Binances jüngster Sicherheitsvorfall im Umfang von 6,3 Milliarden US-Dollar lenkt die Aufmerksamkeit weg von den Schlagzeilen über die Verlustsumme und hin zu einer technischeren Frage: Was genau ermöglichte die Wallet-Architektur der Börse den Angreifern, und wie stark hing das Ausmaß des Schadens von den internen Kontrollen rund um ihre Hot Wallets ab?

In Kommentaren vom 30. Oktober erklärte Binance-Co-CEO Richard Teng, der Angriff habe sich gegen die eigene Hot Wallet der Börse gerichtet. Er beschrieb eine Verwahrungsstruktur, bei der die meisten Kundenvermögen offline in Cold Storage aufbewahrt und nur dann in Hot Wallets übertragen werden, wenn Nutzer Auszahlungen anfordern. Analysten warnen jedoch, dass öffentliche Blockchain-Daten nicht vollständig beantworten können, wie sicher diese Auszahlungen autorisiert und begrenzt wurden, nachdem ein Angreifer Zugriff erlangt hatte.

Wichtigste Erkenntnisse

• Binance erklärte, Angreifer hätten die eigene Hot Wallet des Unternehmens betroffen. Die meisten Kundengelder würden normalerweise in Offline-Cold-Storage aufbewahrt und für Auszahlungen aufgestockt.

• Blockchain-Transaktionsdaten können zeigen, welche Gelder bewegt wurden, aber nicht bestätigen, welche internen Signatur- und Genehmigungskontrollen für diese Transfers galten.

• Der CertiK-Analyst Jonathan Riss sagte, das potenzielle Ausmaß des Schadens hänge davon ab, was das Signatursystem über einen längeren Zeitraum zulasse, und nicht nur von den Wallet-Guthaben zu einem bestimmten Zeitpunkt.

• Fireblocks und andere Sicherheitsexperten erklärten, dass Börsen häufig Liquidität in Hot Wallets für erwartete Auszahlungen bereithalten – üblicherweise einen niedrigen einstelligen Prozentsatz –, wobei die genaue Ausgestaltung variiert.

• Binances erster Vorfallsbericht deutete darauf hin, dass Angreifer Zugriff auf einen internen Wallet-Signaturdienst erlangt hatten. Die Börse erklärte jedoch, einige technische Details vertraulich zu behandeln.

Was Binance über den Vorfall sagt – und was im Dunkeln bleibt

Teng zufolge betraf der Angriff laut seinen Äußerungen vom 30. Oktober Binances eigene Hot Wallet und nicht den Großteil der offline verwahrten Vermögenswerte. Diese Unterscheidung ist für Anleger und Nutzer von erheblicher praktischer Bedeutung: Wenn der Cold-Storage-Bestand unversehrt blieb, könnte der Vorfall vor allem die Abläufe bei der Befüllung der Hot Wallets und der Autorisierung von Auszahlungen während des Angriffszeitraums widerspiegeln.

Binances erster Vorfallsbericht (am Dienstag veröffentlicht) lieferte einen weiteren Hinweis. Demnach griffen die Angreifer auf einen internen Wallet-Signaturdienst zu, über den Gelder außerhalb des üblichen Auszahlungsprozesses der Börse bewegt werden konnten. Die Börse deutete außerdem an, einige technische Einzelheiten nicht offenzulegen, da weitere Informationen zusätzliche Angriffe ermöglichen könnten.

Binance beantwortete keine Nachfragen von Cointelegraph zu Wallet-Guthaben und Schutzmaßnahmen. Damit bleibt eine wesentliche Frage offen: Wie war die Signaturumgebung aufgebaut, um unautorisierte Transfers zu verhindern oder zu verlangsamen, und gab es mehrere Autorisierungsebenen?

Warum ein Blockchain-„Beweis“ die Debatte über die Kontrolle der Wallet nicht entscheiden kann

Selbst angesichts der vielfach gemeldeten Gesamtsumme von 6,3 Milliarden US-Dollar reicht diese Zahl laut Analysten nicht aus, um das Risiko zu verstehen. Der CertiK-Analyst Jonathan Riss erklärte, die Zahl beziehe sich auf den kumulierten Wert der betroffenen Vermögenswerte auf zehn Blockchains. Auf Ethereum hätten die Angreifer konkret wiederholt Gelder aus einer Hot Wallet abgezogen, sobald neue Einzahlungen eingingen. Das deute auf einen dynamischen Prozess statt auf eine einmalige Auszahlung hin.

Riss betonte, dass der zu einem bestimmten Zeitpunkt auf der Blockchain angezeigte Kontostand nur einen Teil der Geschichte darstellt. Wenn ein Angreifer gültige Signaturen erhält, hängt seine Fähigkeit, Gelder abzuziehen, von der Architektur der Wallet-Signierung ab – insbesondere davon, welche Signierberechtigungen und zeitbasierten Limits bestehen.

Er hob außerdem ein Kontrollproblem hervor, das immer dann eine Rolle spielt, wenn mehrere Systeme miteinander interagieren. Werden Transaktionslimits nur von der Anwendung durchgesetzt, die Signaturen anfordert, kann ein Angreifer, der diese Anwendung kompromittiert, die Kontrollen möglicherweise umgehen. Werden die Limits dagegen direkt vom Signatursystem durchgesetzt, können sie Auszahlungen auch dann noch einschränken, wenn ein Angreifer Zugriff auf vorgelagerte Software erlangt.

Von außen sei es schwierig, Börsen fair miteinander zu vergleichen, sagte er. Branchenweit gebe es nur wenige öffentliche Informationen zur internen Signaturarchitektur. Nachweise über Reserven und Reservenatteste könnten zwar Aufschluss darüber geben, wo Vermögenswerte verwahrt werden, belegten aber nicht unbedingt, wie Auszahlungen autorisiert wurden oder welche Beschränkungen während eines Sicherheitsvorfalls galten. Eugene Hahr, Chief Product Officer bei BitGo, lehnte es ebenfalls ab, über Binances interne Schutzmaßnahmen zu spekulieren. Die Aufschlüsselung der Verwahrungsvereinbarungen sei eine Frage, die Binance am besten beantworten könne.

Wie viel Liquidität gehört in Hot Wallets?

Die grundlegende Frage, die der Binance-Vorfall aufwirft, lautet nicht einfach „Wie groß ist die Hot Wallet?“, sondern „Wie darf sich das Guthaben der Hot Wallet bewegen?“. Idan Ofrat, Mitgründer und Chief Product Officer bei Fireblocks, sagte, Börsen hielten üblicherweise genug Geld in Hot Wallets vor, um einige Tage lang erwartete Auszahlungen abzudecken. Seiner Einschätzung nach entspreche das häufig einem niedrigen einstelligen Prozentsatz der verwalteten Vermögenswerte; der Großteil der Kundengelder werde in Cold-Storage-Einrichtungen verwahrt.

Ofrat beschrieb auch Unterschiede darin, wie Börsen zwischengeschaltete Ebenen nutzen. Manche setzen Zwischen-Wallets ein, für deren Übertragung in Hot Wallets eine manuelle Genehmigung erforderlich ist. Das schafft zusätzliche Hürden, wenn es darum geht, die Geschwindigkeit unautorisierter Bewegungen zu begrenzen.

Andere Marktteilnehmer betonten, dass hohe Guthaben in Hot Wallets nicht automatisch auf Missmanagement hindeuten. Alex Tobol, Chief Technology Officer der Telegram-basierten Krypto-Wallet Walt, sagte, für eine Börse in der Größenordnung von Binance könne es normal sein, Milliardenbeträge in Hot Wallets zu halten. Der entscheidende Unterschied liege seiner Ansicht nach darin, ob Auszahlungen in einem kompromittierten Zustand automatisch verarbeitet werden können – oder ob die Auffüllung der Hot-Wallet-Liquidität aus dem Cold Storage separate Entscheidungen der Treasury-Abteilung und eine manuelle Genehmigung erfordert.

Hahr verwies auf Kontrollmaßnahmen, die Verluste im Falle einer Systemkompromittierung begrenzen können. Dazu gehören Transaktionslimits, Beschränkungen für genehmigte Auszahlungsadressen und zusätzliche Autorisierungsanforderungen, bevor Gelder signiert und übertragen werden.

Druck auf die Branche nach dem Angriff

Binance agiert nicht im luftleeren Raum. Nach dem Vorfall machten mehrere Wettbewerber Angaben zu ihren Cold-Storage-Anteilen öffentlich, darunter Coinbase, Gate und Upbit, wie aus Berichten hervorgeht, auf die sich Cointelegraph bezieht. Das zeigt, wie schnell Sicherheitsvorfälle die Erwartungen von Nutzern und Aufsichtsbehörden an eine „grundlegende“ Offenlegung verändern können: Es geht nicht nur darum, wie viel eine Börse verwahrt, sondern auch darum, wie diese Struktur das Risiko in einem Notfall beeinflusst.

Der Fall Binance verdeutlicht jedoch auch eine Einschränkung solcher Angaben. Prozentangaben zum Cold Storage können die Verteilung der Reserven beschreiben, geben aber keinen Einblick in die praktischen Abläufe der Wallet-Signaturdienste – insbesondere nicht darin, ob Limits an einer Stelle durchgesetzt wurden, die Angreifer umgehen konnten, oder ob Genehmigungen und Adressbeschränkungen stark genug waren, um den Transferprozess zu verlangsamen.

Wer die tatsächlichen Lehren aus dem Vorfall bei Binance einschätzen möchte, sollte als Nächstes darauf achten, ob Ermittler und Binance weitere Einzelheiten zu den Berechtigungen des Signaturdienstes veröffentlichen, wie Transaktionslimits durchgesetzt wurden (auf Anwendungs- oder Signaturseite) und welche zusätzlichen Kontrollen – falls überhaupt – unautorisierte Transfers nach erfolgtem Zugriff verhindern sollten.

Dieser Artikel wurde ursprünglich unter dem Titel „Binance-Hack im Umfang von 6,3 Milliarden US-Dollar rückt Sicherheitskontrollen von Hot Wallets ins Visier“ auf Crypto Breaking News veröffentlicht – Ihrer vertrauenswürdigen Quelle für Krypto-Nachrichten, Bitcoin-Nachrichten und Blockchain-Updates.