XRP eerste doelwit bij Binance-hack: vijf wallets leeg in vier minuten

Vijf betalingen samen goed voor 296 miljoen dollar

Binance verloor op 29 oktober ongeveer $296 miljoen aan XRP, zo bleek uit transactietracering door TRM Labs. Het blockchain-analysebedrijf onderzoekt illegale activiteiten met cryptovaluta. Het verklaarde:

"De eerste diefstal van de avond vond plaats op het XRP-ledger. Tussen 20:05 en 20:09 UTC stuurden vijf Binance-wallets 233,46 miljoen XRP naar één enkel adres van de aanvaller, waardoor elke wallet slechts het minimumsaldo overhield."

Onchain-analysebedrijf Glassnode rapporteerde dezelfde volgorde en plaatste op X: „Eerst ging XRP, kort daarna SOL, gevolgd door BTC, ETH, USDT en TRX.” Het blockchain-analyseplatform Arkham schatte dat de aanvaller zijn eerste 300 miljoen dollar in XRP had gestort, gevolgd door 6 miljard dollar die tussen 20:10 en 23:05 UTC via 141 overboekingen over negen blockchains werd verplaatst.

Xrplwin, een explorer die transacties en accountactiviteit op het XRP Ledger weergeeft, traceerde vijf overboekingen naar één door de aanvaller gecontroleerd adres in een tijdsbestek van vier minuten en 20 seconden. De eerste overboeking maakte ongeveer 79% van het totaal uit. Elke wallet behield de vereiste rekeningreserve, XRP die niet via gewone betalingen kan worden verzonden. Onderzoekers kunnen de daaropvolgende overboekingen volgen via openbare wallet-saldi en transactiegeschiedenissen.

Ripple legde beperkingen op aan RLUSD terwijl Binance het beveiligingslek onderzocht

De eerste bevindingen van de beurs over de inbreuk op de wallets beschreven ongeautoriseerde opnames uit door Binance beheerde wallets. TRM beschreef de bredere aanval als volgt:

"Binnen enkele minuten hadden Binance-wallets op het XRP Ledger, Ethereum, Bitcoin, Tron, Solana en vier andere netwerken hun saldi overgemaakt naar adressen die door één enkele aanvaller werden beheerd."

Co-CEO Richard Teng maakte vervolgens aanvullende inbreukpunten en omzeilde goedkeuringscontroles bekend naarmate onderzoekers hun onderzoek uitbreidden. TRM identificeerde gewone, ondertekende XRP-overboekingen vanuit Binance-wallets. De beoordeling wees op gecompromitteerde ondertekeningsrechten op verschillende netwerken.

Ripple bevroor op 29 oktober om 22:01 uur UTC 40,5 miljoen gestolen RLUSD, zijn door de dollar gedekte stablecoin, op Ethereum, zo bevestigde TRM. De aanvaller had 48 miljoen van de 88,5 miljoen gestolen RLUSD verkocht. Ripple heeft ook de RLUSD in de gecompromitteerde Binance-portemonnee aan banden gelegd om verdere opnames te voorkomen.

Met bevriezingsmaatregelen kan een aanbieder van stablecoins de overdracht van zijn tokens naar bepaalde adressen blokkeren. Uit de tracking van de gestolen XRP door blockchain-analysebedrijf Elliptic bleek dat deze tokens op 31 oktober om 05.00 uur UTC nog niet waren verplaatst. De bevriezingsmaatregelen van de uitgever van RLUSD zijn niet van toepassing op XRP; pogingen tot terugvordering zijn afhankelijk van het opsporen en mogelijke onderschepping door beurzen of andere diensten.

Binance verklaarde dat de XRP-saldi volledig gedekt waren

Er was meer dan 6,34 miljard dollar gereserveerd in het kader van de toezegging van Binance om de financiële verliezen op te vangen, zo meldde de beurs op 30 oktober. Binance beloofde dekking via zijn gebruikersbeschermingsfonds en de bedrijfskas.

In het kader van het herstel- en terugbetalingsplan voor opnames koppelde Binance de heropening aan veiligheidscontroles en validatie van de getroffen systemen. De beurs handhaafde in haar update van 31 oktober de streefdatum van 1 november voor heropening.

In zijn update van 31 oktober over de dekking van XRP en negen andere cryptovaluta’s verklaarde Binance: „Alle BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD en ZEC zijn voor 100% volledig gedekt.” Het meldde een totale aanvulling van 90%.

Een op 31 oktober gepubliceerde momentopname van de reserves registreerde de bezittingen en de saldi van klanten op dat moment. Met zero-knowledge proofs kunnen gebruikers controleren of hun saldi zijn opgenomen in de gerapporteerde totalen, zonder dat de gegevens van andere klanten worden blootgesteld. Binance verwachtte uiterlijk 3 november het volledige bewijs voor de tien activa te hebben.