Wie die Angreifer in die Infrastruktur von Binance eindrangen
Laut dem Bericht erhielt im September ein Binance-Ingenieur auf einer seriösen Jobplattform eine Nachricht von einer Person, die sich als Projektleiter ausgab. Dem Mitarbeiter wurden zwei Vorstellungsgespräche angeboten.
Zunächst meldete sich ein angeblicher HR-Vertreter des Unternehmens bei ihm. Er führte einen Videoanruf und teilte einen Link zu seinem Social-Media-Konto mit persönlichen Fotos und Videos, um Vertrauen zu schaffen. In der zweiten Runde sprach der Ingenieur mit einer Person, die sich als Leiter eines nicht existierenden Unternehmens ausgab.
Am Ende des zweiten Vorstellungsgesprächs wurde dem Mitarbeiter vorgeschlagen, eine Testaufgabe – ein Repository mit schädlichem Code – auf seinen Arbeitscomputer herunterzuladen. Bei der Installation führte die Ausführung des Codes zu nicht autorisierten Aktivitäten auf dem Gerät. Laut Binance nutzte die Schadsoftware Verschleierungs- und Umgehungstechniken; ihre Komponenten wurden von den damals eingesetzten Endpoint-Schutzlösungen nicht erkannt.
Die Börse schilderte auch einen früheren Vorfall. Im Juni lud ein anderer Ingenieur beim Versuch, ein beliebtes KI-Entwicklungstool zu installieren, ein modifiziertes Homebrew-Paket herunter. Die Sicherheitsabteilung entdeckte eine Anomalie, tauschte das Gerät aus und aktualisierte die zugehörigen Zugangsdaten. Binance zufolge hatten die Angreifer jedoch bereits Informationen über den Mitarbeiter und seine Kollegen aus dem Team erlangt, das für die Wallet-Infrastruktur zuständig war.
Am 20. Oktober nutzten die Angreifer den kompromittierten Computer des ersten Ingenieurs und ein internes KI-Tool von Binance, um Zugriff auf die Geräte zweier weiterer Mitarbeitender zu erhalten. Später entdeckten sie auf dem Computer eines der Ingenieure ein Token mit Berechtigungen zum Bereitstellen von Containern.
Am 29. Oktober nutzten die Angreifer gestohlene Zugangsdaten, stellten einen Container bereit und führten ein schädliches Skript aus, mit dem sie in die Transaktionssignierung eingreifen konnten.
Wie die Gelder abgezogen wurden
Laut Binance begann der Angriff mit Überweisungen aus den Hot Wallets der Börse in mehreren Netzwerken. Zwischen 20:05 und 20:09 UTC überwiesen fünf Wallets 233,46 Millionen XRP an eine von den Angreifern kontrollierte Adresse. Außerdem wurden rund 970.500 SOL und 44,2 Millionen OP aus Wallets bei Solana und Optimism abgezogen.
Anschließend wurden 18.270 BTC aus einer Hot Wallet von Binance transferiert.
Für den weiteren Transfer der Vermögenswerte nutzten die Angreifer den EIP-7702-Mechanismus auf Ethereum. Damit kann ein gewöhnliches Konto einem Smart Contract bestimmte Berechtigungen zur Ausführung von Vorgängen übertragen, ohne den privaten Schlüssel offenzulegen.
In diesem Fall nutzten die Angreifer den Mechanismus, um mit der Hot Wallet von Binance zu interagieren. Dadurch konnten sie Überweisungen unter Umgehung des standardmäßigen Auszahlungssystems der Börse durchführen.
Binance entdeckte umfangreiche Transaktionen und begann, Vorgänge einzuschränken, Auszahlungen auszusetzen, mit Partnern zusammenzuarbeiten, um Vermögenswerte einzufrieren, und nicht autorisierte Berechtigungen zu widerrufen.
Die Aussetzung regulärer Auszahlungen stoppte jedoch nicht alle Transfers: Die auf der Blockchain erstellten EIP-7702-Berechtigungen blieben unabhängig von der standardmäßigen Infrastruktur der Börse aktiv. Für ihren Widerruf war ein gesondertes Verfahren erforderlich.
Zusätzliche Komplexität entstand durch die Architektur der Binance-Hot-Wallets, die die Technologie des Mehrparteien-Computings (MPC) verwenden. Da es keinen einzigen privaten Schlüssel gibt, konnte das Team ihn nicht einfach nutzen, um die Berechtigungen sofort zu widerrufen.
Die letzte nicht autorisierte Transaktion über 2961,9 ETH wurde am 29. Oktober um 23:56 UTC auf der Blockchain bestätigt. Am 30. Oktober um 00:10 UTC sendete Binance eine neue Autorisierung an die Nulladresse, um den delegierten EIP-7702-Code zu entfernen.
Binance hat 98 % der betroffenen Vermögenswerte wiederhergestellt
Nach Schätzung der Börse waren digitale Vermögenswerte im Wert von etwa 6,34 Milliarden US-Dollar von dem Vorfall betroffen. Davon konnten rund 2,85 Milliarden US-Dollar eingefroren oder abgefangen werden. Diese Schätzung kann sich nach dem Abgleich der Daten und angesichts der Volatilität der Marktpreise noch ändern.
Binance erklärte, die finanziellen Folgen des Angriffs selbst zu tragen. Bis zum 31. Oktober hatte das Unternehmen rund 98 % der betroffenen Token wiederhergestellt; die Rückstellungen übersteigen den zur Deckung der Verluste erforderlichen Betrag. Die Börse teilte außerdem mit, dass sie die verbleibenden, weniger liquiden Vermögenswerte erwirbt.
Im Rahmen der Reaktion hat #Binance die betroffenen Wallet-Systeme und das interne KI-Tool umgebaut, Geräte ausgetauscht sowie Zugangsdaten und Token von betroffenen Mitarbeitenden widerrufen. Das Unternehmen verstärkte außerdem die Kontrolle über Geräte, das Risikomanagement für Wallet-Dienste und die KI-gestützte Erkennung ungewöhnlichen Verhaltens.
Die Börse beabsichtigt, unabhängige Cybersicherheitsunternehmen mit der Überprüfung der Untersuchungsergebnisse zu beauftragen. Darüber hinaus plant sie, ihre Investitionen in KI-Tools zur Erkennung von Bedrohungen, in den Schutz von Arbeitsgeräten und Entwicklungsumgebungen sowie in einen Fonds zur Förderung der Sicherheitsforschung im Bereich Blockchain-Infrastruktur zu erhöhen.
Binance betonte, dass der veröffentlichte Bericht vorläufig sei: Die Untersuchung dauere an und ihre Schlussfolgerungen würden von unabhängigen Fachleuten überprüft. Einige technische Einzelheiten beschloss das Unternehmen nicht offenzulegen, um potenziellen Angreifern nicht bei der Vorbereitung neuer Attacken zu helfen.