Der Binance-Hack wurde von Blockchain-Ermittlern mit der Lazarus-Gruppe Nordkoreas in Verbindung gebracht. Sie vermuten, dass die staatlich unterstützten Hacker am 29. Oktober etwa 6,3 Milliarden US-Dollar von der Kryptowährungsbörse gestohlen haben.
Zusammenfassung
- TRM Labs hat den 6,3-Milliarden-Dollar-Binance-Hack mit hoher Sicherheit mit der nordkoreanischen Hacking-Einheit TraderTraitor in Verbindung gebracht.
- Blockaid-CEO Ido Ben-Natan sagte, die Angreifer hätten in weniger als einer Stunde mindestens 3,5 Milliarden US-Dollar über vier Blockchains bewegt.
- Die Ermittler führten den Diebstahl auf kompromittierte Transaktionssignierungs-Kontrollen zurück, darunter 50 Ethereum-Autorisierungen, die auf eine Hot Wallet abzielten.
- Binance meldete etwa 3 Milliarden US-Dollar an eingefrorenen Vermögenswerten und versprach, Kundenverluste zu decken.
- Abhebungen bleiben während Sicherheitsupgrades ausgesetzt, wobei Binance erwartet, dass die Dienste innerhalb von 48 Stunden wieder aufgenommen werden.
Laut TRM Labs haben seine Ermittler den Angriff mit hoher Sicherheit TraderTraitor zugeordnet, einer nordkoreanischen Hacking-Einheit, die mit Lazarus verbunden ist. Der Blockchain-Ermittler ZachXBT identifizierte Lazarus separat als wahrscheinlichen Angreifer, obwohl Binance nicht bestätigt hat, wer den Diebstahl durchgeführt hat.
In Kommentaren gegenüber crypto.news sagte Ido Ben-Natan, Mitbegründer und CEO des Blockchain-Sicherheitsunternehmens Blockaid, der Angriff übertreffe frühere Kryptowährungsdiebstähle im Ausmaß.
„Dies ist der größte Krypto-Hack der Geschichte. Unsere Analyse zeigt, dass in weniger als einer Stunde mindestens 3,5 Milliarden US-Dollar aus Binance-Hot-Wallets auf Ethereum, Arbitrum, Optimism und Avalanche abgeflossen sind, mehr als das Doppelte des Bybit-Diebstahls im Februar 2025“, sagte Ben-Natan.
Er merkte an, dass die Ermittler zusätzliche Transfers mit Bitcoin und Tron identifiziert hätten, während sein Team weiterhin die gestohlenen Vermögenswerte verfolge.
Unterdessen berichtete die Blockchain-Tracking-Plattform Onchain Lens, dass der Binance-Angreifer 17.260 ETH im Wert von rund 38,82 Millionen US-Dollar auf eine neue Wallet übertragen habe, während Befürchtungen bestehen, dass die Gelder über Tornado Cash oder andere Kryptowährungs-Mixer gewaschen werden könnten.
Laut dem Tracker kontrollierte der Angreifer noch immer fast 480.720 ETH im Wert von 1,08 Milliarden US-Dollar, die von einem Token-Emittenten nicht eingefroren werden können. Die empfangende Wallet wurde als 0x03b0eE5d82990cFF1bDa48651AC3e436d1a020ea identifiziert.
Lazarus-Gruppe verdächtigt, da Binance-Hack zehn Blockchains erreicht
Die Untersuchung von TRM verfolgte etwa 6,36 Milliarden US-Dollar, die von Binance-kontrollierten Wallets über zehn Blockchain-Netzwerke abflossen, darunter Ethereum, Bitcoin, Tron, Solana und das XRP Ledger.
Der Großteil der gestohlenen Gelder wurde in einem Zeitraum von etwa 20 Minuten ab 20:05 UTC bewegt. Rund 3,79 Milliarden US-Dollar wurden auf Ethereum übertragen, während Bitcoin und Tron weitere 1,47 Milliarden US-Dollar bzw. 628 Millionen US-Dollar ausmachten.
Die Ermittler identifizierten 233,46 Millionen XRP im Wert von fast 296 Millionen US-Dollar, die fünf Binance-Wallets verließen, bevor der Ethereum-Angriff begann.
Das Sicherheitsunternehmen sagte, die Vorbereitungen hätten mindestens 36 Stunden vor dem Diebstahl begonnen. Eine vom Angreifer kontrollierte Wallet erhielt drei kleine Tornado-Cash-Abhebungen und testete bösartigen Code, bevor Binance ins Visier genommen wurde.
TRM verknüpfte die Aktivität mithilfe von Blockchain-Transaktionen und anderen Erkenntnissen mit TraderTraitor, obwohl es nicht alle Beweise hinter seiner Zuordnung öffentlich offenlegte.
Das FBI hat zuvor festgestellt, dass TraderTraitor für den Diebstahl bei Bybit im Februar 2025 verantwortlich war, bei dem etwa 1,5 Milliarden Dollar von der Börse abgezogen wurden. Die US-Behörden haben nordkoreanischen Hacking-Operationen vorgeworfen, Kryptowährungen zu stehlen, um die Waffenprogramme des Landes mitzufinanzieren.
Blockaid erklärt, wie Angreifer auf Binance-Wallets zugriffen
Blockaids technische Untersuchung identifizierte eine ungewöhnliche Ethereum-Transaktion mit 50 EIP-7702-Autorisierungen, die auf Binance 14 abzielten, eine der am stärksten frequentierten Hot Wallets der Börse.
EIP-7702 ermöglicht es einer Ethereum-Wallet, Smart-Contract-Code zu autorisieren, in ihrem Namen zu operieren. Der Angreifer bereitete Autorisierungen mit 50 aufeinanderfolgenden Transaktionszählern vor, wodurch die Wahrscheinlichkeit erhöht wurde, dass einer mit dem aktuellen Zähler der Wallet übereinstimmen würde.
Nur eine Autorisierung war erfolgreich, wodurch ein bösartiger Vertrag Vermögenswerte aus der Wallet übertragen konnte.
„Der Angreifer hat eine wichtige Binance-Ethereum-Hot-Wallet effektiv neu programmiert, sodass ein einzelner Operator sie leeren konnte, einschließlich aller neu eingezahlten Gelder“, erklärte Ben-Natan gegenüber crypto.news.
Der Angreifer übertrug etwa 2,5 Milliarden Dollar von Binance 14, darunter 167.464 ETH und mehr als 1,6 Milliarden USDT. Nachfolgende Übertragungen zielten auf neu eingegangene Gelder ab.
Die Ermittler fanden heraus, dass andere Binance-Wallets Vermögenswerte über gewöhnliche signierte Transaktionen in mehreren Netzwerken bewegten. TRM glaubt, dass der Angreifer möglicherweise Zugang zur Transaktionssignierungsinfrastruktur der Börse erlangt hat.
Binance identifiziert mögliche Laptop-Kompromittierung, während 3 Milliarden Dollar eingefroren werden
In seinem Sicherheitsupdate erklärte Binance, dass seine ersten Untersuchungen auf einen kompromittierten Laptop eines DevOps-Ingenieurs hindeuteten, der möglicherweise unbefugten Zugriff auf einen internen Service-Container ermöglicht habe.
Die Börse fand keine Hinweise auf geleakte private Schlüssel und erklärte, sie werde eine detaillierte Untersuchung veröffentlichen, sobald die Ursache festgestellt sei.
Tether-CEO Paolo Ardoino bestätigte das Einfrieren von mehr als 1,567 Milliarden USDT, während Circle-CEO Jeremy Allaire berichtete, über 800 Millionen USDC eingefroren zu haben. Der Arbitrum-Sicherheitsrat sicherte etwa 74,6 Millionen ARB und 8.425 ETH, die mit dem Angreifer verbunden sind.
Binance-Auszahlungen bleiben ausgesetzt
Binance hat zugesagt, Verluste aus seinem SAFU-Fonds und Unternehmensressourcen zu decken, während es mit Strafverfolgungsbehörden und Blockchain-Ermittlern zusammenarbeitet.
Gleichzeitig erklärte die Börse, dass Einzahlungen weiterhin möglich seien, Auszahlungen jedoch ausgesetzt blieben, während sie ihre Auszahlungssysteme und Adresskontrollen aktualisiere.
Binance erwartet, dass die Auszahlungen innerhalb von 48 Stunden wieder aufgenommen werden, und kündigte an, dass ein vollständiger Bericht über die Ursache des Angriffs folgen werde.
Die Kryptowährungsmärkte gerieten nach dem Hack ebenfalls unter Verkaufsdruck, wobei Bitcoin zeitweise unter 77.000 Dollar fiel. Die gesamten Liquidationen am Derivatemarkt überstiegen innerhalb von 24 Stunden 1,5 Milliarden Dollar.
