Zwei Tage nach dem größten Krypto-Diebstahl aller Zeiten hat der Binance-Hacker laut Blockchain-Daten und dem Analyseunternehmen Chainalysis keine einzige der Ether-Münzen im Wert von rund 484 Millionen Dollar bewegt, die in zwei Wallets liegen. Andere Teile der Beute werden dagegen gewaschen.

Wichtigste Erkenntnisse

• 214.720 ETH im Wert von etwa 484 Millionen Dollar liegen seit Freitag früh unberührt in zwei Wallets des Angreifers

• Etwa 2 Milliarden Dollar in USDT und USDC sind weiterhin in der Haupt-Wallet des Angreifers eingefroren

• Der Angreifer verkauft weiterhin kleinere gestohlene Token über neue Wegwerf-Wallets, zuletzt am Samstagmorgen

• Chainalysis zufolge läuft die Geldwäsche auf anderen Chains automatisiert ab und ist anders als alles, was das Unternehmen bisher gesehen hat. Ein Ausfall von THORChain hat einen Teil davon verlangsamt

• Binance hat 6,34 Milliarden Dollar zurückgelegt und 7.499 BTC aus seinem Notfallfonds bewegt. Die Auszahlungen sollen am frühen Sonntag wieder aufgenommen werden

Dies folgt auf unsere erste Rückverfolgung des Geldes am Freitag. Alle Zeitangaben sind UTC, und sämtliche Wallet-Angaben unten wurden am Samstagabend auf Etherscan überprüft.

Die 484 Millionen Dollar, die sich nicht bewegt haben

Der größte Teil des Ether, den der Angreifer erbeutet hat, liegt still. Zwei Wallets enthalten fast den gesamten Betrag.

Wallet Ether-Guthaben Wert Letzter Geldeingang Abflüsse seitdem 0x8532…43d4 197.460 ETH 445 Mio. $ Fr. 01:14 Keine 0x03b0…20ea 17.260 ETH 39 Mio. $ Fr. 05:15 Keine Insgesamt 214.720 ETH 484 Mio. $

Quelle: Etherscan, am Samstagabend überprüft. Werte bei etwa 2.253 $ pro Ether.

Ether kann von keinem Unternehmen eingefroren werden. Dieses Geld kann sich also jederzeit bewegen, wenn der Angreifer es möchte.

Die eingefrorenen 2 Milliarden Dollar sitzen weiterhin fest

Die Haupt-Wallet des Angreifers hält weiterhin 1.175.464.712 USDT und 823.000.000 USDC. Tether und Circle setzten sie innerhalb weniger Stunden nach dem Diebstahl auf ihre schwarzen Listen, sodass sich nichts davon bewegen kann. Ihr Ether-Guthaben beträgt inzwischen null.

Binance zufolge beläuft sich der über alle Chains hinweg eingefrorene Gesamtbetrag auf etwa 3 Milliarden Dollar. Diese Zahl wiederholte das Unternehmen am Freitag. Das Geld zurückzubekommen, ist ein separater Rechtsprozess, an dem die Token-Emittenten und die Strafverfolgungsbehörden beteiligt sind.

Die kleineren Token werden weiterhin verkauft

Der Angreifer ist weiterhin aktiv. Auf Ethereum ist das Muster jedes Mal dasselbe: Die Haupt-Wallet schickt einer neuen Adresse etwas Ether, um die Transaktionsgebühren zu bezahlen, sowie eine Tranche eines gestohlenen Tokens. Die neue Adresse verkauft die Token über Uniswap in einer Reihe von Trades und verstummt anschließend.

Am Samstagmorgen tat er das zweimal. Um 04:39 Uhr schickte er 0,05 ETH und 53,3 Millionen ZAMA-Token an eine neue Wallet. Um 04:57 Uhr schickte er 0,05 ETH und 1,69 Milliarden SOPH-Token an eine andere. Beide begannen innerhalb weniger Minuten mit dem Verkauf. Am Freitagabend schickte die Haupt-Wallet auf dieselbe Weise jeweils 0,5 ETH an fünf weitere neue Wallets.

Neben den 484 Millionen Dollar sind das kleine Beträge. Doch sie zeigen, dass der Angreifer aktiv ist, beim großen Batzen Geduld hat und sich mit den kleineren Beträgen beschäftigt.

Lesen Sie auch: Sam Bankman-Frieds alte Wetten sind jetzt 61 Milliarden Dollar wert – doch FTX verkaufte sie für 6 Milliarden Dollar

Was auf anderen Chains passiert

Ethereum ist nur ein Teil der Geschichte. Arkham, ein Blockchain-Tracking-Unternehmen, zählte am Donnerstag zwischen 20:10 und 23:05 Uhr 141 Transfers über neun Chains hinweg. Zuvor wurden über XRP 300 Millionen Dollar entwendet. Insgesamt verließen in den ersten 14 Minuten 4,9 Milliarden Dollar Binance.

Chainalysis zufolge wird das Geld, das bewegt werden kann, auf neue Weise gewaschen. Die Ermittler „beobachten noch nie dagewesene Geldwäsche-Muster“, teilte das Unternehmen am Freitag mit. Tausende Transaktionen in kurzer Zeit deuteten auf Automatisierung hin. Statt Gelder weiterzuleiten, lassen die Angreifer sie wiederholt zwischen Adressen zirkulieren und schicken sie häufig an Wallets zurück, die sie bereits zuvor verwendet haben.

Auf TRON liefern sich die Angreifer ein Rennen gegen die Einfrierungen. Chainalysis zufolge tauschten sie am Samstag Stablecoins gegen Empfangs-Token aus Lending-Apps. Diese Token können nicht wie USDT eingefroren werden. Wer sie hält, kann sie später jedoch von einer unbelasteten Adresse aus wieder in Stablecoins tauschen.

Ein Fluchtweg ist vorerst versperrt. THORChain, ein Dienst zum Tausch von Coins zwischen Blockchains, setzte Cross-Chain-Swaps am Samstag aus, nachdem ein Fehler bei Ethereum dazu geführt hatte, dass eine Rückerstattung zweimal ausgezahlt wurde. Dadurch sei „die Geldwäsche eines erheblichen Teils der von Binance gestohlenen Gelder unbeabsichtigt verzögert worden“, schrieb Chainalysis.

Wie Binance dafür aufkommt

Binance zufolge werden Kunden kein Geld verlieren. Am Freitag teilte das Unternehmen mit, 6,34 Milliarden Dollar an Unternehmensmitteln zurückgelegt zu haben. Davon seien bereits 5 Milliarden Dollar in genau den Token vorhanden, die gestohlen wurden. Den Rest kaufe das Unternehmen am Markt und über private Geschäfte.

Bis Samstag waren 10 Token vollständig gedeckt, darunter BTC, ETH, USDT, BNB, SOL und USDC, schrieb Mitgründerin Yi He. Binance kauft weiterhin kleinere Altcoins, um die Lücke zu schließen.

Das Unternehmen griff außerdem auf seinen SAFU-Notfallfonds zurück. Eine Bitcoin-Transaktion bewegte am Samstagnachmittag 7.499 BTC im Wert von etwa 581 Millionen Dollar aus der SAFU-Adresse, die vor der Überweisung 7.825 BTC enthielt. Yi He sagte, Binance verwende die Hälfte des SAFU-Fonds und lasse die andere Hälfte im Fonds. Binance hat nicht erklärt, wie diese beiden Angaben zusammenpassen.

Binance hat auch seine Darstellung des Angriffs geändert. Zunächst machte das Unternehmen den kompromittierten Laptop eines Ingenieurs verantwortlich. Am Freitag erklärte es jedoch, die Untersuchung habe „weitere Angriffspunkte aufgedeckt“.

Nordkoreas größtes Jahr

Chainalysis zufolge steckt Nordkorea mit „hoher Wahrscheinlichkeit“ hinter dem Angriff. Die Zahlen zeigen, wie sehr das Land inzwischen die Kryptokriminalität dominiert. Vermutete nordkoreanische Hacks machten in diesem Jahr fast 89 % der gemeldeten Verluste durch Hacks aus, gegenüber 15 % im Jahr 2021, so Chainalysis. Der durchschnittliche Schaden durch einen nordkoreanischen Hack stieg von etwa 51 Millionen Dollar im Jahr 2021 auf 186 Millionen Dollar im Jahr 2026. Dem Land werden 13,24 Milliarden der seit 2021 gemeldeten Verluste in Höhe von 22,34 Milliarden Dollar zugeschrieben.

Als Nächstes lesen: Binance-Wallets werden in einer Nacht um 2,8 Milliarden Dollar erleichtert – mutmaßlicher Hack

Worauf zu achten ist

• Auszahlungen: Binance teilte am Freitagmorgen mit, sie würden in etwa 45 Stunden wieder aufgenommen. Das deutet auf den frühen Sonntag hin

• Reservenachweis: Am Samstag wurde eine neue Momentaufnahme erstellt. Der vollständige Nachweis, mit dem Nutzer ihre eigenen Guthaben überprüfen können, soll am Dienstag, dem 3. November, vorliegen

• THORChain: Wenn die Swaps wieder aufgenommen werden, ist zu beobachten, ob sich die beiden großen Ether-Wallets zu bewegen beginnen

• Der vollständige Bericht: Binance hat eine technische Nachuntersuchung dazu versprochen, wie der Angreifer eindringen konnte