Binance führt Diebstahl von 6,34 Milliarden US-Dollar auf fünfmonatige fingierte Rekrutierungskampagne zurück

Ein fünfmonatiger Angriff führte zu Abflüssen aus Binance-Wallets

Der Diebstahl, dessen Wert Binance auf 6,34 Milliarden US-Dollar beziffert, begann dem Unternehmen zufolge Monate, bevor Vermögenswerte bewegt wurden. In ihrem ersten öffentlichen Bericht über den Angriff vom 29. Oktober beschrieb die Börse eine Kampagne, bei der ein kompromittierter Software-Download mit einem fingierten Einstellungsverfahren, Malware und dem Missbrauch eines internen KI-Tools kombiniert wurde. Der Bericht lenkt den Blick weg von einem einzelnen Moment, in dem eine Wallet kompromittiert wurde, hin zu einer Abfolge von Schritten, durch die Personen, Geräte und Zugangsdaten im Wallet-Engineering-Team offengelegt wurden.

Der früheste von Binance beschriebene Zugangspunkt geht auf den Juni zurück. Damals suchte ein DevOps-Ingenieur für Wallets nach einem beliebten KI-Programmierwerkzeug und lud einen manipulierten Homebrew-Installer herunter. Binance erkannte eine Anomalie, ersetzte das Gerät und änderte die Zugangsdaten. Der Vorfall legte jedoch auch die Zuständigkeiten des Ingenieurs und die Namen von Kollegen offen, die an der Wallet-Infrastruktur arbeiteten. Das Unternehmen reagierte auf den Vorfall, indem es das betroffene Gerät und die offengelegten Zugangsdaten in den Blick nahm. Der spätere Bericht zeigt jedoch, wie diese Offenlegung möglicherweise für weitere gezielte Angriffe genutzt wurde.

Im September wurde ein zweiter Ingenieur über eine seriöse Jobplattform von jemandem kontaktiert, der sich als Projektdirektor ausgab. Binance zufolge folgten auf den Kontakt Videointerviews mit Personen, die behaupteten, die Personalabteilung und die Unternehmensleitung zu vertreten; außerdem wurde ein privates Social-Media-Konto geteilt, um Vertrauen aufzubauen. Der vermeintliche CEO beauftragte den Ingenieur anschließend, ein Code-Repository auf seinem Arbeitscomputer zu installieren. Durch den inszenierten Prozess gab es einen glaubwürdigen Vorwand, um die Schadsoftware auf ein Arbeitsgerät zu bringen.

Ein Bewerbungsprozess wurde zum Einfallstor

Laut Binance ersetzte das Repository eine legitime pyenv-Komponente durch eine bösartige Version und stellte eine Verbindung zu einem von den Angreifern kontrollierten Server her. Die Malware wurde als Zero-Day beschrieben und zu diesem Zeitpunkt nicht von Endpoint-Tools erkannt. Dieses Detail weist auf eine praktische Schwachstelle hin, wenn man sich allein auf herkömmliche Gerätewarnungen verlässt: Eine scheinbar berufsbezogene Programmieraufgabe konnte Code einschleusen, den vorhandene Schutzmaßnahmen nicht als schädlich erkannten. Binance hat nicht alle technischen Einzelheiten des Eindringens offengelegt.

Am 20. Oktober nutzten die Angreifer den kompromittierten Computer und ein internes KI-Tool, um zwei weitere Wallet-Ingenieure zu erreichen. Einer von ihnen verfügte über ein Token für die Container-Bereitstellung. Binance zufolge meldeten sich die Eindringlinge am 29. Oktober am Computer eines dritten Ingenieurs an, stellten mithilfe gestohlener Zugangsdaten einen Container bereit und begannen, Vermögenswerte abzuziehen. Der Ablauf veranschaulicht, wie sich ein über einen Mitarbeiter erlangter Zugang mithilfe interner Tools und Berechtigungen ausweiten lässt, auch wenn die Darstellung des Unternehmens nicht jede Interaktion zwischen den angegriffenen Systemen konkretisiert.

Binance erklärt, in diesem Jahr 57 weitere mutmaßliche Versuche mit Nordkorea-Bezug blockiert zu haben, bei denen ähnliche Köder eingesetzt wurden. Die Börse nahm jedoch keine eigene Zuordnung dieses Diebstahls vor. Das FBI machte Nordkorea für den Angriff verantwortlich; Pjöngjang wies den Vorwurf zurück, und Kim Yo Jong bezeichnete ihn in staatlichen Medien als politische Provokation. Durch diese widersprüchlichen Behauptungen bleibt die Verantwortung in der öffentlichen Darstellung umstritten. Der Bericht von Binance beschreibt die Methode und den zeitlichen Ablauf, klärt die Frage der Zuordnung selbst jedoch nicht.

Delegiertes Signieren verlängerte die Reaktion

Die Überweisungen begannen am 29. Oktober rasch. Zwischen 20:05 und 20:09 UTC sendeten fünf Hot Wallets 233,46 Millionen XRP an eine Angreiferadresse, gefolgt von etwa 970.500 SOL und 44,2 Millionen OP aus Wallets auf Solana und Optimism. Anschließend überwies eine Binance-Hot-Wallet 18.270 BTC. Umfang und Geschwindigkeit dieser Bewegungen zeigen, warum es für die Reaktion nicht genügte, kompromittierte Zugangsdaten zu identifizieren: Die Börse musste auch Kanäle stilllegen, über die On-Chain-Überweisungen autorisiert werden konnten.

Binance zufolge nutzten die Angreifer einen kompromittierten Signaturdienst, um EIP-7702 von Ethereum aufzurufen. Dieser Standard ermöglicht es einem Konto, einem Smart Contract Ausführungsrechte zu übertragen, ohne den Schlüssel offenzulegen. Ein von den Angreifern kontrollierter Vertrag erlangte teilweise Kontrolle über eine Binance-Hot-Wallet. Die Aussetzung von Auszahlungen schloss diesen Angriffsweg nicht, da die Angreifer 50 Signaturtransaktionen eingereicht hatten, die On-Chain-Delegierungen einrichteten und außerhalb der Auszahlungsinfrastruktur wirksam waren. Der Vorfall offenbarte eine Lücke zwischen den vertrauten Auszahlungskontrollen und der delegierten Ausführung.

Die Wallet nutzte Multi-Party Computation (MPC). Binance zufolge gab es daher keinen einzelnen Schlüssel, der einfach hätte widerrufen werden können, um die Delegierungen aufzuheben. Das Team musste während des Vorfalls ein Verfahren entwickeln. Die letzte unautorisierte Überweisung über 2.961,9 ETH wurde um 23:56 UTC abgewickelt; Binance hob die Delegierung am 30. Oktober um 00:10 UTC auf. Das Unternehmen räumte ein, dass diese Herausforderung die Eindämmung verzögerte, und erklärte, es überprüfe die Abdeckung seiner Signaturrichtlinien sowie die Kontrollen für Hot-Wallets. Der Bericht enthält keine Einzelheiten zu dem neuen Verfahren.

Wiederherstellung, Sicherheitsänderungen und offene Fragen

Binance meldete, Vermögenswerte im Wert von etwa 2,85 Milliarden US-Dollar eingefroren oder abgefangen und 98 % der betroffenen Token aus eigenen Mitteln ersetzt zu haben. Den verbleibenden Betrag kaufte das Unternehmen am offenen Markt. Diese Zahlen beschreiben die Maßnahmen der Börse zur Wiederbeschaffung und Entschädigung der Kunden, nicht eine vollständige öffentliche Bilanz über den endgültigen Verbleib sämtlicher Vermögenswerte. Das Unternehmen erklärte außerdem, dass Auszahlungen schrittweise wieder aufgenommen wurden. Am Dienstag wurden nach den zuvor geltenden Einschränkungen Dutzende weitere Vermögenswerte über neun Netzwerke hinweg wieder freigegeben.

Kundenströme boten eine weitere Möglichkeit, die unmittelbaren Folgen zu messen. Binance zufolge hoben Nutzer in den 46 Stunden nach der Wiederaufnahme der Auszahlungen am Sonntag 10,97 Milliarden US-Dollar ab, während die Nettoabflüsse 5,28 Milliarden US-Dollar betrugen. Um 03:00 UTC überstiegen die stündlichen Einzahlungen die Auszahlungen, was Co-CEO Richard Teng als Stabilisierung bezeichnete. Die Zahlen zeigen, dass weiterhin erhebliche Auszahlungen stattfanden, obwohl die stündliche Bilanz ins Plus drehte; sie lassen weder darauf schließen, wie sich Nutzer über einen längeren Zeitraum verhalten werden, noch darauf, ob das Vertrauen vollständig zurückgekehrt ist.

Binance zufolge hat das Unternehmen sein Wallet-System und sein internes KI-Tool in neuen Umgebungen neu aufgebaut, betroffene Geräte ersetzt, den Ingenieuren ihre Zugangsdaten entzogen und die Erkennung von Verhaltensanomalien ausgeweitet. Binance lässt eine unabhängige Prüfung durchführen, erhöht die Ausgaben für die Sicherheit von Endgeräten und Entwicklerumgebungen und plant gemeinsam mit externen Unternehmen einen Forschungsfonds für KI-Sicherheit. In Washington nutzte CFTC-Vorsitzender Michael Selig den Sicherheitsvorfall als Argument für einen bundesweiten Registrierungsweg für Offshore-Börsen. Die Ergebnisse der Prüfung und umfassendere technische Angaben von Binance stehen noch aus; einige Details werden vertraulich bleiben.

Quelle: BitcoinMagazine