Binance hat innerhalb von etwa 30 Minuten über 10 Blockchains hinweg gerade 6,36 Milliarden US-Dollar verloren – der größte Börsen-Hack aller Zeiten. Binance sagt, dass das Unternehmen den gesamten Verlust decken wird.
Der Mechanismus ist der Teil, über den es sich nachzudenken lohnt. Hier wurde kein privater Schlüssel geleakt. Nach eigenen Angaben von Binance ging der Angriff auf einen kompromittierten internen Rechner zurück, der Zugriff auf einen Service-Container hatte, über den Auszahlungen eingereicht werden konnten. Auf Ethereum nutzte der Angreifer vorab signierte EIP-7702-Autorisierungen, um aus einer Hot Wallet eine Wallet zum Leerräumen zu machen. Auf den anderen Chains signierten die Wallets einfach gewöhnliche, gültig aussehende Auszahlungsanfragen. Der Signierer vertraute darauf, dass der Aufrufer intern war. Er prüfte nie, was der Aufrufer ihn signieren lassen wollte.
Genau diesen Fehlermodus soll eine Schlüsselarchitektur ohne Auszahlungszugriff verhindern: Wenn deine Börsenschlüssel Auszahlungen physisch nicht autorisieren können, hat ein kompromittierter Aufrufer nichts, was er ausnutzen könnte.
Wenn dein aktuelles Setup eine Auszahlung anfordern kann: Wie würdest du eine betrügerische Auszahlung tatsächlich erkennen, bevor sie ausgeführt wird?
$BTC $TBOT #Bitcoin #TokenBot #CyberSecurity tokenbot.com
Der Mechanismus ist der Teil, über den es sich nachzudenken lohnt. Hier wurde kein privater Schlüssel geleakt. Nach eigenen Angaben von Binance ging der Angriff auf einen kompromittierten internen Rechner zurück, der Zugriff auf einen Service-Container hatte, über den Auszahlungen eingereicht werden konnten. Auf Ethereum nutzte der Angreifer vorab signierte EIP-7702-Autorisierungen, um aus einer Hot Wallet eine Wallet zum Leerräumen zu machen. Auf den anderen Chains signierten die Wallets einfach gewöhnliche, gültig aussehende Auszahlungsanfragen. Der Signierer vertraute darauf, dass der Aufrufer intern war. Er prüfte nie, was der Aufrufer ihn signieren lassen wollte.
Genau diesen Fehlermodus soll eine Schlüsselarchitektur ohne Auszahlungszugriff verhindern: Wenn deine Börsenschlüssel Auszahlungen physisch nicht autorisieren können, hat ein kompromittierter Aufrufer nichts, was er ausnutzen könnte.
Wenn dein aktuelles Setup eine Auszahlung anfordern kann: Wie würdest du eine betrügerische Auszahlung tatsächlich erkennen, bevor sie ausgeführt wird?
$BTC $TBOT #Bitcoin #TokenBot #CyberSecurity tokenbot.com
