Binance bestätigt Sicherheitsverletzung in Höhe von 6,3 Milliarden US-Dollar im Zusammenhang mit nordkoreanischen Akteuren; fast 3 Milliarden US-Dollar eingefroren

Der Kryptowährungsriese Binance gab am Donnerstag bekannt, dass ein Sicherheitsvorfall auf seiner Plattform Vermögenswerte in Höhe von rund 6,3 Milliarden US-Dollar betroffen hat. Die weltweit größte Kryptobörse erklärte, dass bisher fast 3 Milliarden US-Dollar dieser Mittel on-chain eingefroren wurden. Als Reaktion auf die Sicherheitsverletzung berichteten die Stablecoin-Emittenten Tether und Circle, dass sie jeweils mehr als 1,567 Milliarden USDT bzw. 800 Millionen USDC eingefroren haben. Darüber hinaus führte der Arbitrum Security Council eine Transaktion durch, um etwa 30,5 Millionen US-Dollar im Zusammenhang mit dem Exploit einzufrieren.

Die erste Untersuchung von Binance deutet darauf hin, dass der Vorfall einen kompromittierten Laptop eines DevOps-Ingenieurs betraf, wodurch ein Angreifer Zugriff auf einen Service-Container erhielt und unbefugte Abhebungstransaktionen durchführen konnte. Die Börse klärte auf, dass es keine Beweise für das Lecken eines privaten Wallet-Schlüssels gibt. Um weitere Verluste zu begrenzen, stellte Binance Einzahlungen und Auszahlungen vorübergehend ein, hob die Autorisierungen betroffener Adressen auf und zog Strafverfolgungsbehörden sowie Partner aus dem Bereich Blockchain-Intelligence hinzu. Das Unternehmen bestätigte, dass es alle Verluste über seinen Secure Asset Fund for Users (SAFU) und interne Mittel decken wird; Auszahlungen sollen innerhalb von 48 Stunden nach einer Sicherheitsüberarbeitung wieder aufgenommen werden.

Dieses Ereignis markiert den größten jemals aufgezeichneten Kryptodiebstahl und übertrifft damit den Diebstahl in Höhe von 1,5 Milliarden US-Dollar bei Bybit im Februar 2025. Die Blockchain-Intelligence-Firma Chainalysis schätzte den gestohlenen Betrag zum Zeitpunkt des Diebstahls auf rund 5,912 Milliarden US-Dollar, was fast das Vierfache der Summe des zweitgrößten Kryptodiebstahls entspricht. TRM Labs hat den Angriff mit hoher Sicherheit nordkoreanischen Bedrohungsakteuren zugeschrieben und ihn mit der Gruppe TraderTraitor in Verbindung gebracht, die auch für den Bybit-Diebstahl im Jahr 2025 und den KelpDAO-Hack im April 2026 verantwortlich war.

Laut TRM Labs begannen die Vorbereitungen für den Angriff mindestens 36 Stunden vor dem Diebstahl. Die Angreifer übernahmen ein Binance-Hot-Wallet, indem sie eine einzelne Transaktion mit 50 vorbereiteten Signaturen (Pre-Signed Authorizations) einreichten. Diese Technik beinhaltete das Vorbereiten von Signaturen für aufeinanderfolgende Transaktionszählungen, um die Gültigkeit bei der Ausführung sicherzustellen. Drei Minuten und 24 Sekunden nach der Delegation wies der Betreiber das Hot-Wallet an, seinen gesamten Saldo, einschließlich 167.464 ETH und 63 Token wie 1,615 Milliarden USDT, auf eine vom Angreifer kontrollierte Adresse zu übertragen.

Dr. Tom Robinson, Chief Scientist bei Elliptic, bewertete, dass der Diebstahl von Akteuren begangen wurde, die mit Nordkorea in Verbindung stehen, und verwies auf ähnliche Methoden sowie das Vermischen von Geldern aus dem jüngsten Bitget-Exploit. Elliptic stellte fest, dass der Angreifer anstatt private Schlüssel zu stehlen, die eigenen Systeme von Binance manipuliert hat, um Transaktionen in seinem Namen zu signieren – eine Methode, die dem Bybit-Diebstahl ähnelt, bei dem Infrastruktur und Personal kompromittiert wurden, nicht jedoch die Kryptografie. Bisher haben Tether, Circle, Ripple und World Liberty Financial etwa 2,67 Milliarden US-Dollar an Stablecoins eingefroren, während Arbitrum rund 30 Millionen US-Dollar an ETH und ARB eingefroren hat.

Trotz dieser Bemühungen behält der Angreifer die Kontrolle über mehr als 420.000 ETH und 18.270 BTC, die einen Wert von etwa 2,4 Milliarden US-Dollar haben, sowie kleinere Beträge auf anderen Chains. Elliptic berichtete, dass zwar 2,84 Milliarden an Geldern eingefroren wurden, der Angreifer jedoch rund 3,33 Milliarden US-Dollar an Vermögenswerten kontrolliert, die auf etwa 43 Wallet-Adressen verteilt sind und von einem Emittenten nicht eingefroren werden können. Dazu gehören 511.861 ETH, 18.270 BTC, 233 Millionen XRP und 670 Millionen TRX.

Die Verbindungen zu Nordkorea basieren auf mehreren Faktoren, darunter das Vermischen von Geldern aus den Binance- und Bitget-Exploits in derselben Ethereum-Adresse. Die Angreifer nutzten kleine Tornado-Cash-Auszahlungen, um ihre Wallets zu finanzieren, und führten vorbereitete Transaktionen in einem einzigen Burst durch – Techniken, die bei früheren Hacks beobachtet wurden, die dem Regime zugeschrieben werden. Elliptic mahnte jedoch zur Vorsicht bei der Zuschreibung aufgrund von Abweichungen in den Geldwäschemustern: Im Gegensatz zu typischen nordkoreanischen Gruppen, die Stablecoins innerhalb von Minuten gegen native Assets tauschen, hielt dieser Angreifer gestohlene USDT für 37 bis 46 Minuten, ohne den Großteil davon umzutauschen, und nutzte Market Maker sowie DeFi-Kreditprotokolle anders als nach dem Bybit-Hack beobachtet.

Binance-Mit-CEO Richard Teng erklärte, dass der Vorfall zwar möglicherweise mit einem kompromittierten Laptop begann, der Angriff jedoch komplex war und keine einfache One-Click-Aktion darstellte. Das Unternehmen gab seither bekannt, dass seine laufende Untersuchung zusätzliche Schwachstellen jenseits des anfänglichen Laptop-Kompromisses aufgedeckt hat. Binance arbeitet mit Strafverfolgungsbehörden zusammen, um die Identität der Kriminellen zu bestätigen und sie vor Gericht zu stellen.

Quellen: The Hacker News.