Dieser Artikel wurde von BlockWeeks zusammengestellt und organisiert
Binance hat seinen ersten Untersuchungsbericht über den Vorfall vom 29. Oktober veröffentlicht, bei dem etwa 6,34 Milliarden US-Dollar an digitalen Vermögenswerten abgeflossen sind. Der Bericht rekonstruiert eine Angriffskette, die sich über vier Monate erstreckte: Der Einstiegspunkt war eine manipulierte Softwareinstallation im Juni, während der entscheidende Durchbruch ein sorgfältig inszeniertes fingiertes Vorstellungsgespräch im September war.
Juni: Ein Download eines „KI-Programmierwerkzeugs“ legte den Grundstein
Laut Binance lud ein Wallet-DevOps-Ingenieur im Juni bei der Suche nach einem bestimmten KI-Programmierwerkzeug ein manipuliertes Homebrew-Installationspaket herunter. Binance entdeckte anschließend Anzeichen einer Kompromittierung auf dieser Maschine, ersetzte das Gerät des Ingenieurs und setzte die Anmeldedaten zurück. Die Börse räumte jedoch ein, dass dieser Ingenieur zusammen mit anderen Kollegen des Wallet-Infrastrukturteams zu diesem Zeitpunkt bereits der Sicht der Angreifer ausgesetzt gewesen war.
September: Ein Recruiter, der sich als „Projektdirektor“ ausgab
Im September wurde ein zweiter Ingenieur auf einer Jobplattform von jemandem kontaktiert, der sich als „Projektdirektor“ ausgab. Die Person arrangierte zunächst ein Videointerview mit einem angeblichen HR-Vertreter, verlagerte dann die zweite Runde auf eine soziale Chat-App, wo der Kontakt behauptete, ein Unternehmen zu leiten, das nicht existierte, und forderte den Ingenieur schließlich auf, eine „Aufgabe“ auf den firmeneigenen Computer zu laden – dieses Coderepository selbst war Malware.
Binance erklärte, dass diese Zero-Day-Malware damals von seinen Endpoint-Sicherheitswerkzeugen nicht erkannt wurde.
20. Oktober: Interne KI-Werkzeuge wurden zum Sprungbrett
Binance erklärte, dass die Angreifer am 20. Oktober den Computer des zweiten Ingenieurs und eine Reihe interner KI-Werkzeuge nutzten, um die Kontrolle über die Konten des ersten und dritten Ingenieurs zu erlangen, und auf der Maschine des ersten Ingenieurs ein Container-Deployment-Token fanden.
29. Oktober: Fünf Hot Wallets in vier Minuten geleert
Am 29. Oktober meldeten sich die Angreifer mit gestohlenen Anmeldedaten am Computer des dritten Ingenieurs an, deployten Container und führten schädliche Skripte aus.
Binance gab bekannt, dass zwischen 20:05 und 20:09 UTC fünf Hot Wallets 233,46 Millionen XRP an von den Angreifern kontrollierte Adressen transferierten; die Hot Wallets von Solana und Optimism verloren etwa 970.500 SOL bzw. 44,2 Millionen OP. Anschließend transferierte ein Hot Wallet weitere 18.270 BTC.
Als Nächstes nutzten die Angreifer einen internen Signing-Dienst und nutzten die Ethereum-Funktion EIP-7702 (die es einem Wallet ermöglicht, bestimmte Transaktionsberechtigungen an einen Vertrag zu delegieren), um einem von den Angreifern kontrollierten Vertrag durch 50 signierte Transaktionen teilweise Berechtigungen über ein Hot Wallet zu erteilen.
MPC rettete die Situation, doch der Stopp erfolgte einen halben Takt zu spät
Da das Wallet eine Multi-Party-Computation-(MPC-)Architektur verwendete, konnte kein einzelner privater Schlüssel diese Delegationen widerrufen, sodass das Binance-Team kurzfristig einen speziellen Behebungsprozess aufbauen musste, was die benötigte Zeit verlängerte. Die letzte unbefugte Überweisung betrug 2.961,9 ETH und wurde um 23:56 UTC endgültig bestätigt; Binance löschte die betreffenden Delegationen erst um 00:10 am 30. Oktober.
Wiederaufbau, Prüfung und Entschädigungsansatz
Binance erklärte, dass es die betroffenen Wallet-Systeme und internen KI-Werkzeuge wiederaufgebaut, die betreffenden Geräte ersetzt und die Anmeldedaten unter den Namen der beteiligten Ingenieure deaktiviert hat. Die Börse plant zudem, eine unabhängige Überprüfung durch Dritte einzubeziehen und einen Sicherheitsforschungsfonds einzurichten, während sie erklärte, dass einige technische Details vertraulich bleiben.
Hinsichtlich der Vermögensentschädigung erklärte Binance, dass bis zum 31. Oktober 98 % der betroffenen Token-Vermögenswerte wieder aufgefüllt worden seien. Die Zahlen in seinen eigenen Fortschrittsberichten zur Wiederherstellung waren jedoch niedriger: 90 % am 31. Oktober und etwa 95 % am 2. November.
