Cointelegraph, der Angriff ähnele Operationen, die Nordkorea zugeschrieben würden. Als Hinweise nannte er die ausgefeilten On-Chain-Vorbereitungen, einen „Sweeper“-Vertrag für Kunden und mehrere Autorisierungen. Separaten Berichten zufolge schrieb TRM Labs den Angriff mit „hoher Sicherheit“ TraderTraitor zu, basierend auf „fundierter On- und Off-Chain-Informationslage“.

Abgesehen von den Einschätzungen der Branche wurde TraderTraitor zuvor vom FBI als die Gruppe benannt, die hinter dem ByBit-Hack im Februar des Vorjahres steckte. Das bestärkt Analysten in der Annahme, dass es sich um ein bekanntes Bedrohungsmuster und nicht um einen Einzelfall handelt.

Wie der Vorfall bei DeFi-Protokollen und Stablecoins eingedämmt wird

Während sich der Hack entfaltete, handelten mehrere Bereiche des Krypto-Ökosystems schnell, um die Risiken durch mit dem Exploit verbundene Gelder zu senken.

TRM Labs und mehrere Stablecoin-Anbieter erklärten, sie hätten Token eingefroren, die ihrer Einschätzung nach mit den kompromittierten Aktivitäten in Verbindung standen. Dem Artikel zufolge stimmten sich Tether und Circle ab, um zusammen Beträge in USDT und USDC einzufrieren. Die Emittenten unterstützten die Ermittlungen weiter, während die Vermögenswerte gesperrt blieben.

Auch dezentrale Kreditprotokolle reagierten. Aave erklärte, aus Vorsichtsgründen Märkte in seinen V3- und V4-Bereitstellungen eingefroren zu haben, nachdem der Angreifer hinter dem Binance-Hack Vermögenswerte eingezahlt und geliehen hatte. Laut einer im Aave-Governance-Forum veröffentlichten Mitteilung, die vom Risikodienstleister LlamaRisk weitergegeben wurde, umfassten die Kreditgeschäfte USDT-Einzahlungen und einen WETH-Kredit. Die Mitteilung beschrieb die einzige Aave-Position des Angreifers über alle Netzwerke und Versionen hinweg zu diesem Zeitpunkt. Aave-Nutzer konnten weiterhin Gelder abheben und Kredite zurückzahlen, doch das Protokoll blockierte neue Einzahlungen und Kreditaufnahmen, um den finanziellen Hebel des Angreifers zu begrenzen und das Risiko von Kaskadeneffekten zu senken.

LlamaRisk warnte, dass die Kreditzinsen steigen könnten, wenn das Einfrieren länger andauere und die Liquidität durch Abhebungen abnehme. Außerdem teilte das Unternehmen mit, die Märkte blieben eingefroren, bis die Gelder des Angreifers nicht mehr bewegt würden und Binance mehr Klarheit über die Eindämmungsmaßnahmen geschaffen habe. Anschließend solle eine schrittweise Wiederöffnung erfolgen.

Störungen bei zentralisierten Börsen – und der Druck auf den Gesamtmarkt

Obwohl sich die Eindämmung verbesserte, waren Händler kurzfristig mit einer durch den Vorfall bedingten Volatilität konfrontiert. Die im Bericht zitierten Daten von CoinGecko bezifferten den Bitcoin-Kurs auf etwa 76.937 US-Dollar, was einem Rückgang von rund 4,9 % innerhalb von 24 Stunden entsprach. BNB verlor etwa 8 % und Ether fiel um rund 5,7 %. Auch DeFi-Token notierten laut Bericht im selben Zeitraum niedriger, darunter AAVE und UNI von Uniswap.

Auch die Marktstimmung verschlechterte sich. Dem Bericht zufolge fiel der Bitcoin Fear and Greed Index mit einem Wert von 30 auf „Angst“ – ein Stand, der zuletzt im August erreicht worden war. Das deutet darauf hin, dass der Gesamtmarkt sowohl auf die Schlagzeilen über den Hack als auch auf die Unsicherheit darüber reagierte, wie schnell Vermögenswerte zurückgewonnen oder endgültig als gesichert bestätigt werden könnten.

Unterdessen machten große Market Maker ihre Geschäftsbeziehungen zu Binance öffentlich. Wintermute und GSR erklärten, sie rechneten nicht mit größeren Störungen ihres Betriebs und bezeichneten ihr Engagement als begrenzten Anteil ihres Netto-Eigenkapitals. Keiner der Führungskräfte nannte jedoch einen Verlustbetrag in US-Dollar oder bestätigte finanzielle Auswirkungen.

Worauf es als Nächstes zu achten gilt

Binances nächste wichtige Meilensteine sind operativer Natur: Die Börse sagt, dass Auszahlungen innerhalb von 48 Stunden wieder aufgenommen werden sollten. Anleger sollten jedoch auf weitere Aktualisierungen zu den verifizierten eingefrorenen Beträgen, Bestätigungen dazu, ob Signaturinfrastruktur kompromittiert wurde (ohne dass ein privater Schlüssel offengelegt wurde), sowie zusätzliche Reaktionen auf Protokollebene von DeFi-Projekten und Stablecoin-Emittenten achten, während die Ermittler der Spur des Angreifers folgen.

Dieser Artikel wurde ursprünglich unter dem Titel Binance-Hack, Verluste von 6,3 Mrd. US-Dollar: Verbindung von TraderTraitor zu Nordkorea gemeldet auf Crypto Breaking News veröffentlicht – Ihrer vertrauenswürdigen Quelle für Krypto-Nachrichten, Bitcoin-News und Blockchain-Updates.