Bei diesem Sicherheitsvorfall bei Binance gibt es meiner Meinung nach ein Detail, über das man mehr nachdenken sollte als über die Überweisung von Vermögenswerten im Wert von mehreren Milliarden Dollar.
Es wurde nicht bestätigt, dass der Private Key offengelegt wurde. Wie konnte der Angreifer trotzdem Vermögenswerte transferieren?
Einfach gesagt könnte der Vorfall ein Problem offengelegt haben, das viele leicht übersehen: Die größte Sicherheitslücke einer Kryptobörse befindet sich nicht unbedingt in der Wallet, sondern möglicherweise außerhalb davon.
Laut den vorläufigen Angaben von Binance könnte der Angriff mit der Kompromittierung des Laptops eines DevOps-Ingenieurs begonnen haben und sich anschließend auf interne Service-Container und den Auszahlungsprozess ausgeweitet haben.
GCSA führte im Anschluss eine On-Chain-forensische Untersuchung durch und überprüfte 18 ursprüngliche Transaktionen, 50 anfängliche EIP-7702-Autorisierungssignaturen sowie eine Signatur zum Widerruf einer Autorisierung.
Dabei ist ein technisches Detail zu beachten: Eine Type-4-Transaktion kann 50 Autorisierungen enthalten, das bedeutet aber nicht, dass alle 50 wirksam werden. Eine gültige Signatur bedeutet auch nicht, dass der Private Key gestohlen wurde.
Der Bericht verfolgte außerdem drei aufeinanderfolgende Transaktionen im Zusammenhang mit der MetaMask Gas Station. Dabei stellte sich heraus, dass der Betrag der vorherigen ETH-Aufladung genau dem maximalen Gas-Budget der beiden folgenden Transaktionen entsprach.
Für Behauptungen, der Angreifer habe versehentlich USDT ausgewählt oder MetaMask verfüge über die echte IP-Adresse, gibt es derzeit keine ausreichenden Belege.
TRM Labs ordnete den Vorfall mit hoher Zuversicht der nordkoreanischen Bedrohungsgruppe TraderTraitor zu. Das bedeutet jedoch nicht, dass die Identität des Angreifers und sein Vorgehen bereits vollständig rekonstruiert wurden.
Ich bin seit jeher der Meinung, dass sich die Sicherheit einer Kryptobörse nicht nur auf Cold Wallets, Multi-Signaturen und Private Keys konzentrieren darf.
Mitarbeitercomputer, interne Berechtigungen, die DevOps-Umgebung, Signaturdienste, Auszahlungsfreigaben und sogar die Infrastruktur von Drittanbietern: Wird auch nur ein Glied in der Kette kompromittiert, kann das gesamte Sicherheitskonzept für Vermögenswerte wirkungslos werden.
Noch ein Punkt: Die Schätzung, wonach der Vorfall Vermögenswerte im Wert von rund 6,3 Milliarden Dollar betraf, entspricht nicht dem endgültigen Nettoverlust. Und eine Sperrung bedeutet nicht, dass die Vermögenswerte zurückgeholt wurden.
Was die gesamte Branche an diesem Vorfall wirklich überdenken sollte: Wenn Angreifer keine Private Keys direkt in die Hände bekommen müssen und trotzdem Vermögenswerte bewegen können, reicht die Sicherheitsgrenze, die wir bislang für Kryptobörsen angenommen haben, womöglich nicht mehr aus.
Es wurde nicht bestätigt, dass der Private Key offengelegt wurde. Wie konnte der Angreifer trotzdem Vermögenswerte transferieren?
Einfach gesagt könnte der Vorfall ein Problem offengelegt haben, das viele leicht übersehen: Die größte Sicherheitslücke einer Kryptobörse befindet sich nicht unbedingt in der Wallet, sondern möglicherweise außerhalb davon.
Laut den vorläufigen Angaben von Binance könnte der Angriff mit der Kompromittierung des Laptops eines DevOps-Ingenieurs begonnen haben und sich anschließend auf interne Service-Container und den Auszahlungsprozess ausgeweitet haben.
GCSA führte im Anschluss eine On-Chain-forensische Untersuchung durch und überprüfte 18 ursprüngliche Transaktionen, 50 anfängliche EIP-7702-Autorisierungssignaturen sowie eine Signatur zum Widerruf einer Autorisierung.
Dabei ist ein technisches Detail zu beachten: Eine Type-4-Transaktion kann 50 Autorisierungen enthalten, das bedeutet aber nicht, dass alle 50 wirksam werden. Eine gültige Signatur bedeutet auch nicht, dass der Private Key gestohlen wurde.
Der Bericht verfolgte außerdem drei aufeinanderfolgende Transaktionen im Zusammenhang mit der MetaMask Gas Station. Dabei stellte sich heraus, dass der Betrag der vorherigen ETH-Aufladung genau dem maximalen Gas-Budget der beiden folgenden Transaktionen entsprach.
Für Behauptungen, der Angreifer habe versehentlich USDT ausgewählt oder MetaMask verfüge über die echte IP-Adresse, gibt es derzeit keine ausreichenden Belege.
TRM Labs ordnete den Vorfall mit hoher Zuversicht der nordkoreanischen Bedrohungsgruppe TraderTraitor zu. Das bedeutet jedoch nicht, dass die Identität des Angreifers und sein Vorgehen bereits vollständig rekonstruiert wurden.
Ich bin seit jeher der Meinung, dass sich die Sicherheit einer Kryptobörse nicht nur auf Cold Wallets, Multi-Signaturen und Private Keys konzentrieren darf.
Mitarbeitercomputer, interne Berechtigungen, die DevOps-Umgebung, Signaturdienste, Auszahlungsfreigaben und sogar die Infrastruktur von Drittanbietern: Wird auch nur ein Glied in der Kette kompromittiert, kann das gesamte Sicherheitskonzept für Vermögenswerte wirkungslos werden.
Noch ein Punkt: Die Schätzung, wonach der Vorfall Vermögenswerte im Wert von rund 6,3 Milliarden Dollar betraf, entspricht nicht dem endgültigen Nettoverlust. Und eine Sperrung bedeutet nicht, dass die Vermögenswerte zurückgeholt wurden.
Was die gesamte Branche an diesem Vorfall wirklich überdenken sollte: Wenn Angreifer keine Private Keys direkt in die Hände bekommen müssen und trotzdem Vermögenswerte bewegen können, reicht die Sicherheitsgrenze, die wir bislang für Kryptobörsen angenommen haben, womöglich nicht mehr aus.