Binance: 6,3 Milliarden Dollar betroffen, und am Anfang stand wohl ein Laptop
Binance meldet einen Vorfall mit rund 6,3 Mrd. Dollar betroffenen Assets, knapp 3 Mrd. sind eingefroren. Ausgangspunkt war wohl der Laptop eines DevOps-Ingenieurs. Was bekannt ist und was du tun solltest.
Binance, die größte Kryptobörse der Welt, hat einen „security incident“ gemeldet. Nach Angaben des Unternehmens sind Assets im Wert von rund 6,3 Milliarden US-Dollar betroffen. Knapp 3 Milliarden davon sind laut Binance bisher on-chain eingefroren, also direkt auf der Blockchain gesperrt, sodass der Angreifer sie nicht mehr bewegen kann (The Hacker News).
Seit meinem ersten Post ist einiges dazugekommen. Hier der aktuelle Stand, mit den offenen Punkten.
Was passiert ist
Am 29. Oktober tauchten Berichte über sehr große Abflüsse aus Binance-Hot-Wallets auf. Ein Hot Wallet ist eine Wallet, die ständig online ist, damit die Börse Auszahlungen schnell abwickeln kann. Die Gelder gingen an eine frisch angelegte Ethereum-Adresse. Binance sprach zunächst nur von „reports of a potential security issue“ (BleepingComputer). Später nannte die Börse die 6,3 Milliarden als geschätzte Gesamtauswirkung.
Zur Ursache sagt Binance bisher nur, die erste Untersuchung deute darauf hin, dass der Vorfall „may involve a compromised DevOps engineer's laptop“. Über diesen Laptop soll der Angreifer Zugriff auf einen Service-Container bekommen und unautorisierte Auszahlungen abgeschickt haben. Für ein Leck privater Wallet-Schlüssel gebe es keine Hinweise (The Register). Inzwischen räumt Binance allerdings ein, die Untersuchung habe „additional points of breach“ gefunden, also weitere Einfallstellen neben dem Laptop. Eine vollständige Ursachenanalyse gibt es noch nicht.
Das Blockchain-Analysehaus TRM Labs beschreibt, wie es aus seiner Sicht technisch ablief: Vorbereitungen mindestens 36 Stunden vorher, Testläufe wenige Stunden vor dem Angriff, dann eine einzige Transaktion, die das Hot Wallet in rund dreieinhalb Minuten leerte. Elliptic geht davon aus, dass der Angreifer Binances eigene Systeme dazu gebracht hat, die Transaktionen zu signieren, statt Schlüssel zu stehlen (The Hacker News). Das passt zur Aussage, dass keine Schlüssel abgeflossen sind, und macht die Sache nicht besser.
Die Zahlen und was sie bedeuten
- Betroffen: rund 6,3 Mrd. Dollar laut Binance. Chainalysis schätzt den Wert zum Zeitpunkt des Diebstahls auf etwa 5,9 Mrd., Elliptic auf 6,43 Mrd.
- Eingefroren: Tether hat mehr als 1,567 Mrd. USDT gesperrt, Circle rund 800 Mio. USDC. Elliptic beziffert alle Sperren zusammen auf 2,84 Mrd. Dollar.
- Noch beim Angreifer: laut Elliptic etwa 3,33 Mrd. Dollar, verteilt auf rund 43 Wallets, darunter ETH und BTC.
Ein Wort zur Einordnung, auch als Korrektur meines eigenen Posts. Ich hatte geschrieben: „Betroffen“ heißt nicht „gestohlen“. Für die Frage, ob abgeflossen ist, hat sich das erledigt. Die Analysefirmen sprechen klar von Diebstahl, und es wäre der größte Kryptodiebstahl bisher, deutlich vor Bybit mit 1,5 Mrd. Dollar im Februar 2025. Offen bleibt, wie hoch der endgültige Verlust wird, wenn man die eingefrorenen und eventuell zurückgeholten Beträge abzieht.
Stablecoins sind Token, die an eine Währung wie den Dollar gekoppelt sind. Dass Tether und Circle so schnell sperren konnten, zeigt, dass diese Token zentral kontrolliert werden. Hier hat das geholfen.
Wer steckt dahinter?
TRM Labs ordnet den Angriff mit hoher Sicherheit TraderTraitor zu, einer nordkoreanischen Gruppe, die seit Jahren Kryptofirmen angreift. Chainalysis sieht ebenfalls Nordkorea, auch weil Gelder mit denen aus dem Bitget-Exploit vermischt wurden. Elliptic mahnt zur Vorsicht, solange es keine Ursachenanalyse gibt. Binance selbst hat noch niemanden verantwortlich gemacht (The Hacker News).
Wer betroffen ist
Zunächst alle Binance-Kunden: Ein- und Auszahlungen sind ausgesetzt. Binance rechnet damit, Auszahlungen innerhalb von 48 Stunden wieder freizugeben, nachdem der Auszahlungsdienst überarbeitet wurde. Verluste will die Börse aus dem SAFU-Fonds und aus eigenen Mitteln decken. SAFU ist ein Notfallfonds, den Binance für genau solche Fälle angelegt hat. Bisher ist das eine Zusage, die Umsetzung muss sich noch zeigen.
Was du jetzt tun solltest
Als Binance-Kunde:
- Prüfe Kontostand und Transaktionsverlauf, sobald der Betrieb wieder läuft. Bei Unstimmigkeiten wende dich an den Support, und zwar nur über die App oder die offizielle Website.
- Aktiviere 2FA (Zwei-Faktor-Authentisierung, ein zweiter Code neben dem Passwort) und den Anti-Phishing-Code. Damit tragen echte Binance-Mails ein Kennwort, das nur du kennst.
- Rechne mit Phishing. Nach solchen Vorfällen kommen Mails und Nachrichten über „Entschädigung“, „Kontoverifizierung“ oder „Recovery-Services“. Binance warnt selbst ausdrücklich vor inoffiziellen Links. Niemand Seriöses fragt nach deinem Passwort oder deiner Seed-Phrase.
- Grundsätzlich gilt: Was du nicht aktiv handelst, gehört nicht auf eine Börse.
Als Unternehmen: Wenn ein einzelner Entwickler-Laptop den Weg zu Milliarden öffnen kann, ist das ein Architekturproblem und nicht nur ein Endpoint-Problem. TraderTraitor arbeitet bekannt mit gefälschten Jobangeboten, Coding-Tests und präparierter Software. Behandelt die Geräte von DevOps-Leuten mit Produktionszugriff wie Kronjuwelen. Und kein einzelner Systempfad sollte große Auszahlungen ohne unabhängige Freigabe signieren können.
Ich aktualisiere, sobald Binance eine Ursachenanalyse vorlegt.