Eine betrügerische Bewerbungsübung verschaffte Angreifern Zugang zu den Systemen, mit denen Binance seine Wallets signiert. Die Kampagne gipfelte in einem Diebstahl im Wert von 6,34 Mrd. $, wie die Börse in ihrem ersten Vorfallbericht vom 3. November mitteilte, über den SecurityWeek berichtete. Die Computer dreier Ingenieure wurden über mehrere Monate kompromittiert, und ein internes KI-Tool war an der Ausweitung der Angriffe in den Systemen des Unternehmens beteiligt.
Kunden haben inzwischen wieder weitgehend Zugang zu Abhebungen, sagte Co-CEO Richard Teng am 3. November. Binance hatte die Abhebungen am 1. November schrittweise wieder freigegeben. Teng zufolge seien zudem 98 % der betroffenen Token wieder aufgefüllt worden. Rund 2,85 Mrd. $ der gestohlenen Vermögenswerte wurden eingefroren oder abgefangen.
Der Bericht von Binance beschreibt aufeinanderfolgende Kompromittierungen, bei denen Software-Downloads, sich als Recruiter ausgebende Personen und gestohlene Zugangsdaten für Bereitstellungen eine Rolle spielten. Die Angreifer erlangten schließlich Zugriff, mit dem sie Überweisungen autorisieren konnten, auch über Blockchain-Berechtigungen, die nach der Aussetzung der Abhebungen durch die Börse weiterhin wirksam blieben.
Eine Bewerbungsübung wird zum Einfallstor
Die früheste Phase, die Binance feststellte, ereignete sich im Juni. Ein Ingenieur, der für Entwicklung und Betrieb der Wallets zuständig war, suchte online nach einem beliebten KI-Coding-Tool und lud eine manipulierte Homebrew-Installation herunter, ein Werkzeug zur Softwareinstallation.
Binance entdeckte diese Kompromittierung und stellte dem Ingenieur einen Ersatzrechner bereit, während die zugehörigen Zugangsdaten zurückgesetzt wurden. Bis dahin hatten die Eindringlinge jedoch bereits in Erfahrung gebracht, welche Arbeit der Ingenieur leistete und welche Beziehungen er im Infrastrukturteam für Wallets pflegte.
Im September geriet ein zweiter Ingenieur ins Visier. Eine Person, die sich als Projektdirektor ausgab, vereinbarte zwei Vorstellungsgespräche für eine Stelle bei einem Unternehmen, das gar nicht existierte. Der erste Interviewer gab sich als Personalreferent aus und nutzte ein Social-Media-Profil mit persönlichen Fotos und Videos, um Vertrauen aufzubauen.
Der nächste Interviewer gab vor, der CEO des Unternehmens zu sein. Dieses über eine Chat-App geführte Gespräch führte zu der Aufforderung an den Ingenieur, eine Programmieraufgabe auf seinen Arbeitsrechner herunterzuladen.
Beim Einrichten der Aufgabe wurde schadhafter Code aktiviert, der im Repository enthalten war – also in der Sammlung von Dateien für das angebliche Projekt. Die Nutzlast ersetzte eine legitime Komponente eines Entwicklerwerkzeugs durch eine vom Angreifer bereitgestellte Version und baute eine Verbindung zum Server der Angreifer auf. Binance nannte sie „0-Day-Malware“ und erklärte, die Sicherheitssoftware des Rechners habe sie damals nicht erkannt.
Am 20. Oktober nutzten die Eindringlinge diesen kompromittierten Rechner zusammen mit einem internen KI-Tool, um die Computer des ersten Ingenieurs und eines dritten Wallet-Ingenieurs zu übernehmen, wenngleich Binance die konkrete Rolle des Tools nicht beschrieb.
Auf dem Rechner des ersten Ingenieurs befand sich ein Autorisierungstoken für die Bereitstellung von Containern, also Paketen, die Software für die Ausführung bündeln. Am 29. Oktober griffen die Angreifer auf den Rechner des dritten Ingenieurs zu und nutzten die vom ersten gestohlenen Zugangsdaten, um einen Container zu starten und ein schadhaftes Skript auszuführen.
Blockchain-Berechtigungen überdauerten den Abhebungsstopp
Binance führte die Bewegung von XRP, SOL, OP und BTC aus seinen Hot Wallets – also Wallets für Online-Transaktionen – auf unbefugten Zugriff auf einen internen Dienst zurück, der Wallet-Vorgänge signiert.
Dieser Dienst ermöglichte außerdem den Missbrauch des Ethereum-Mechanismus EIP-7702. Die Angreifer gewährten einem von ihnen kontrollierten Vertrag eine teilweise Befugnis, Aktionen über eine Hot Wallet auszuführen. Da diese Autorisierungen auf der Blockchain gespeichert waren, blieben sie unabhängig von Binances Abhebungssystemen wirksam. Der Stopp der Kundenabhebungen konnte daher nicht jede unbefugte Vermögensbewegung verhindern.
Die betroffene Wallet setzte auf Multi-Party Computation (MPC), bei der kryptografische Operationen auf mehrere Parteien verteilt werden. Binance zufolge fehlte deshalb ein einzelner Schlüssel, mit dem sich die delegierte Befugnis sofort hätte widerrufen lassen. Die letzte unbefugte Überweisung wurde um 23:56 UTC abgewickelt; die Delegierung wurde kurz nach Mitternacht entfernt.
Die Börse entschuldigte sich bei Nutzern, Partnern und der gesamten Branche für die Störung und die Unsicherheit. Außerdem teilte sie mit, sie habe in diesem Jahr 57 mutmaßlich mit Nordkorea verbundene Bedrohungen blockiert.
Das FBI führte den Diebstahl auf TraderTraitor zurück, eine staatlich unterstützte Hackergruppe aus Nordkorea. Nordkorea wies den Vorwurf zurück: In einer von staatlichen Medien verbreiteten Erklärung bezeichnete Kim Yo Jong, Schwester von Machthaber Kim Jong Un, ihn als politische Provokation und warf den Vereinigten Staaten vor, Cyberverbrechen zu Unrecht dem Land zuzuschreiben.
Wiederherstellung und Überprüfung der Reserven
Elliptic zufolge durchliefen die gestohlenen Vermögenswerte innerhalb von weniger als vier Tagen rund 12.000 Wallets auf elf Blockchains. Die Analyse ergab Automatisierung, aber keine Hinweise darauf, dass KI-Agenten über die Geldwäsche entschieden. Rund 3,18 Mrd. $ befanden sich am 3. November noch in Adressen, die mit dem Diebstahl in Verbindung standen.
Chainalysis berichtete separat, dass eine vorübergehende Notabschaltung bei THORChain, ausgelöst durch ein nicht damit zusammenhängendes technisches Problem, die Geldwäsche verlangsamt habe.
Binance erklärte, es habe das betroffene Wallet-System und das interne KI-Tool neu aufgebaut, Rechner ersetzt und die Zugangsdaten und Token der Ingenieure widerrufen. Unabhängige Sicherheitsfirmen werden hinzugezogen, um den Vorfall zu untersuchen. Zudem entwickelt die Börse einen Forschungsfonds für KI-Sicherheit in Blockchain-Umgebungen.
Kunden, die die Deckung ihrer Vermögenswerte prüfen möchten: Binance hat für seinen Reservenstand vom 31. Oktober einen Zero-Knowledge-Beweis abgeschlossen, also eine kryptografische Überprüfung. Inhaber von zehn großen Token können damit prüfen, ob ihre Guthaben mindestens im Verhältnis 1:1 gedeckt sind.
