Binance-Hack: Chainalysis entdeckt neue Geldwäschemuster der Angreifer

Tausende Transfers deuten auf automatisierte Geldwäsche hin

Chainalysis hat am Freitag den Verdacht auf automatisierte Geldwäsche nach dem Diebstahl bei Binance gemeldet, den das Unternehmen auf rund 6,4 Milliarden Dollar (rund 5,7 Milliarden Euro) schätzt und als größten Krypto-Diebstahl aller Zeiten bezeichnet. Auf X schrieb das Unternehmen: „Unsere Ermittler beobachten bisher nie gesehene Geldwäschemuster bei den gestohlenen Geldern aus dem Binance-Hack.“

Tausende Transaktionen in kurzer Zeit deuteten nach Einschätzung des Unternehmens darauf hin, dass die Angreifer die Spur der Gelder automatisiert verwischen. Statt die Beute einfach weiterzuleiten, schickten die Angreifer sie immer wieder zwischen Adressen hin und her, oft auch zurück an Wallets, die schon früher in der Abfolge aufgetaucht waren. Viele Adressen erhielten zunächst genau 1 TRX, den nativen Token der Blockchain Tron, mit dem Transaktionsgebühren bezahlt werden. Erst danach nahmen sie weitere Gelder an und leiteten sie an andere Adressen weiter. Diese sich wiederholende Abfolge deute auf einen programmgesteuerten Prozess hin, mit dem die gestohlenen Gelder bewegt und umverteilt würden.

Ermittler verfolgen den Zugriff und die Spur nach Nordkorea

Binance-Co-Chef Richard Teng berichtete am Freitag von weiteren Einfallstoren und umgangenen Freigabekontrollen. Zudem habe der Angreifer einen Selbstzerstörungsmechanismus eingesetzt, der Werkzeuge und Spuren laufend vernichtet habe.

Die Abflüsse aus den Hot Wallets von Binance begannen laut Chainalysis am Donnerstag gegen 16:20 Uhr EDT (21:20 Uhr MEZ) auf mehreren Blockchains. Auf Ethereum nutzte der Angreifer demnach eine Wallet, die über Tornado Cash finanziert worden war. Der Mixing-Dienst verschleiert die Verbindung zwischen Ein- und Auszahlungen. Über die Wallet reichte der Angreifer gültige signierte Autorisierungen ein, also kryptografisch unterzeichnete Freigaben. Sie erlaubten einer Hot Wallet von Binance, vom Angreifer bereitgestellten Code auszuführen. Anschließend rief er die Wallet auf und zog ihre Bestände auf Adressen unter seiner Kontrolle ab.

Mehrere Geldwäschemuster wiesen nach Einschätzung der Ermittler zunächst auf Tradertraitor hin, eine nordkoreanische Gruppe für Cyberkriminalität. Den stärksten Beleg lieferte eine Beobachtung in Echtzeit: Gestohlene Gelder von Binance vermischten sich mit der Beute aus dem Diebstahl bei Bitget im September, der nordkoreanischen Akteuren zugeschrieben worden war. Diese direkte Verbindung auf der Blockchain stützt demnach die Zuordnung zu Tradertraitor. Unabhängig davon ordnet auch TRM Labs den Angriff Tradertraitor zu, nach eigenen Angaben mit hoher Gewissheit und auf Grundlage von On-Chain- und Off-Chain-Informationen.

Wettlauf gegen die Sperren

Nach dem Abzug begann für den Angreifer ein Wettlauf gegen die Uhr. Weil das Einfrieren von Geldern Zeit brauche, habe er versucht, den Sperren der Stablecoin-Herausgeber zuvorzukommen, erklärte Chainalysis. Dafür habe er rasch Stablecoins im Wert von 500 Millionen Dollar (rund 446 Millionen Euro) auf eine Wallet verschoben, deren Aufgabe es gewesen sei, sperrbare in nicht sperrbare Werte umzutauschen. In knapp 20 Minuten tauschte diese Wallet demnach Stablecoins im Wert von 325 Millionen Dollar (rund 290 Millionen Euro) in Ether (ETH) im Wert von rund 285 Millionen Dollar (rund 254 Millionen Euro). Zehn Minuten später schickte sie die übrigen Stablecoins im Wert von 175 Millionen Dollar (rund 156 Millionen Euro) auf Zwischen-Wallets.

Stablecoin-Herausgeber können Token an bestimmten Adressen sperren oder Adressen auf schwarze Listen setzen und so verhindern, dass die Token weiter übertragen werden. Für Ether gibt es keinen vergleichbaren Mechanismus, den ein Herausgeber steuert.

Bis zur Veröffentlichung des Berichts von Chainalysis am Freitag waren rund 2,8 Milliarden Dollar (rund 2,5 Milliarden Euro) eingefroren. Die ersten Sperren hatten spätestens um 17:14 Uhr EDT (22:14 Uhr MEZ) am Donnerstag begonnen.

Binance hat nach eigenen Angaben mehr als 6,34 Milliarden Dollar (rund 5,7 Milliarden Euro) an Firmenmitteln zurückgelegt, um die Verluste zu decken. Eingefrorene Gelder sind darin nicht eingerechnet, ihren Umfang beziffert die Börse auf derzeit rund 3 Milliarden Dollar (rund 2,7 Milliarden Euro). Von der zurückgelegten Summe lägen bereits 5 Milliarden Dollar (rund 4,5 Milliarden Euro) in genau den Token bereit, die gestohlen wurden. Die übrigen Token kaufe die Börse über den Markt und außerbörslich nach.