Eine neue On-Chain-Analyse zeichnet ein genaueres Bild davon, wer von dem gemeldeten 6,3-Milliarden-Dollar-Hack bei Binance profitierte – und wie viel der gestohlenen Kryptowährungen sich noch unter der Kontrolle der Angreifer befindet. Laut dem Blockchain-Analyseunternehmen Bitquery verfügten die Täter am Freitag über etwa 18.270 Bitcoin, verteilt auf 19 Adressen. Der Gesamtwert belief sich auf rund 1,4 Milliarden Dollar.
Die Ergebnisse kommen zusammen mit Details aus den jüngsten öffentlichen Einreichungen von Coinbase und den laufenden Gegenmaßnahmen von Binance. Die von Bitquery nachverfolgten Bitcoin-Bestände übersteigen zudem die Menge, die Coinbase laut eigenen Angaben zu Anlage- und Betriebszwecken hält – nicht jedoch den Anteil, den Coinbase im Auftrag seiner Kunden verwahrt.
Die wichtigsten Erkenntnisse
Bitquery verfolgte bis Freitag 18.270 BTC (etwa 1,4 Mrd. Dollar), die mit dem Binance-Hacker in Verbindung stehen, über 19 Adressen zurück.
Diese Gesamtmenge liegt 199 BTC über den zusammen 18.071 BTC, die Coinbase zum 30. September für Anlage- und Betriebszwecke gemeldet hatte (Kundenguthaben ausgenommen).
Binance erklärte, dass gestohlene Vermögenswerte im Wert von rund 3 Mrd. Dollar eingefroren worden seien, und sagte zu, alle Verluste zu übernehmen.
Laut einem Bericht von Cointelegraph hat TRM Labs den Angriff der mit Nordkorea verbundenen Gruppe TraderTraitor zugeschrieben.
Bitcoin-Bestände der Angreifer übersteigen die Unternehmensreserven
Die im Bericht von Bitquery zum Binance-Hack veröffentlichte Untersuchung verfolgte 18.270 BTC, die sich im Besitz der Angreifer befanden, über 19 Adressen zurück. Zum Zeitpunkt der Momentaufnahme wurde der Wert des Bestands auf etwa 1,4 Milliarden Dollar geschätzt.
Die Aufschlüsselung von Bitquery zeigt, dass 17 der mit den Angreifern verbundenen Adressen jeweils 1.000 BTC enthielten, während die übrigen Coins auf zwei weitere Wallets verteilt waren. Solche Konzentrationsmuster sind für Ermittler häufig nützlich, um Gruppierungen zu erkennen und nachzuvollziehen, wie gestohlene Gelder für spätere Transaktionen aufgeteilt werden.
Wichtig ist, dass der Vergleich mit Coinbase auf einem bestimmten Teil der öffentlichen Berichterstattung der Börse beruht. Aus der bei der US-Börsenaufsicht SEC eingereichten Offenlegung von Coinbase geht hervor, dass das Unternehmen zum 30. September 17.954 BTC zu Anlagezwecken und 117 BTC für den Betrieb hielt, insgesamt also 18.071 BTC. Diese Zahl umfasst nicht die Bitcoin, die Coinbase für Kunden verwahrt. Dennoch überstieg die von Bitquery nachverfolgte Gesamtmenge von 18.270 BTC, die den Angreifern zugeschrieben wurde, den offengelegten Unternehmensbestand von Coinbase um 199 BTC.
BitcoinTreasuries.net, das Unternehmensbestände auf Grundlage öffentlich verfügbarer Daten einordnet, platziert Coinbase bei börsennotierten Unternehmen mit Bitcoin-Beständen auf Rang acht. Grundlage dafür ist der Anlagebestand von 17.954 BTC.
Binance meldet, einen Teil der Beute eingefroren zu haben
Während die Momentaufnahme von Bitquery dabei hilft, den von den Angreifern gehaltenen Anteil zu beziffern, hebt das eigene öffentliche Update von Binance hervor, was nach eigenen Angaben bereits eingedämmt werden konnte. Binance bestätigte, Opfer des 6,3-Milliarden-Dollar-Hacks geworden zu sein, und erklärte, dass Vermögenswerte im Wert von etwa 3 Milliarden Dollar eingefroren worden seien. Die Börse sagte außerdem zu, alle Verluste zu übernehmen.
Laut den von Cointelegraph wiedergegebenen Stellungnahmen von Binance deckten die Ermittler später weitere Angriffspunkte auf. Die Börse hatte zunächst eine Kompromittierung eines Laptops vermutet, der einem DevOps-Ingenieur gehörte. Binance erklärte jedoch, dass sich der Fokus nach weiteren Untersuchungen auf andere Bereiche des Vorfalls verlagert habe.
Für Marktteilnehmer ist diese Mischung aus Offenlegungen wichtig: Der Anteil der eingefrorenen Gelder im Vergleich zu den weiterhin liquiden und zugänglichen Geldern beeinflusst, wie schnell gestohlene Vermögenswerte bewegt, getauscht oder über verschiedene Blockchains verteilt werden können.
Ether-Transaktionen und der Aufbau des Angreifer-Portfolios
Die Nachverfolgung von Bitquery beschränkte sich nicht auf Bitcoin. In derselben Momentaufnahme vom Freitag erklärte Bitquery, 508.621 Ether (ETH) Aktivitäten mit Verbindungen zu den Angreifern zugeordnet zu haben. Das sind mehr als die 495.362 ETH, die BitcoinTreasuries.net The Ether Machine zugerechnet hatte (Rang drei unter den Unternehmen mit den größten Ether-Beständen).
Bitquery beschrieb auch, wie die Angreifer ihre ETH-Bestände aufgebaut hatten. Den Angaben zufolge stahlen die Angreifer zunächst 200.630 ETH und stockten ihre Bestände durch den Tausch gestohlener Stablecoins und anderer Token auf. Dieses Detail trägt dazu bei zu erklären, wie Angreifer ihre Bestände in einem wichtigen Vermögenswert ausweiten können, selbst wenn der ursprüngliche Diebstahl mehrere Token-Arten umfasst.
Zudem erklärte Bitquery, dass die gestohlenen Bitcoin während des Angriffs aus den Hot Wallets von Binance stammten. Der Vorfall habe am Donnerstag neun Blockchains innerhalb von weniger als vier Stunden betroffen.
Zuordnung und verbleibende Unsicherheiten
Die Zuordnung der Täter ist ein wichtiger Teil der Geschichte, doch gerade hier können Unsicherheiten fortbestehen, bis die Ermittlungen vollständig zusammengeführt sind. Cointelegraph berichtete unter Berufung auf eine Analyse von TRM Labs, dass das Unternehmen den Angriff der mit Nordkorea verbundenen Hackergruppe TraderTraitor zugeschrieben habe.
Binance präzisierte unterdessen weiter seine Darstellung des Angriffs und rückte von frühen Annahmen über ein einzelnes kompromittiertes Gerät ab, um ein breiteres Spektrum an Angriffspunkten in den Blick zu nehmen. Die beträchtlichen Bestände der Angreifer – sowohl in Bitcoin als auch in Ether – unterstreichen, warum diese Details wichtig sind: Das Verständnis der Vorgehensweise hilft Ermittlern vorherzusehen, wie die Gelder aufgeteilt wurden und ob weitere Wallets oder damit verbundene Vorfälle auftauchen könnten.
Für Anleger und Händler lautet die entscheidende Frage nun nicht nur, wie viel Kryptowährung gestohlen wurde, sondern auch, auf wie viel der verbliebenen Bestände zugegriffen werden kann, was sich tauschen oder blockieren lässt. Die Momentaufnahme von Bitquery gewährt Einblick in die von den Angreifern kontrollierten Bestände zu einem bestimmten Zeitpunkt. Binances Aussage, etwa 3 Milliarden Dollar seien eingefroren worden, deutet zugleich darauf hin, dass nicht alle Vermögenswerte dasselbe Schicksal erlitten.
Leser sollten weitere forensische Analysen von Bitquery und anderen Anbietern von Blockchain-Analysen im Auge behalten – insbesondere Veränderungen bei der Verteilung von Adressen mit Verbindungen zu den Angreifern nach den Bemühungen, Vermögenswerte einzufrieren. Ebenso sollten sie auf weitere Klarstellungen von Binance zu den konkreten Angriffswegen achten, über die Gelder über mehrere Blockchains bewegt werden konnten.
Dieser Artikel wurde ursprünglich unter dem Titel „Binance-Hack: Wallets halten 18.270 BTC und übertreffen damit die Coinbase-Reserven“ bei Crypto Breaking News veröffentlicht – Ihrer vertrauenswürdigen Quelle für Krypto-Nachrichten, Bitcoin-Nachrichten und Blockchain-Updates.