🔴 Wie kam es zum 6,3-Mrd.-$-Hack bei Binance? Ein fünfmonatiger Angriff – in 20 Minuten gestohlen
Juni: Ein DevOps-Engineer für Wallets wollte ein KI-Coding-Tool einrichten und lud einen manipulierten Homebrew-Installer herunter.
September: Ein gefälschter Recruiter kontaktierte einen weiteren Engineer mit einem fingierten Vorstellungsgespräch und brachte ihn dazu, ein bösartiges Code-Repository herunterzuladen.
20. Okt.: Über diese Computer und Binances internes KI-Tool übernahmen die Angreifer die Rechner von zwei weiteren Engineers. Außerdem erlangten sie ein Token mit Berechtigungen zur Container-Bereitstellung.
29. Okt.: Vom Computer von Engineer C aus stellten sie mit gestohlenen Zugangsdaten einen Container bereit und führten ein bösartiges Skript aus. Dadurch erreichten sie Binances internen Wallet-Signierdienst und umgingen die üblichen Auszahlungskontrollen.
Auf Ethereum leiteten 50 vorab signierte EIP-7702-Autorisierungen die Hot Wallet Binance 14 an den Vertrag der Angreifer weiter. So wurden 167.464 ETH + 1,615 Mrd. USDT abgezogen. Über 10 Chains hinweg waren es insgesamt etwa 6,34 Mrd. $, darunter 233,46 Mio. XRP, ~970.500 SOL und 18.270 BTC – das meiste davon innerhalb von 20 Minuten.
Warum konnte die Aussetzung von Auszahlungen den Angriff nicht stoppen? Die bösartigen EIP-7702-Delegierungen waren bereits on-chain, und die MPC-Wallet verfügt über keinen einzelnen privaten Schlüssel, der widerrufen werden könnte – dafür war ein spezielles Verfahren erforderlich.
Wer steckt dahinter? TRM Labs und das FBI schreiben den Angriff der nordkoreanischen Gruppe TraderTraitor zu (derselben Gruppe wie beim Diebstahl von 1,5 Mrd. $ bei Bybit); Nordkorea bestreitet dies. Binance zufolge wurden keine Hinweise auf ein Leck privater Schlüssel gefunden.
Aktuell: Etwa 2,85 Mrd. $ wurden eingefroren oder abgefangen. Binance zufolge wurden ~98 % der Mittel wieder aufgefüllt.
Hinweis: Diese Angaben beruhen auf Binances vorläufigem Bericht vom 3. November sowie den Erkenntnissen von TRM Labs und dem FBI. Der vollständige Abschlussbericht und eine unabhängige Prüfung liegen noch nicht vor.
Juni: Ein DevOps-Engineer für Wallets wollte ein KI-Coding-Tool einrichten und lud einen manipulierten Homebrew-Installer herunter.
September: Ein gefälschter Recruiter kontaktierte einen weiteren Engineer mit einem fingierten Vorstellungsgespräch und brachte ihn dazu, ein bösartiges Code-Repository herunterzuladen.
20. Okt.: Über diese Computer und Binances internes KI-Tool übernahmen die Angreifer die Rechner von zwei weiteren Engineers. Außerdem erlangten sie ein Token mit Berechtigungen zur Container-Bereitstellung.
29. Okt.: Vom Computer von Engineer C aus stellten sie mit gestohlenen Zugangsdaten einen Container bereit und führten ein bösartiges Skript aus. Dadurch erreichten sie Binances internen Wallet-Signierdienst und umgingen die üblichen Auszahlungskontrollen.
Auf Ethereum leiteten 50 vorab signierte EIP-7702-Autorisierungen die Hot Wallet Binance 14 an den Vertrag der Angreifer weiter. So wurden 167.464 ETH + 1,615 Mrd. USDT abgezogen. Über 10 Chains hinweg waren es insgesamt etwa 6,34 Mrd. $, darunter 233,46 Mio. XRP, ~970.500 SOL und 18.270 BTC – das meiste davon innerhalb von 20 Minuten.
Warum konnte die Aussetzung von Auszahlungen den Angriff nicht stoppen? Die bösartigen EIP-7702-Delegierungen waren bereits on-chain, und die MPC-Wallet verfügt über keinen einzelnen privaten Schlüssel, der widerrufen werden könnte – dafür war ein spezielles Verfahren erforderlich.
Wer steckt dahinter? TRM Labs und das FBI schreiben den Angriff der nordkoreanischen Gruppe TraderTraitor zu (derselben Gruppe wie beim Diebstahl von 1,5 Mrd. $ bei Bybit); Nordkorea bestreitet dies. Binance zufolge wurden keine Hinweise auf ein Leck privater Schlüssel gefunden.
Aktuell: Etwa 2,85 Mrd. $ wurden eingefroren oder abgefangen. Binance zufolge wurden ~98 % der Mittel wieder aufgefüllt.
Hinweis: Diese Angaben beruhen auf Binances vorläufigem Bericht vom 3. November sowie den Erkenntnissen von TRM Labs und dem FBI. Der vollständige Abschlussbericht und eine unabhängige Prüfung liegen noch nicht vor.
