Binance entdeckt weitere Einfallstore beim 6-Milliarden-Dollar-Hack – Verbindungen zu Nordkorea werden sichtbar

Binance teilte mit, dass Ermittler zusätzliche Einfallstore entdeckt haben, die an dem Hack über rund 6 Milliarden $ beteiligt waren. Damit erweitert sich das Ausmaß der Untersuchung über den anfänglichen Fokus auf den kompromittierten Laptop eines Mitarbeiters hinaus. Welche Schwachstellen neu entdeckt wurden, hat die Krypto-Börse bislang nicht bekannt gegeben.

In einem Sicherheitsupdate vom 30. Oktober hatte die Börse noch auf den Laptop eines DevOps-Entwicklers als mutmaßlichen Einstiegspunkt verwiesen, der es den Angreifern ermöglichte, einen internen Service-Container zu erreichen und unbefugte Abhebungen auszulösen. Obwohl Binance nach wie vor betont, es gebe keine Beweise für kompromittierte Private Keys, bestätigte das Unternehmen, die betroffenen Adressautorisierungen widerrufen zu haben und seine Auszahlungsinfrastruktur neu aufzubauen.

Die neuen Erkenntnisse fallen zeitlich mit Analysen des Blockchain-Geheimdienstunternehmens TRM Labs zusammen, das den Angriff mit hoher Zuverlässigkeit TraderTraitor zuordnet – einer mit Nordkorea verbundenen Hackergruppe, die bereits mit einem Exploit von 1,5 Milliarden $ bei Bybit im Februar 2025 in Verbindung gebracht wurde. TRM wies auf deutliche Überschneidungen bei der Angriffsplanung, den vorab signierten Autorisierungstechniken und den Mittelbewegungen hin.

Laut den Erkenntnissen von TRM aus einer Untersuchung vom 29. Oktober hatten sich die Angreifer mindestens 36 Stunden vor dem Schlag vorbereitet, vorläufige Transaktionen initiiert und Exploit-Code deployed. Anschließend zogen die Täter rund 6 Milliarden $ über 10 Blockchains ab und erbeuteten den Großteil der Vermögenswerte innerhalb von 20 Minuten über Netzwerke wie Ethereum, Bitcoin, Tron, Solana und das XRP Ledger.

Auf Ethereum setzte der Angreifer laut TRM EIP-7702 ein, um die Kontrolle über eine Hot Wallet von Binance mittels 50 vorab signierter Autorisierungen an einen bösartigen Contract zu übertragen. Transaktionen über die anderen neun Blockchains sahen wie Standard-Transfers mit gültigen Signaturen aus, was laut TRM auf eine mögliche Kompromittierung der Signatur-Infrastruktur von Binance hindeutet.

Das On-Chain-Tracking brachte schnell gemeinsame Geldwäschepfade mit früheren Exploits ans Licht. Der On-Chain-Ermittler ZachXBT zeigte auf, dass bei Binance entwendete Vermögenswerte und Gelder aus dem Hack von Bitget im September über rund 388 Millionen $ nach dem Transfer über THORChain an der Ethereum-Adresse 0x15104a9ce0f08a8f0075a0869ae80e795fe0feb7 zusammengeführt wurden.

ZachXBT erklärte, diese Zusammenführung weise auf einen einzelnen Bedrohungsakteur hin. Er merkte an, dass der Bitget-Vorfall bereits mit TraderTraitor in Verbindung gebracht worden war, die auch mit dem Angriff auf Kelp DAO verknüpft sind. Unabhängig davon verfolgte die Sicherheitsfirma MistTrack gestohlene TRX, die über die Cross-Chain-Bridge der Bitget Wallet zu 0xCd684D22E8C3600E6eE93B5a57923c3b517f3396 geleitet wurden – einer Ethereum-Adresse, die bereits in der Geldwäscheschleife von Phemex identifiziert worden war.

Binance gab an, rund 3 Milliarden $ der erbeuteten Gelder mithilfe von Blockchain-Partnern eingefroren zu haben, und versprach, betroffene Nutzer über seinen Secure Asset Fund for Users (SAFU) sowie über Unternehmensreserven vollständig zu entschädigen.

Einzahlungen liefen unterdessen ununterbrochen weiter, doch die Auszahlungen für Kunden blieben nach der Mitteilung vom 30. Oktober ausgesetzt. Die Börse schätzte, dass die Dienste innerhalb von 45 Stunden wieder aufgenommen werden könnten. Binance plant, nach Abschluss der Sanierungsmaßnahmen einen aktualisierten Proof-of-Reserves zu veröffentlichen, und arbeitet weiterhin mit Strafverfolgungsbehörden und Analysefirmen zusammen.