Was können wir aus dem Binance-Hack und der Erholung lernen?

Binance hat nach einem Diebstahl von 6,3 Milliarden US-Dollar begonnen, den Zugang wiederherzustellen, und greift dabei auf eigene Reserven zurück, um Kundenvermögen zu ersetzen. Seine Wiederherstellung bietet Lehren darüber, wie Börsen Transaktionen genehmigen, in einer Krise kommunizieren und nachweisen, dass Kunden ihr Geld zurückbekommen können.

Binance hat die Auszahlungen ausgeweitet, nachdem das Unternehmen gemeldet hatte, dass es etwa 95 % der von seinem Hack vom 29. Oktober in Höhe von 6,3 Milliarden US-Dollar betroffenen Vermögenswerte ersetzt habe.

Die Ankündigung vom 3. November von Binance sah eine weitere Auszahlungsphase ab 04:00 UTC vor, wobei einzelne Vermögenswerte nach Sicherheits- und Bereitschaftsprüfungen verfügbar werden sollten. Einzahlungen blieben weiterhin möglich, und die Börse bekräftigte ihre Zusage, den finanziellen Verlust zu tragen.

Kunden sahen sich daher mit zwei unterschiedlichen Wiederherstellungsprozessen konfrontiert. Binance beschaffte Ersatz-Kryptowährung, um ihre Guthaben zu decken, während Ermittler und Industriepartner versuchten, die vom Angreifer entwendeten Vermögenswerte zurückzugewinnen.

Die Wiederherstellung des Auszahlungszugangs umfasst eine dritte Aufgabe: den Nachweis, dass die Systeme, die diese Vermögenswerte senden, sicher betrieben werden können. Ein Kontoguthaben, ein Reserve-Snapshot und eine abgeschlossene Auszahlung beantworten jeweils eine andere Frage zum Zustand der Börse.

Der Binance-Hack reichte über den Laptop eines einzelnen Mitarbeiters hinaus

Binance deutete zunächst an, dass ein kompromittierter Laptop eines Ingenieurs den Einstiegspunkt geboten haben könnte. In seinem Incident-Update vom 30. Oktober erklärte das Unternehmen, die Ermittler hätten weitere Kompromittierungspunkte gefunden, während zu diesem Zeitpunkt keine Hinweise darauf vorlägen, dass private Schlüssel der Wallet geleakt worden seien.

Sein veröffentlichter Bericht datierte die Kompromittierung der Hot Wallet auf etwa 20:05 UTC am 29. Oktober. Die Börse erklärte, sie habe die betroffene Infrastruktur eingedämmt, Berechtigungen widerrufen und weitere Kontrollen eingeführt, während Ermittler daran arbeiteten, den Ablauf der Ereignisse zu klären.

Die Unterscheidung zwischen dem Diebstahl eines Schlüssels und dem Erlangen der Berechtigung zur Nutzung eines Signatursystems ist zentral für die Ermittlungen. Eine Transaktion kann eine kryptografisch gültige Signatur tragen, selbst wenn das Unternehmen die Überweisung nie autorisieren wollte.

Die On-Chain-Untersuchung von TRM Labs verfolgte Transfers über 10 Blockchains und bewertete die Vermögenswerte zum Zeitpunkt ihrer Entwendung auf etwa 6,36 Milliarden US-Dollar. Seine Forscher kamen zu der Einschätzung, dass die kettenübergreifende Aktivität auf eine Kompromittierung der Signaturinfrastruktur der Binance-Hot-Wallet hindeutete.

Laut TRM umfasste die Ethereum-Aktivität 50 Vorabautorisierungen und einen Vertrag, der Vermögenswerte aus einer Binance-Wallet abziehen konnte. Andere Chains zeigten gewöhnliche signierte Transfers, sodass eine auf die Wallet-Funktionen von Ethereum beschränkte Erklärung einen Teil des Diebstahls unerklärt ließe.

Die Lehre betrifft die Autorität rund um einen Signaturschlüssel ebenso wie dessen Speicherung. Ein Unternehmen muss entscheiden, welche Systeme Signaturen anfordern dürfen, welche Anfragen eine separate Genehmigung benötigen und wie ungewöhnliche Transfers gestoppt werden, bevor sie eine Blockchain erreichen.

Die Zero-Trust-Architektur von NIST behandelt Zugriff als etwas, das für die jeweilige Ressource authentifiziert und autorisiert werden muss. Sich innerhalb eines Unternehmensnetzwerks zu befinden oder ein unternehmenseigenes Gerät zu verwenden, begründet für sich genommen kein Vertrauen.

Auf eine Börse angewendet, trennt dieses Prinzip den routinemäßigen Zugriff eines Ingenieurs von der Befugnis, Kundenvermögen zu bewegen. Ein Mitarbeiter kann die Infrastruktur warten müssen, ohne uneingeschränkten Zugriff auf Auszahlungsanweisungen, Produktionszugangsdaten oder Transaktionsgenehmigungen zu benötigen.

Der vollständige technische Bericht von Binance wird erklären müssen, wie diese Grenzen während des Angriffs funktionierten. Die bisher veröffentlichten Beweise stützen Fragen zum Signaturprozess, begründen jedoch keine vollständige Karte der internen Kontrollen des Unternehmens.

Das FBI schrieb den Diebstahl am 31. Oktober der TraderTraitor-Aktivität Nordkoreas zu und erklärte, die gestohlenen Vermögenswerte würden hauptsächlich in Ether umgewandelt. Nordkorea bestritt eine Beteiligung, laut einem Bericht der Associated Press vom 3. November.

Das Büro forderte Börsen, DeFi-Dienste, Infrastrukturbetreiber und andere Unternehmen auf, Transaktionen zu blockieren, die mit den identifizierten Geldwäscheadressen verbunden sind. Seine Aufforderung betraf die Bewegung der gestohlenen Vermögenswerte nach dem Sicherheitsverstoß, getrennt von Binances Untersuchung des anfänglichen Zugriffs.

Wie Binance die Krise und die Wiederherstellung bewältigte

Binances Reaktion kombinierte Beschränkungen für Auszahlungen, Ersatzkäufe, Zusammenarbeit bei Vermögenssperren und eine Reihe öffentlicher Wiederherstellungsmitteilungen. Jede Maßnahme adressierte ein anderes unmittelbares Problem, und die Chronologie ermöglicht es Kunden, Ankündigungen mit nachfolgenden Handlungen zu vergleichen.

Wie crypto.news zuvor berichtete, reservierte Binance Unternehmensressourcen von über 6,34 Milliarden Dollar und erklärte, dass bis zum 30. Oktober bereits etwa 5 Milliarden Dollar in passenden Kryptowährungen gehalten wurden. Es strebte einen phasenweisen Neustart der Auszahlungen an, vorbehaltlich von Sicherheitsprüfungen.

Die Deckung der Vermögenswerte war Teil dieser Verpflichtung. Kunden, die einen bestimmten Token hielten, stand dieser Token zu, während der Dollarwert der verfügbaren Ressourcen der Börse nur ein Zwischenmaß für ihre Fähigkeit war, Ersatz zu kaufen.

Die Nachschubmitteilung vom 31. Oktober bezifferte die Deckung auf 90 %. Binance nannte SAFU, einen Teil seines Futures-Versicherungsfonds und seine Unternehmenskasse als Finanzierungsquellen.

Es hieß, die 10 identifizierten Hauptvermögenswerte seien vollständig gedeckt, während weniger liquide Token außerhalb dieser Gruppe länger für die Beschaffung benötigten. Käufe wurden über Markt- und außerbörsliche Kanäle getätigt.

Bis zum 1. November meldete Binance eine 95-prozentige Ersetzung und öffnete Bitcoin-Auszahlungen während der anfänglichen Wiederherstellungsphase wieder. Der erste veröffentlichte Zeitplan umfasste ausgewählte Vermögenswerte über 15 Netzwerke hinweg, nicht jeden an der Börse gelisteten Token.

Unter Verwendung des von Binance gemeldeten Beginns des Vorfalls und seiner frühesten geplanten Wiedereröffnungszeit am 1. November betrug das Intervall etwa 57 Stunden und 55 Minuten. Diese Berechnung misst die Zeit bis zum Beginn des geplanten Neustarts, nicht die Dauer der Beschränkungen für jeden einzelnen Kunden.

Der Auszahlungszugang wurde dann durch einzelne Netzwerk- und Vermögenswertkombinationen erweitert. Ein Token, das in einem Netzwerk verfügbar war, konnte in einem anderen weiterhin nicht verfügbar sein, sodass das relevante operative Maß die spezifische Auszahlungsroute war, die ein Kunde benötigte.

Die Mitteilung vom 1. November besagte, dass die in der vorangegangenen Woche verzeichnete Nachfrage die Reihenfolge der Wiedereröffnung beeinflusste. Sie warnte, dass der Verkehr zu Verzögerungen führen könnte, und forderte die Nutzer auf, den Status ihres gewählten Vermögenswerts und Netzwerks zu prüfen.

Die Erweiterung vom 3. November folgte demselben Ansatz. Binance erklärte, die aufgeführten Routen würden nach Prüfungen schrittweise wieder geöffnet, wobei während des Rollouts weiterhin vorübergehende Verzögerungen möglich seien.

Die Kommunikation auf dieser Ebene ist für einen Kunden nützlicher als eine börsenweite Erklärung, dass Auszahlungen wieder aufgenommen wurden. Ein Kunde muss wissen, ob sein Vermögenswert abgezogen werden kann, über welches Netzwerk und ob eine eingereichte Anfrage abgeschlossen wurde.

Die Leitlinie zur Vorfallreaktion des NIST ordnet Erkennung, Reaktion und Wiederherstellung dem fortlaufenden Risikomanagement einer Organisation zu. Die Wiederherstellung eines Dienstes ist Teil der Vorfallbearbeitung, ebenso wie die Verringerung der Wahrscheinlichkeit eines weiteren Vorfalls und die Verbesserung des Reaktionsprozesses.

Die Mitteilungen von Binance liefern eine Aufzeichnung der Meilensteine bei Ersatz und Wiedereröffnung. Um zu beurteilen, wie wirksam die Sicherheitsverletzung eingedämmt wurde, ist auch der technische Zeitablauf erforderlich, einschließlich wann unbefugter Zugriff erkannt wurde, welche Berechtigungen deaktiviert wurden und wie wiederhergestellte Systeme validiert wurden.

Das Ersetzen von Assets und die Wiedererlangung gestohlener Gelder sind unterschiedliche Rechnungsposten

Eine Sperrung und ein Ersatzkauf können beide Kunden schützen, gehören aber ohne weitere Erläuterung nicht in eine einzige Wiederherstellungssumme. Das eine beschränkt den Zugriff des Angreifers auf ein Asset; das andere stellt ein Asset bereit, um einer Verbindlichkeit gegenüber dem Kunden nachzukommen.

Betrachten wir eine vereinfachte Börse, der nach dem Diebstahl von 100 Token noch 100 Token gegenüber Kunden geschuldet werden. Wenn die Börse 100 Ersatz-Token kauft, kann sie die Deckung für die Kunden wiederherstellen, selbst wenn Ermittler keinen der ursprünglichen Token zurückgegeben haben.

Angenommen, 40 der gestohlenen Token werden dann gesperrt. Die Kundendeckung bleibt bei 100 Token; sie wird nicht zu 140. Die gesperrten 40 stellen eine mögliche Wiedererlangung für die Partei dar, die letztlich Anspruch auf ihren Erhalt hat.

Wenn diese 40 nach der vollständigen Entschädigung der Kunden rechtmäßig an die Börse zurückgegeben werden, können sie einen Teil des Verlusts der Börse ausgleichen. Dieselben Token können nicht gleichzeitig als Ersatzassets und als zusätzliche Kundenerstattung gezählt werden.

Binance gab an, dass bis zum 30. Oktober durch die Zusammenarbeit mit Strafverfolgungsbehörden, Emittenten und anderen Partnern etwa 3 Milliarden US-Dollar gesperrt worden seien. Das Asset-Ersatzprogramm lief separat weiter und nutzte Unternehmensressourcen, um die fehlende Kryptowährung zu kaufen.

Die Zahlen haben unterschiedliche Stichtage, Bewertungsannahmen und Zwecke. Die gemeldete Gesamtsumme der gesperrten Beträge sollte daher als ein zu dem genannten Zeitpunkt immobilisierter Betrag beschrieben werden, während der Fortschritt beim Ersatz die Arbeit der Börse zur Wiederherstellung der Deckung beschreibt.

Die Anwendung von 95 % auf die gerundete Schätzung des Vorfalls von 6,3 Milliarden US-Dollar ergibt 5,985 Milliarden US-Dollar und lässt bei dieser Bewertung 315 Millionen US-Dollar übrig. Dies ist eine illustrative Rechnung, keine Offenlegung der genauen ausstehenden Kaufrechnung oder eines Token-für-Token-Fehlbetrags.

Die Preise bewegen sich nach einem Diebstahl, und die geschuldete Menge jedes Tokens ändert sich nicht automatisch mit seinem Dollarpreis. Ein verbleibender Token-Korb im Wert von 315 Millionen US-Dollar bei einer Bewertung könnte später zu einem anderen Betrag beschafft werden müssen.

Die Liquidität führt zu einem weiteren Unterschied. Ein Token kann einen notierten Marktpreis haben, ohne dass in der Nähe dieses Preises genügend Angebote verfügbar sind, um einen großen Bestand sofort zu ersetzen.

Der Kauf über einen OTC-Schalter kann Blöcke von Haltern außerhalb eines öffentlichen Orderbuchs beschaffen. Er erfordert dennoch verkaufsbereite Verkäufer und eine Einigung über Mengen, Abwicklung und Preis; die Existenz eines Budgets bringt die erforderlichen Token nicht in eine Auszahlungs-Wallet.

Binances Erklärung, dass die Beschaffung des letzten Teils länger gedauert habe, sollte anhand seiner nachfolgenden Token-Deckung und Auszahlungsaktualisierungen bewertet werden. Der aussagekräftige Abschlusspunkt ist eine vollständig übereinstimmende Deckung und ein operativer Zugang für die betroffenen Assets und nicht allein eine gerundete Dollar-Zusage.

Eine Sperrung stoppt die Bewegung, bevor sie das Eigentum klärt

Emittenten von Stablecoins können ihre Token manchmal durch administrative Kontrollen immobilisieren. Derselbe Mechanismus steht einem Emittenten von nativem Bitcoin oder Ether nicht zur Verfügung, da diese Assets keinen vergleichbaren zentralen Emittenten haben.

Die USDC-Bedingungen von Circle beschreiben die Blocklistung und die Bedingungen für die Einlösung, einschließlich rechtlicher Beschränkungen, die diese verhindern können. Das Halten eines Tokens, dessen Einfrieren und die Begründung eines Rechts auf Einlösung sind nach diesen Bedingungen getrennte Schritte.

Eine Adressbeschränkung verhindert bestimmte Übertragungen; sie identifiziert für sich genommen nicht den richtigen Empfänger einer Erstattung. Eigentumsnachweise, rechtliche Verfahren und die Vereinbarungen zur Rückgabe von Vermögenswerten können weiterhin bestimmen, was als Nächstes geschieht.

Arbitrum nutzte im Binance-Vorfall eine andere Intervention. Die Mitteilung vom 30. Oktober des Security Council besagt, dass 8.425 ETH und 74.559.805,2 ARB durch ein vorübergehendes Vertrags-Upgrade in eine Verwahrungsadresse verschoben wurden.

Die Mitteilung behält ausdrücklich weitere Verschiebungen einer Governance-Abstimmung des ArbitrumDAO vor. Aus einer mit dem Angreifer verbundenen Adresse verschobene Vermögenswerte wurden daher nicht automatisch an Binance oder dessen Kunden übertragen.

Der Umfang jeder Intervention muss klar bleiben. Die Token-Blockliste eines Emittenten, die Weigerung einer Börse, eine Einzahlung gutzuschreiben, und ein Notfall-Upgrade auf Netzwerkebene wirken an unterschiedlichen Punkten im Pfad einer Transaktion.

Der Zeitpunkt kann beeinflussen, was noch erreichbar ist. Wenn ein gesperrter Token bereits getauscht wurde, macht das Einfrieren der ursprünglichen Adresse nicht jeden Handel rückgängig und erfasst nicht automatisch den Ersatzvermögenswert.

Die vom FBI veröffentlichte Adressliste gibt Dienstanbietern eine gemeinsame Referenz für die Geldwäscheuntersuchung. Sie verleiht nicht jedem Infrastrukturbetreiber die gleiche rechtliche oder technische Fähigkeit, eine Übertragung zu stoppen.

Für Kunden bedeutet dies praktisch, dass eine angekündigte Sperrung ermutigend sein kann, ohne eine abgeschlossene Rückerstattung darzustellen. Das nächste gemeldete Ereignis sollte angeben, ob Vermögenswerte zurückgegeben wurden, an wen, über welches Verfahren und in welcher Menge.

Binance verwendete Reserven, die unterschiedlichen Zwecken dienen

SAFU ist eine Notfallreserve, die darauf abzielt, Nutzer in außergewöhnlichen Situationen zu schützen. Ein Futures-Versicherungsfonds dient normalerweise einem anderen Zweck: der Deckung von Verlusten aus liquidierten Positionen, wenn die Sicherheiten nicht ausreichen.

Die Verwendung von Versicherungsreserven durch Binance machte die Zusammensetzung der Wiederherstellungsfinanzierung für Derivatehändler relevant. Das Unternehmen erklärte, es habe überschüssige Ressourcen verwendet und der verbleibende Fonds erfülle weiterhin seine Risikoanforderungen.

Der Dollarbestand eines Versicherungsfonds ist kein Maß dafür, wie viel ein bestimmter Händler nach einem Sicherheitsvorfall erhalten wird. Er ist eine Ressource, die die Liquidations- und Verlustmanagementvereinbarungen der Börse stützt, vorbehaltlich der Regeln der betreffenden Futures-Produkte.

Ein vereinfachter Vergleich veranschaulicht die getrennten Fragen. Eine Börse könnte alle gestohlenen Kundentoken ersetzen und dabei eine kleinere Liquidationsreserve als vor dem Vorfall halten, sofern sie diese Reserve nicht aus einer anderen Quelle wieder auffüllt.

Bei Kunden, deren Spot-Vermögenswerte wiederhergestellt werden, wäre die unmittelbare Deckungsfrage beantwortet. Futures-Händler bräuchten weiterhin Informationen über den Schutz, der verfügbar ist, wenn bankrotte Positionen Verluste hinterlassen.

Die beiden Ergebnisse sind miteinander vereinbar. Die Wiederherstellung eines Pools stellt allein durch die Buchhaltung nicht jeden anderen Puffer wieder her, der zu ihm beigetragen hat.

Die Offenlegung von Binance vom 31. Oktober nannte drei Finanzierungsquellen, gab in dieser Mitteilung jedoch keine Zuweisung für jede Quelle an. Seine Aussage, dass Unternehmensmittel verwendet würden, muss daher zusammen mit den separaten Beschreibungen von SAFU und Futures-Reserven gelesen werden.

Die öffentliche Offenlegung des abgerufenen Betrags, des verbleibenden Betrags und des Wiederauffüllungsplans würde die finanzielle Tragweite leichter bewertbar machen. Ein solcher Plan müsste Termine und die relevanten Reservekategorien enthalten, da ein einzelner Gesamtsaldo Unterschiede zwischen Produkten verbergen kann.

Die Verifizierung von Kundenkonten hat hier eine weitere Grenze. Binance erklärte, dass Nutzer ihre eigenen Vermögenswerte über sein Proof-of-Reserves-System verifizieren könnten; dieses System ist kein Anspruch auf Kundenebene gegenüber dem Futures-Versicherungsfonds des Unternehmens.

Die Verpflichtung, den Diebstahl zu absorbieren, weist den Verlust Binance zu. Die Erklärung, wie das Unternehmen diese Verpflichtung finanziert, hilft Kunden, die Wiederherstellung ihrer Vermögenswerte von dem fortbestehenden Zustand der anderen finanziellen Schutzmechanismen der Börse zu unterscheiden.

Die Regeln des Versicherungsfonds von Binance erläutern die operative Konsequenz eines unzureichenden Liquidationspuffers. Wenn Verluste aus bankrotten Positionen den relevanten verfügbaren Fonds übersteigen, kann unter den Risikovereinbarungen des Produkts eine automatische Deleveraging (ADL) ausgelöst werden.

Die ADL-Erklärung beschreibt einen Mechanismus, der die von Händlern auf der Gegenseite gehaltenen Positionen reduzieren kann. Er unterscheidet sich von der Auszahlung eines Anspruchs aus einem Sicherheitsvorfall und sollte nicht als Garantie interpretiert werden, dass profitable Positionen niemals von der Insolvenz eines anderen Händlers betroffen sein können.

Der Fonds ist zudem nach den geltenden Vertragsvereinbarungen aufgeteilt. Eine Summe über alle Kategorien hinweg belegt nicht, dass jeder Dollar für jedes Liquidationsereignis verfügbar ist.

Dies wirft nach der Entnahme von Mitteln für die Wiederherstellung eine weitere Offenlegungsfrage auf: ob die verbleibenden Ressourcen die relevanten Produkte im Rahmen des von der Börse angegebenen Rahmens abdecken. Ein Prozentsatz der ersetzten gestohlenen Vermögenswerte kann diese produktspezifische Frage nicht beantworten.

Binance gibt an, dass seine verbleibenden Reserven weiterhin die erforderliche Deckung erfüllten. Die veröffentlichten Regeln sehen separat Unternehmensbeiträge vor, falls ein Versicherungsfonds unter das erforderliche Minimum fällt.

Die Reserveverifizierung beantwortet eine engere Frage als ein Audit

Binance schloss die Reserveverifizierung für 10 große Kryptowährungen am 2. November ab und verwendete dabei einen Snapshot, der am 31. Oktober um 00:00 UTC erstellt wurde. Ein abgeschlossener kryptografischer Nachweis ermöglichte berechtigten Nutzern, ihre Einbeziehung und die angegebene Deckung für diesen Snapshot zu überprüfen.

Die abgedeckten Vermögenswerte waren BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD und ZEC. Der Zeitpunkt des Snapshots ist wichtig, weil er den späteren Phasen der Wiedereröffnung von Auszahlungen vorausgeht.

In seinem Update vom 2. November plante Binance einen weiteren Snapshot für den 4. November, der mehr Token abdeckt. Die Erstellung des nächsten vollständigen Nachweises würde voraussichtlich etwa 40 bis 50 Stunden erfordern.

Veröffentlichungsdatum und Messdatum müssen daher getrennt gelesen werden. Ein am 2. November abgeschlossener Nachweis beschreibt die angegebene Position vom 31. Oktober und zertifiziert nicht kontinuierlich jede Bilanz, während Auszahlungen abgewickelt werden.

Die Erklärung zu den Proof-of-Reserves von Binance beschreibt, wie Kontodatensätze und Merkle-Bäume es Nutzern ermöglichen zu überprüfen, dass ihre Guthaben einbezogen wurden. Sein Zero-Knowledge-Mechanismus unterstützt die Verifizierung, ohne jedes einzelne Guthaben öffentlich offenzulegen.

Eine solche Prüfung ist nützlich, wenn Kunden Belege wünschen, die über eine Unternehmensversicherung hinausgehen. Sie hat jedoch einen definierten Umfang: bestimmte Vermögenswerte, einen bestimmten Satz von Kontodaten und einen bestimmten Messzeitpunkt.

Die Anlegerwarnung der PCAOB warnt davor, Proof-of-Reserve-Berichte als Abschlussprüfungen von Finanzberichten zu behandeln. Sie weist darauf hin, dass Verfahren Verbindlichkeiten, Eigentumsrechte, geliehene Vermögenswerte und andere Informationen auslassen können, die zur Beurteilung der vollständigen finanziellen Lage eines Unternehmens erforderlich sind.

Ihre Warnung ist allgemeiner Natur und keine Feststellung, dass der neueste Nachweis von Binance falsch ist. Der angemessene Vergleich besteht zwischen dem, was der spezifische Nachweis belegt, und dem, was ein Leser andernfalls annehmen könnte, dass er belegt.

Ein Kunde kann fragen, ob ein Konto einbezogen wurde, ob der gewählte Token abgedeckt war und wann der Snapshot erstellt wurde. Die Beurteilung des gesamten Unternehmens würde weitere Informationen zu Verpflichtungen, Beschränkungen, Kapital und den bei der Wiederherstellung verwendeten Ressourcen erfordern.

Die Reaktion reichte über das Auszahlungssystem von Binance hinaus

Gelder, die eine Börse verlassen, können andere Dienste erreichen, bevor die Börse ihre erste Untersuchung abgeschlossen hat. Eine Notfallreaktion bezieht daher Plattformen ein, die selbst nicht kompromittiert wurden, aber die gestohlenen Vermögenswerte erhalten oder als Sicherheit akzeptieren könnten.

Der Aave-Vorfallbericht von LlamaRisk beschreibt eine Wallet im Cluster des Ausbeuters, die zwischen 20:58 und 21:01 UTC am 29. Oktober 60 Millionen USDT einzahlte und 19.762 WETH lieh. Der erste Markteinfrierung folgte um 21:42 UTC.

Der Risikodienstleister erklärte, die Position sei weiterhin überbesichert und unterliege der gewöhnlichen Liquidation. Sein Bericht beschrieb eine vorsorgliche Einfrierung, da gestohlene Vermögenswerte in andere, vom Kreditprotokoll unterstützte Vermögenswerte getauscht werden könnten.

Die Aussetzung von Auszahlungen durch eine Börse kann diese Kreditaufnahme nicht rückgängig machen. Sobald Gelder einen anderen Dienst erreicht haben, hängt die Reaktion von den Berechtigungen dieses Dienstes, seinen Sicherheitsregeln und seiner Einschätzung der Bedrohung ab.

Die separaten Mitteilungen müssen daher auf der Ebene der konkreten Maßnahme gelesen werden. Die Einschränkung von Auszahlungen durch Binance und die Einfrierung neuer Kreditaktivitäten durch Aave betreffen unterschiedliche Transaktionen und unterschiedliche Kundengruppen.

Die Kommunikation zwischen Unternehmen kann aufzeigen, wo Eingriffe möglich sind, macht ihre Befugnisse jedoch nicht austauschbar. Ein Token-Emittent kann seinen eigenen Token einschränken, ein Kreditwächter kann Protokollberechtigungen ausüben und ein Rollup-Rat kann die administrativen Werkzeuge nutzen, die seine Governance autorisiert hat.

Die Einschränkungen hängen von den Regeln des jeweiligen Dienstes ab. Eine Einfrierung kann neue Aktivitäten stoppen, während bestehende Positionen offen bleiben, wobei die Aufhebung der autorisierten Stelle zugewiesen wird.

Die eigenen Wiederherstellungsmitteilungen von Binance hatten ein anderes Publikum: Kunden, die versuchen, offizielle Anweisungen von Personen zu unterscheiden, die anbieten, Auszahlungen zu beschleunigen. Der öffentliche Unternehmensfeed warnte, dass das Unternehmen keine Warteschlangenpositionen verkaufen, keine Entsperrgebühr erheben oder Nutzer auffordern würde, Gelder auf ein angebliches sicheres Konto zu überweisen.

Die Warnung ist relevant für die Funktionsweise einer schrittweisen Wiedereröffnung. Kunden, die auf einen bestimmten Token warten, haben einen unmittelbaren Grund, nach Updates zu suchen, während die Verfügbarkeit zwischen Netzwerken legitimerweise unterschiedlich sein kann.

Eine unaufgeforderte Nachricht kann diese Unsicherheit ausnutzen, indem sie behauptet, der Kunde müsse einen zusätzlichen Schritt abschließen. Die verlangte Handlung kann eine Wallet-Verbindung, eine Signatur oder eine Überweisung sein, die als Wiederherstellungsverfahren getarnt wird.

Die Warnung vor Wiederherstellungsbetrug des FBI beschreibt Betrugsmuster, bei denen angebliche Wiederherstellungsfirmen eine Vorauszahlung verlangen, verschwinden oder unzureichendes Nachverfolgungsmaterial liefern, bevor sie mehr verlangen. Sie stellt fest, dass private Wiederherstellungsfirmen keine Beschlagnahmeanordnungen erlassen können.

Ein Blockchain-Nachverfolgungsbericht und die rechtliche Befugnis zur Beschlagnahme von Vermögenswerten sind verschiedene Dinge. Die Identifizierung eines Zielorts kann eine Untersuchung unterstützen, verpflichtet aber nicht von sich aus den Inhaber, Emittenten oder die Plattform, Gelder zu übertragen.

Die Leitlinie zu Rückerstattungsbetrug der FTC beschreibt einen weiteren Teil der Täuschung: Betrüger können Details eines früheren Verlusts kennen und sie nutzen, um einen neuen Annäherungsversuch glaubwürdig klingen zu lassen. Die Vertrautheit mit einem Vorfall belegt nicht, dass der Anrufer das betroffene Unternehmen vertritt.

Während einer börsenweiten Wiederherstellung liefern öffentliche Ankündigungen einen Großteil dieses Hintergrunds für jeden. Die Höhe des Diebstahls, Wiedereröffnungstermine und betroffene Vermögenswerte können in eine überzeugend wirkende Nachricht kopiert werden, ohne Zugriff auf das Konto eines Kunden zu haben.

Die praktische Aufgabe des Kunden bleibt konkret: die gewählte Auszahlungsroute über die eigene Oberfläche der Börse prüfen und eine ausstehende Anfrage von einer Aufforderung zu einer neuen Zahlung unterscheiden. Der veröffentlichte Wiedereröffnungsprozess des Unternehmens sollte die erforderlichen Schritte erklären, ohne sich auf Anweisungen eines unbekannten Vermittlers zu stützen.

Klare Vorfallkommunikation leistet daher mehr, als nur Beruhigung zu bieten. Sie gibt Kunden eine Referenz, an der sie eine Anfrage prüfen können, insbesondere wenn eine Behauptung Gebühren, Anspruchsberechtigung oder ein angebliches Entschädigungsprogramm betrifft.

Die Auszahlungsankündigungen selbst verweisen Nutzer auf die Seite mit dem Status von Vermögenswerten und Netzwerken. Ihr Versprechen ist eine schrittweise operative Wiedereröffnung, ohne veröffentlichte Regelung für den Kauf von Priorität in dieser Warteschlange.

Die Erstattung erklärt nicht, wie die Sicherheitsverletzung zustande kam

Altcoin Pro-Mitbegründer und Chief Research Officer Joni Zhuleku argumentierte in einem Interview am 2. November, dass eine Erstattung allein nicht ausreichend sei. Er sagte, Binance müsse das Versagen erklären und stärkere Kontrollen nachweisen, um das Vertrauen wiederherzustellen.

Seine Position betrifft eine andere Frage als die, ob Kunden Ersatzvermögenswerte erhalten. Eine vollständig gedeckte Erstattung kann den unmittelbaren Fehlbetrag beheben, während der Grund für die unbefugten Transaktionen ungeklärt bleibt.

Binance hat seine finanzielle Leistungsfähigkeit und sein Engagement gegenüber den Kunden als Grund zur Beruhigung dargestellt. Richard Teng sagte am 3. November, dass das Unternehmen finanziell stark bleibe und dass Zu- und Abflüsse weitgehend wieder normal seien, so Reuters.

Die Belege für die Erholung sollten daher sowohl den Abschluss des Vermögensprogramms als auch die Änderungen an der Transaktionsberechtigung umfassen. Es handelt sich um getrennte Behauptungen, die sich unterschiedlich schnell entwickeln können.

Ethereums EIP-7702-Spezifikation macht ausdrücklich deutlich, dass signierte Autorisierungen das Verhalten eines Kontos an Code delegieren können. Die zugehörige Implementierungsrichtlinie warnt, dass die Delegierung dem designierten Vertrag die Kontrolle über Vermögenswerte geben kann.

Für eine Börse ist die relevante operative Frage, was ihre Signaturrichtlinie erlaubt, einschließlich ungewohnter Transaktionstypen und dauerhafter Berechtigungen. Ein System, das eine gewöhnliche Überweisung erkennt, muss dennoch eine Autorisierung interpretieren, die ändert, was ein Konto anschließend tun kann.

Der Vergleich stellt nicht fest, welche Binance-Kontrolle versagt hat. Er identifiziert die Berechtigung, die Ermittler berücksichtigen müssen, wenn sie die Ethereum-Transaktionen neben Aktivitäten auf anderen Chains rekonstruieren.

Die Offenlegung sollte erklären, welche schützenden Änderungen sofort gelten und welche weiterer technischer Entwicklung bedürfen. Das Ersetzen von Anmeldedaten, das Ändern von Genehmigungsregeln und der Neuaufbau von Diensten sind unterschiedliche Maßnahmen, auch wenn alle unter einem allgemeinen Versprechen zur Stärkung der Sicherheit erscheinen.

Kunden können den fertigen Bericht mit den während des Vorfalls herausgegebenen datierten Mitteilungen vergleichen. Wo das Unternehmen eine frühe Erklärung überarbeitet hat, sollte der abschließende Bericht zeigen, welche neuen Beweise seine Einschätzung geändert haben.

Die Mitteilung von Binance vom 30. Oktober verpflichtete sich, einen detaillierten technischen Bericht zu veröffentlichen, der den Angriff, die Lehren und die Schutzmaßnahmen abdeckt. Der nächste angekündigte Reserve-Snapshot war für den 4. November angesetzt, wobei für den vollständigen kryptografischen Nachweis weitere geschätzte 40 bis 50 Stunden veranschlagt wurden.

Worauf zu achten ist

• Abschluss nach Asset: Ob Binance den vollständigen Ersatz für Token außerhalb der bereits abgedeckten 10 meldet.
• Verfügbarkeit von Auszahlungen: Welche verbleibenden Netzwerk- und Asset-Paare betriebsbereit werden und ob Verarbeitungsverzögerungen fortbestehen.
• Zurückgeführte Gelder: Offenlegungen, die abgeschlossene Wiederherstellungen von Vermögenswerten unterscheiden, die noch eingefroren sind oder bis zu Entscheidungen zurückgehalten werden.
• Auffüllung der Reserven: Datierte Salden und Ersatzpläne für SAFU und die Futures-Versicherungsfonds, die bei der Wiederherstellung verwendet wurden.
• Technische Erkenntnisse: Der endgültige Angriffszeitplan, die beteiligten Signaturberechtigungen und die nach dem Sicherheitsverstoß geänderten Kontrollen.

FAQ