Binance-Angreifer erbeutet 6,36 Milliarden $ über 10 Blockchains in Rekord-Exploit

Ein Angreifer hat laut einer Untersuchung des Blockchain-Analyseunternehmens TRM Labs rund 6,36 Milliarden $ von Binance in einem koordinierten Multi-Chain-Exploit über zehn Netzwerke hinweg abgezogen.

Der Vorfall gilt als der bisher größte Diebstahl von Kryptowährungen überhaupt, wobei der überwiegende Teil der gestohlenen Gelder am 29. Oktober innerhalb von etwa 20 Minuten von Binance zugeordneten Adressen abfloss.

TRM Labs verfolgte die ersten Vorbereitungen bis zum Morgen des 28. Oktober zurück, als eine mit dem Angreifer verknüpfte Adresse drei kleine Überweisungen von Tornado Cash erhielt. Am frühen Morgen des Folgetages stellte der Angreifer Smart-Contract-Code auf zwei neuen Ethereum-Wallets bereit und testete diesen, probte auf einer dritten Wallet den Testlauf sowie die Rückgabe von Geldern und startete den eigentlichen Angriff etwa vier Stunden später.

Der Exploit trat erstmals zwischen 20:05 und 20:09 Uhr UTC auf dem XRP Ledger in Erscheinung, als fünf Binance-Wallets rund 233,46 Millionen XRP – im Wert von etwa 296 Millionen $ – an eine vom Angreifer kontrollierte Adresse schickten. Der On-Chain-Ermittler Wazz Crypto merkte an: „Das war im Grunde der Kanarienvogel im Kohlebergwerk, da der Ripple-Hack [sic] offenbar zehn Minuten vor allen anderen Chains begann.“

Gegen 20:10 Uhr UTC trafen verdächtige Transaktionen Binance-Wallets auf Solana und Optimism. Zehn Minuten später transferierte eine Binance-Bitcoin-Adresse 18.270 BTC im Wert von rund 1,47 Milliarden $, die umgehend in Tranchen von 1.000 BTC und 100 BTC aufgeteilt wurden.

Eine Binance-Wallet auf Tron transferierte innerhalb von zwei Minuten nach der Bitcoin-Überweisung zeitgleich 612,7 Millionen USDT sowie 46,4 Millionen TRX mit einem Gesamtwert von etwa 628 Millionen $.

Auf Ethereum übermittelte der Angreifer um 20:20 Uhr UTC 50 signierte EIP-7702-Autorisierungen an eine Binance-Hot-Wallet. Die Einreichungen deckten fortlaufende Transaktionszähler ab, um eine Übereinstimmung mit der Wallet sicherzustellen, und delegierten die Ausführungsbefugnis an einen bösartigen Smart Contract.

Drei Minuten und 24 Sekunden später übertrug die Sweep-Funktion des Contracts in einer einzigen Transaktion 167.464 ETH sowie 63 Token, darunter 1,615 Milliarden USDT. Die delegierte Wallet nutzte daraufhin bestehende Berechtigungen auf einem weiteren Binance-Smart-Account, um 823 Millionen USDC zu transferieren.

Weitere Sweeps trafen die kompromittierte Ethereum-Wallet um 20:41, 20:59, 21:04, 21:44, 22:39 und 23:56 Uhr UTC, während neue Einzahlungen eintrafen. Eine zweite Welle gegen 23:05 Uhr UTC weitete den Diebstahl auf Binance-Wallets auf Avalanche und Polygon aus.

TRM Labs erfasste bis zum 30. Oktober um 00:30 Uhr UTC Überweisungen im Wert von 6,36 Milliarden $ über Ethereum, Bitcoin, Tron, den XRP Ledger, Solana, Arbitrum, Optimism, Base, Avalanche und Polygon hinweg.

Die Ermittler konnten bisher noch nicht feststellen, wie sich der Angreifer die erforderlichen Zugangsdaten verschafft hat. Derek Chiang, Forscher bei Ethlabs, erklärte, dass der Angreifer eine gültige Autorisierung zur Ausführung der EIP-7702-Operation benötigt habe, was entweder auf einen kompromittierten privaten Schlüssel oder eine Täuschung bei der Autorisierung gegenüber dem Unterzeichner hindeutet.