Ermittler berichten, mehrere Faktoren könnten beteiligt gewesen sein, darunter der kompromittierte Laptop eines DevOps-Ingenieurs. Hinweise deuten auf nordkoreanische Akteure als Verantwortliche.
Ermittlerinnen und Ermittler gehen der Frage nach, wie Hacker 6,3 Milliarden Dollar (5,6 Milliarden Euro) von der Kryptowährungsbörse Binance stehlen konnten. Fachleute sprechen bereits vom „größten Hack der Geschichte“, Hinweise deuten auf eine nordkoreanische Hackergruppe als Drahtzieher hin.
WERBUNG
WERBUNG
Die Summen übertreffen frühere Kryptoangriffe deutlich, etwa auf Bybit (1,5 Milliarden Dollar, 1,39 Milliarden Euro), Poly Network (610 Millionen Dollar, 545 Millionen Euro) und Ronin Network (540 Millionen Dollar, 482 Millionen Euro). Der Vorfall bei Binance ist der jüngste in einer Reihe von Cyberangriffen im Oktober. Viele Cybersicherheitsexperten machen den wachsenden Einsatz von KI verantwortlich, mit der Angreifer Schwachstellen schneller finden.
Binance ist nach eigenen Angaben die größte Kryptowährungsbörse der Welt und kontrolliert rund 35 Prozent des gesamten Kryptomarktes. Die Plattform gilt als zentrale Säule des Kryptoökosystems und ermöglicht es Menschen, Kryptowährungen zu kaufen und zu verkaufen.
Ähnlich wie klassische Devisenbörsen verwahrt Binance die Coins seiner Kundinnen und Kunden in eigenen Wallets. Aus einigen dieser ständig online verbundenen Wallets wickelt das Unternehmen Auszahlungen ab.
Der Angriff dauerte knapp vier Stunden. Die Hacker verschafften sich über einen kompromittierten Laptop Zugang zu mehreren Wallets und überwiesen Gelder von Binance-Wallets auf eigene Adressen. Binance und seine Partner frierten 2,7 Milliarden Dollar (2,4 Milliarden Euro) der gestohlenen Gelder ein, der verbleibende Betrag liegt jedoch weiterhin unberührt in den Wallets der Angreifer.
So lief der Angriff ab:
Donnerstag
22:29 CET Binance teilt mit, dass das Unternehmen Berichte über ein mögliches Sicherheitsproblem aktiv prüft. Die Börse versichert den Kundinnen und Kunden, ihre Gelder seien „vollständig sicher“, warnt aber zugleich vor „Betrugsversuchen“.
23:15 CET Das Unternehmen erklärt, es führe Sicherheitsprüfungen durch. Auszahlungen sollen wieder starten, sobald das Sicherheitsproblem behoben ist.
Freitag
00:06 CET Das Unternehmen stoppt den Handel mit Binance Alpha. Der Handel soll wieder aufgenommen werden, sobald das Sicherheitsproblem gelöst ist. Binance betont erneut, dass die Gelder der Kundschaft sicher seien.
00:22 CET Binance meldet erstmals, dass Vermögenswerte betroffen sind. Das Unternehmen berichtet, es sei über Berichte zu eingefrorenen Geldern informiert und stellt klar, dass derzeit 2,54 Milliarden Dollar (2,26 Milliarden Euro) eingefroren sind. Die Summe könne noch steigen, da Binance nach eigenen Angaben eng mit Strafverfolgungsbehörden und Aufsichtsstellen zusammenarbeitet, um Vermögenswerte nachzuverfolgen und einzufrieren.
01:13 CET Binance gibt eine Erklärung ab, in der das Unternehmen ankündigt, es werde „alle Verluste ausgleichen“. Vorsorglich seien alle Einzahlungen und Auszahlungen vorübergehend ausgesetzt worden.
01:52 CET Das Unternehmen aktualisiert die Zahl der eingefrorenen Vermögenswerte. Sie ist auf 3 Milliarden Dollar (2,68 Milliarden Euro) gestiegen.
03:25 CET Binance beziffert die Gesamtwirkung des Angriffs auf rund 6,3 Milliarden Dollar (5,6 Milliarden Euro). Die Untersuchung legt nahe, dass der Laptop eines kompromittierten DevOps Engineers als Einstiegspunkt diente. Darüber erhielten die Angreifer Zugang zu einem Service-Container und konnten unautorisierte Auszahlungsaufträge einreichen.
Das Unternehmen erklärt, es gebe keine Hinweise auf ein Leck von privaten Wallet-Schlüsseln. Vorsorglich habe Binance die Autorisierung der betroffenen Adresse widerrufen und Strafverfolgungsbehörden sowie Blockchain-Partner eingeschaltet, um Gelder aufzuspüren und zurückzuholen und Konten einzufrieren.
05:36 CET In einem weiteren Update erklärt das Unternehmen, der Vorfall gehe auf mehrere Faktoren zurück, nicht nur auf den kompromittierten Laptop.
09:47 CET Binance bestätigt seine frühere Aussage, dass ein kompromittierter Laptop den Einstieg ermöglicht haben könnte, berichtet jedoch, Ermittler hätten weitere Schwachstellen gefunden. Der Angriff sei „komplex“ gewesen. Das Unternehmen erklärt, es liege im Zeitplan, Auszahlungsdienste in 45 Stunden wieder aufzunehmen.
11:55 CET Das Unternehmen teilt mit, es habe damit begonnen, betroffene Vermögenswerte für Nutzerinnen und Nutzer zurückzuholen. Verluste sollen aus Unternehmensmitteln gedeckt werden; 6,34 Milliarden Dollar (5,66 Milliarden Euro) seien für die Bewältigung des Vorfalls reserviert.
„Wir werden diesen Sturm überstehen“, schreibt das Unternehmen auf der Social-Media-Plattform X.
Wie funktionierte der Angriff?
Binance beschreibt den Vorfall als „komplexen Angriff“, der auf mehreren Faktoren beruhte.
Die erste Untersuchung deutet darauf hin, dass ein kompromittierter Laptop eines DevOps Engineers eine Rolle spielte. Darüber konnte ein Angreifer Zugriff auf einen Service-Container erhalten und unautorisierte Auszahlungsaufträge einreichen.
Nach Angaben des Blockchain-Dateninfrastrukturunternehmens Bitquery signierte das eigene Auszahlungssystem von Binance in knapp vier Stunden Abflüsse von 6,3 Milliarden Dollar (5,6 Milliarden Euro) aus 17 Hot Wallets. Der Zeitraum reichte von Donnerstagabend 21:04 bis Freitagmorgen 00:56 CET.
Daraufhin froren die Stablecoin-Emittenten Tether, Circle und Arbitrum sowie vier kleinere Emittenten laut Bitquery 2,7 Milliarden Dollar ein, um die Gelder vor dem Abzug zu schützen. Bitcoin bestätigte, dass insgesamt 3 Milliarden Dollar eingefroren wurden.
Die Angreifer tauschten weitere 729 Millionen Dollar an Stablecoins, bevor die Einfrierungen begannen. Am Ende hielten sie laut Bitquery noch rund 3,1 Milliarden Dollar, überwiegend in Ether und Bitcoin.
Bitquery berichtet zudem, dass die Gelder auf neue Adressen in neun Blockchains verteilt wurden, wobei Ethereum, Bitcoin und TRON am stärksten betroffen waren.
Binance untersucht den Vorfall weiter in Abstimmung mit Strafverfolgungsbehörden und Partnern aus der Blockchain-Analyse, um die Gelder zu verfolgen und zurückzuholen.
Das Unternehmen hat Einzahlungen und Auszahlungen vorübergehend ausgesetzt, bis die Sicherheitsprüfungen abgeschlossen sind, die Autorisierung der betroffenen Adresse widerrufen und Strafverfolgungsbehörden sowie Blockchain-Analysepartner eingeschaltet, um Gelder aufzuspüren und zurückzuerlangen.
Binance kündigt an, nach Abschluss der Untersuchung und Verifizierung der Fakten eine detaillierte technische Analyse des Vorfalls zu veröffentlichen.
Außerdem plant das Unternehmen, nach Abschluss der Gegenmaßnahmen einen aktualisierten „Proof of Reserves“ zu veröffentlichen.
Wer steckt hinter dem Angriff?
Das Blockchain-Intelligence- und Cybersicherheitsunternehmen TRM Labs erklärt, die nordkoreanische Hackergruppe TraderTraitor stehe hinter dem Angriff.
„Auf Basis robuster On-Chain- und Off-Chain-Erkenntnisse kommen wir mit hoher Gewissheit zu diesem Urteil“, teilte das Unternehmen in einer Erklärung mit.
TRM Labs weist außerdem darauf hin, dass das FBI dieselbe Gruppe für den Bybit-Hack über 1,5 Milliarden Dollar (1,34 Milliarden Euro) im Februar 2025 verantwortlich gemacht hat.