Binance-Hack: Angreifer verkauft Altcoins, Zweifel an Binances Erklärung

Sieben Token in wenigen Stunden verkauft

Der Dieb verlor kaum Zeit, die gestohlenen Altcoins in Ether umzuwandeln. Laut dem On-Chain-Tracker Lookonchain hat der Angreifer den Verkauf mehrerer Altcoins abgeschlossen, darunter UNI, ENA, PEPE, LINK, AAVE, ONDO und WLD. Er tauschte sie in insgesamt 70.480 ETH im Wert von rund 158,25 Millionen Dollar (rund 141,3 Millionen Euro).

• 7,02 Millionen UNI für 39,63 Millionen Dollar (rund 35,4 Millionen Euro), zu einem Kurs von 5,65 Dollar (rund 5,04 Euro)
• 217,5 Millionen ENA für 33,93 Millionen Dollar (rund 30,3 Millionen Euro), zu einem Kurs von 0,16 Dollar (rund 0,14 Euro)
• 7,77 Billionen PEPE für 31,66 Millionen Dollar (rund 28,3 Millionen Euro)
• 2,57 Millionen LINK für 26,05 Millionen Dollar (rund 23,3 Millionen Euro), zu einem Kurs von 10,14 Dollar (rund 9,05 Euro)
• 127.953 AAVE für 14,27 Millionen Dollar (rund 12,7 Millionen Euro), zu einem Kurs von 111,55 Dollar (rund 99,60 Euro)
• 21,85 Millionen ONDO für 6,62 Millionen Dollar (rund 5,9 Millionen Euro) und 17,32 Millionen WLD für 6,09 Millionen Dollar (rund 5,4 Millionen Euro)

Die Eile kostete den Angreifer viel Geld. Ein Analyst stellte fest, dass er 7.018.792 UNI innerhalb von 51 Minuten verkaufte und beim letzten Tausch einen um 21 Prozent schlechteren Preis erzielte als beim ersten. Bei PEPE ging er vorsichtiger vor. Ein Tracker zählte 85 Transaktionen über anderthalb Stunden, keine davon über 1,05 Millionen Dollar (rund 940.000 Euro).

Die Logik dahinter war einfach. Weil Tether und Circle bereits große Stablecoin-Guthaben eingefroren hatten, nahm der Hacker nach Einschätzung des Analysten den Abschlag in Kauf, um rechtzeitig an Gegenwerte zu kommen. Ähnlich ging er bei den Stablecoins vor.

Außerdem verkaufte der Angreifer laut TRM Labs rund 325 Millionen USDT an Market Maker und erhielt dafür rund 122.300 ETH, mit einem Abschlag von mehr als 10 Prozent.

Warum Binance womöglich zurückkaufen muss

Der Ausverkauf reißt eine Lücke in die Bücher von Binance. Die gestohlenen ENA-, UNI-, PEPE- und AAVE-Bestände entsprechen 7 bis 15 Prozent der Bestände, die Binance für den jeweiligen Token meldet, weil die geleerte Wallet in den Reservenachweis der Börse eingerechnet war. Ein Händler argumentierte, Binance sei bei PEPE im Grunde mit rund 40 Millionen Dollar (rund 35,7 Millionen Euro) netto short und müsse die Token zurückkaufen, um die Ansprüche der Kunden zu erfüllen. Ob Binance die verkauften Token ersetzt hat, dürfte der nächste Reservenachweis mit Stichtag 1. November zeigen.

Binance hat zugesagt, alle Verluste aus seinem Notfallfonds Safu und aus Firmenmitteln zu decken. Einige Händler setzen bereits auf solche Rückkäufe. Eine neu angelegte Wallet eröffnete direkt nach dem Ende des ENA-Ausverkaufs auf Hyperliquid eine dreifach gehebelte Long-Position über 22,78 Millionen ENA im Wert von 4,09 Millionen Dollar (rund 3,7 Millionen Euro).

Binance: Keine Hinweise auf abgeflossene Schlüssel

Wie der Angreifer eindringen konnte, ist umstritten. Erste Untersuchungen deuten laut Binance darauf hin, dass der Vorfall mit dem kompromittierten Laptop eines Devops-Ingenieurs zusammenhängen könnte. Darüber habe sich ein Angreifer Zugang zu einem Service-Container verschafft und unerlaubte Auszahlungen ausgelöst. „Wir haben keine Hinweise auf ein Abfließen privater Wallet-Schlüssel gefunden“, stellte das Unternehmen klar.

Mehrere Forscher deuteten die Lage anders. Einige meinten, der Vorfall habe sich von einem Angriff über eine EIP-7702-Delegation zu einer möglichen Kompromittierung des Signaturschlüssels von „Binance 16“ ausgeweitet. EIP-7702 ist eine Ethereum-Funktion, mit der eine gewöhnliche Wallet den Code eines Smart Contracts ausführen kann.

Das Sicherheitsunternehmen Blockaid stellte fest, dass der Angreifer in einer einzigen Transaktion 50 Autorisierungen einreichte, um die aktuelle Nonce der Hot Wallet zu treffen. Die Nonce ist ein Zähler, der die Transaktionen einer Wallet ordnet. Nur eine der 50 Autorisierungen passte.

Das stärkste Argument der Skeptiker: Der Diebstahl beschränkte sich nicht auf Ethereum. Binance-Wallets auf neun weiteren Blockchains verschickten laut TRM Gelder über gewöhnliche signierte Überweisungen. Das Unternehmen hält es für wahrscheinlich, dass der Angreifer das Signatursystem der Hot Wallets von Binance dazu bringen konnte, Transaktionen seiner Wahl zu signieren. Einer Schätzung zufolge flossen allein bei Bitcoin 1,449 Milliarden Dollar (rund 1,3 Milliarden Euro) ab, bei Tron 628 Millionen Dollar (rund 561 Millionen Euro). Auf beiden Netzwerken gibt es kein EIP-7702.

Missbraucht statt gestohlen

Wer innerhalb eines Dienstes Signaturen anfordern kann, könnte Schlüssel nutzen, ohne sie je zu entwenden. Der On-Chain-Forscher 0xQuit wies darauf hin, dass der Angreifer einen Relayer nutzte, was bei direktem Zugriff auf die Schlüssel unnötig gewesen wäre. Es scheine wahrscheinlich, dass der Angreifer die privaten Schlüssel nicht besessen habe, fügte er hinzu. Bitcoin.com News hat zusammengefasst, was bislang über den Angriff bestätigt ist.

Die Folgen reichen inzwischen bis ins dezentrale Finanzwesen (Defi). Der Angreifer hatte bei Aave gegen 60 Millionen USDT rund 19.760 ETH geliehen. Die Kreditplattform fror daraufhin die betroffenen Märkte ein. Ether fiel in der Nacht zum Freitag zeitweise um mehr als 5 Prozent auf rund 2.190 Dollar (rund 1.960 Euro), wie die Kursdaten von Coingecko zeigen.