Während die Auszahlungstaste gedrückt gehalten wurde, liefen die On-Chain-Transfers weiter.
Binance hat den Abend des 29. Oktober heute minutengenau aufgeschlüsselt. Zwischen 20:05 und 20:09 UTC überwiesen fünf Hot Wallets 233,46 Millionen XRP an eine Adresse des Angreifers. Dazu kamen rund 970.500 SOL, 44,2 Millionen OP und 18.270 BTC. Der Vorfall betraf insgesamt Vermögenswerte im Wert von rund 6,34 Milliarden US-Dollar; davon wurden 2,85 Milliarden eingefroren oder abgefangen.
Entscheidend war, wo die Berechtigungen lagen. Der Angreifer erlangte keinen einzelnen privaten Schlüssel. Über einen Signaturdienst fügte er seinem eigenen Vertrag eine Ethereum-EIP-7702-Delegierung hinzu. Sobald diese Delegierung auf der Blockchain war, liefen die Transfers am Auszahlungsprozess vorbei. Die Aussetzung von Auszahlungen kontrollierte den regulären Weg, konnte aber die bereits On-Chain wirksame Autorisierung nicht aufhalten.
Die Hot Wallets nutzten Multi-Party Computation; es gab keinen einzelnen privaten Schlüssel, der sich sofort widerrufen ließ. Deshalb entwickelte das Team kurzfristig einen Widerrufsprozess. In diesem Zeitfenster reichte der Angreifer 50 signierte Transaktionen ein, um den Nonce des Kontos zu manipulieren. Die letzte Transaktion über 2.961,9 ETH wurde um 23:56 UTC bestätigt. Erst am 30. Oktober um 00:10 wurde vom Hot Wallet Binance14 eine Autorisierung an die Nulladresse gesendet, um den delegierten Code zu entfernen.
Der Einstiegspunkt war kein Codefehler. Im Juni suchte Wallet-Betriebsingenieur A nach einem KI-Programmiertool und lud ein manipuliertes Homebrew-Installationspaket herunter. pyenv war durch eine 3.414 Byte große Version ersetzt worden; das Original war 3.344 Byte groß. Im September wurde Softwareingenieur B auf einer Jobplattform zu einem gefälschten Vorstellungsgespräch eingeladen und nach der zweiten Runde aufgefordert, ein Repository mit einer Arbeitsaufgabe herunterzuladen. Am 20. Oktober wurde ein internes KI-Tool zum Sprungbrett für die Ausbreitung im Netzwerk. Zwischen 17:15 und 19:56 Uhr am 29. Oktober setzte der Angreifer mit gestohlenen Zugangsdaten Container auf dem Computer von Ingenieur C ein.
Laut Binance hat das Sicherheitsteam im Jahr 2026 57 mutmaßlich mit Nordkorea in Verbindung stehende Cyberbedrohungen erkannt und abgewehrt. Der ergänzende Satz von Yi He trifft es besser: Vieles wurde abgefangen, aber schon ein einziger durchgerutschter Angriff kann schwerwiegende Folgen haben.
Am wichtigsten ist in diesem Bericht der zeitliche Abstand. Für 98 % der betroffenen Token war bis zum 31. Oktober Ersatz bereitgestellt; die Frage nach der Entschädigung ist damit praktisch geklärt. Entscheidend sind die vier Stunden zwischen 20:05 und 00:10: Auch nachdem der Pausenknopf gedrückt worden war, waren die Berechtigungen des Angreifers weiterhin auf der Blockchain aktiv. Bei künftigen Meldungen dieser Art sollte man zuerst fragen, ob die betreffenden On-Chain-Autorisierungen widerrufen wurden.
#中本聪国际社区Baoluo币商资本 #币安推出BinanceIntelligence #币安 #SAFU
Binance hat den Abend des 29. Oktober heute minutengenau aufgeschlüsselt. Zwischen 20:05 und 20:09 UTC überwiesen fünf Hot Wallets 233,46 Millionen XRP an eine Adresse des Angreifers. Dazu kamen rund 970.500 SOL, 44,2 Millionen OP und 18.270 BTC. Der Vorfall betraf insgesamt Vermögenswerte im Wert von rund 6,34 Milliarden US-Dollar; davon wurden 2,85 Milliarden eingefroren oder abgefangen.
Entscheidend war, wo die Berechtigungen lagen. Der Angreifer erlangte keinen einzelnen privaten Schlüssel. Über einen Signaturdienst fügte er seinem eigenen Vertrag eine Ethereum-EIP-7702-Delegierung hinzu. Sobald diese Delegierung auf der Blockchain war, liefen die Transfers am Auszahlungsprozess vorbei. Die Aussetzung von Auszahlungen kontrollierte den regulären Weg, konnte aber die bereits On-Chain wirksame Autorisierung nicht aufhalten.
Die Hot Wallets nutzten Multi-Party Computation; es gab keinen einzelnen privaten Schlüssel, der sich sofort widerrufen ließ. Deshalb entwickelte das Team kurzfristig einen Widerrufsprozess. In diesem Zeitfenster reichte der Angreifer 50 signierte Transaktionen ein, um den Nonce des Kontos zu manipulieren. Die letzte Transaktion über 2.961,9 ETH wurde um 23:56 UTC bestätigt. Erst am 30. Oktober um 00:10 wurde vom Hot Wallet Binance14 eine Autorisierung an die Nulladresse gesendet, um den delegierten Code zu entfernen.
Der Einstiegspunkt war kein Codefehler. Im Juni suchte Wallet-Betriebsingenieur A nach einem KI-Programmiertool und lud ein manipuliertes Homebrew-Installationspaket herunter. pyenv war durch eine 3.414 Byte große Version ersetzt worden; das Original war 3.344 Byte groß. Im September wurde Softwareingenieur B auf einer Jobplattform zu einem gefälschten Vorstellungsgespräch eingeladen und nach der zweiten Runde aufgefordert, ein Repository mit einer Arbeitsaufgabe herunterzuladen. Am 20. Oktober wurde ein internes KI-Tool zum Sprungbrett für die Ausbreitung im Netzwerk. Zwischen 17:15 und 19:56 Uhr am 29. Oktober setzte der Angreifer mit gestohlenen Zugangsdaten Container auf dem Computer von Ingenieur C ein.
Laut Binance hat das Sicherheitsteam im Jahr 2026 57 mutmaßlich mit Nordkorea in Verbindung stehende Cyberbedrohungen erkannt und abgewehrt. Der ergänzende Satz von Yi He trifft es besser: Vieles wurde abgefangen, aber schon ein einziger durchgerutschter Angriff kann schwerwiegende Folgen haben.
Am wichtigsten ist in diesem Bericht der zeitliche Abstand. Für 98 % der betroffenen Token war bis zum 31. Oktober Ersatz bereitgestellt; die Frage nach der Entschädigung ist damit praktisch geklärt. Entscheidend sind die vier Stunden zwischen 20:05 und 00:10: Auch nachdem der Pausenknopf gedrückt worden war, waren die Berechtigungen des Angreifers weiterhin auf der Blockchain aktiv. Bei künftigen Meldungen dieser Art sollte man zuerst fragen, ob die betreffenden On-Chain-Autorisierungen widerrufen wurden.
#中本聪国际社区Baoluo币商资本 #币安推出BinanceIntelligence #币安 #SAFU