Binance-Hack: Angreifer umging Freigaben und löschte Spuren, sagt Teng

Ermittlungen gehen über den Laptop hinaus

Binance habe bei der Untersuchung weitere Einfallstore entdeckt, nicht nur den zunächst verdächtigten Laptop eines Ingenieurs, sagte Teng. In einem Video vom Freitag erklärte er, der Angriff sei nicht von einer einzelnen Person ausgeführt worden. Erste Ermittlungen hätten zwar auf einen kompromittierten Laptop hingedeutet, spätere Untersuchungen hätten aber weitere Einfallstore offengelegt.

Zudem schilderte Teng in dem Video, wie der Angreifer seine Spuren verwischte. „Das war ein komplexer Angriff. Der Angreifer nutzte zudem einen Selbstzerstörungsmechanismus, der Werkzeuge und Spuren während des Angriffs vernichtete, was es uns erschwerte, ihn nachzuvollziehen und zu untersuchen“, sagte er.

Schon in einer früheren Erklärung zum Ablauf des Angriffs hatte Teng betont, der Angreifer habe nicht einfach die Zugriffsrechte eines einzelnen Ingenieurs genutzt. Es habe sich auch nicht um eine einzelne Aktion mit einem Klick gehandelt, sondern um einen komplexeren Angriffsablauf. Die Untersuchung habe keine einzelne Person verantwortlich gemacht.

Signaturkontrollen auf dem Prüfstand

Um zu erklären, warum die Freigabe versagte, verwies Teng auf EIP-7702. Der Angreifer habe dieses Verfahren, das Teng als bekanntes Multisignatur-Protokoll bezeichnete, genutzt, um auf der Blockchain die Ausführungsrechte für eine Hot Wallet zu erhalten. Diese Delegation sei nicht durch die üblichen Freigabekontrollen der Börse gelaufen. Deshalb müsse Binance den Auszahlungsdienst aussetzen, um die gesamte Infrastruktur zu untersuchen, neu aufzubauen und erneut zu testen.

Genau genommen ist EIP-7702 eine Ethereum-Funktion, mit der eine Wallet den Code eines Smart Contracts ermächtigen kann, in ihrem Namen zu handeln, auch beim Übertragen von Vermögenswerten. Wer bösartigen Code delegiert, kann einem Angreifer so die Kontrolle über die Bestände verschaffen. Eine Multisignatur-Freigabe ist dagegen eine eigene Kontrolle, die mehrere Unterschriften verlangt.

Eine unabhängige Analyse von TRM Labs deutet auf eine Kompromittierung der Signaturinfrastruktur von Binance über mehrere Blockchains hin. Als Beleg führte das Unternehmen gültige Signaturen von Wallets mit unterschiedlichen Schlüsseln und Signaturverfahren an. Die Angreifer hätten die Systeme von Binance demnach dazu bringen können, Überweisungen zu autorisieren. Diese Erkenntnis betrifft die Kontrolle über den Signaturprozess, Teng hatte dagegen keine Hinweise auf abgeflossene private Schlüssel gemeldet.

Unabhängig davon stieß Elliptic bei seiner On-Chain-Analyse auf 50 gültig signierte Autorisierungen auf Ethereum, die in einer einzigen Transaktion eingereicht wurden. Eine davon ermöglichte die Delegation an Code des Angreifers, der die betroffene Wallet immer wieder leerte, sobald neue Gelder eingingen.

Firmenmittel sichern die Zusage ab

Die Börse habe mehr als 6,34 Milliarden Dollar (rund 5,7 Milliarden Euro) an Firmenmitteln für die Verluste zurückgelegt, sagte Teng. Davon lägen bereits 5 Milliarden Dollar (rund 4,5 Milliarden Euro) in den betroffenen Token, darunter USDC, USDT, Bitcoin (BTC), Ether (ETH) und BNB. Die übrigen Token kaufe Binance über den Markt und außerbörslich nach, um die gestohlenen Werte zu ersetzen.

In dem Video sagte Teng zu, alle Verluste aus Firmenmitteln zu decken, frühere Erklärungen nannten auch den Notfallfonds Secure Asset Fund for Users (Safu). Schon zuvor hatte Teng den Kunden versichert, ihr Geld sei sicher und Binance decke jeden Verlust. Möglich sei das, weil die Börse Gewinne in Kryptowährungen einbehalten habe, erklärte er und verwies auf langfristige Investitionen in das Geschäft und in die Sicherheit.

Zu den Vermögenswerten, die die Börse für ihre Kunden verwahrt, sagte Teng, Binance verwende niemals Kundengelder, diese seien daher nicht betroffen. Getroffen habe der Vorfall nur die eigene Hot Wallet der Börse. Der überwiegende Teil der Kundengelder liege in Cold Wallets und werde nur dann in eine Hot Wallet verschoben, wenn ein Nutzer eine Auszahlung veranlasse.

Neustart der Auszahlungen steht noch aus

Den Auszahlungsdienst baue Binance neu auf und schalte ihn erst wieder ein, wenn er strenge Tests bestanden habe, sagte Teng. Er sei sehr zuversichtlich, dass Nutzer noch vor der Frist am Sonntag wieder auszahlen könnten, voraussichtlich innerhalb von 40 Stunden. Die unternehmensweite Sicherheitsprüfung umfasse Endgeräte, die Cloud-Infrastruktur, die Schlüsselverwaltung und die Signatursysteme.

Frühere Updates hatten von normal laufenden Einzahlungen, widerrufenen Autorisierungen für betroffene Adressen und rund 3 Milliarden Dollar (rund 2,7 Milliarden Euro) berichtet, die Partner eingefroren hatten. Strafverfolgungsbehörden, Blockchain-Analysefirmen, Token-Herausgeber und andere Börsen arbeiten daran, die Gelder zurückzuholen und die Verantwortlichen zu ermitteln. Teng dankte den Nutzern für ihre Geduld und den Partnern für ihre schnelle Hilfe. Binance arbeite ohne Pause daran, die Nutzer vollständig zu entschädigen.

Einen technischen Abschlussbericht will Binance vorlegen, sobald die Ermittler die Ergebnisse geprüft haben. Besorgten Nutzern riet Teng, ihre Guthaben zu prüfen und sich an den Support zu wenden. Einen vollständigen Reservenachweis (Proof of Reserves) versprach er bis Montag, 2. November, eine erste Übersicht womöglich schon früher.