Linda untersucht den Binance Hack und die Fragen rund um den Angriff

Die Cardano Community Creatorin Linda hat in einem neuen Video den Sicherheitsvorfall bei Binance untersucht, stellt die Frage, wie Angreifer Milliarden von Dollar bewegen konnten, und beleuchtet zugleich die Reaktion der Börse sowie die Ermittlungen zu den Verantwortlichen.

Ihre Analyse knüpft an Binances Schätzung an, dass beim Angriff vom 29. Oktober rund 6,3 Milliarden Dollar betroffen waren. Linda geht zudem auf Spekulationen ein, der Vorfall könne ein Insider Job gewesen sein, und stellt Erkenntnisse von Ermittlern vor, die auf eine nordkoreanische Hackergruppe hindeuten.

Fragen zu Binances Sicherheitskontrollen

Linda konzentriert sich auf den anfänglichen Hinweis, dass der Vorfall möglicherweise einen kompromittierten Laptop eines Binance DevOps Ingenieurs betraf. Sie fragt, wie ein Angreifer Zugang zu Systemen erlangen konnte, die in der Lage sind, solch große Beträge zu bewegen, und ob Schutzmechanismen die Abflüsse früher hätten stoppen müssen.

Das Video enthält außerdem ein späteres Update von Binances CEO Richard Teng. In der von Linda gezeigten Erklärung erläutert Teng, dass Ermittler weitere Angriffsvektoren identifiziert hätten, und bezeichnet den Vorfall als komplexen Angriff.

Dem Update zufolge nutzten die Angreifer Mechanismen, die während des Vorgehens Werkzeuge und Spuren zerstörten, was die Ermittlungen erschwerte. Spätere Erkenntnisse deuten darauf hin, dass sich der Vorfall nicht auf einen einzelnen kompromittierten Laptop reduzieren lässt.

Linda geht auch auf Tengs Erklärung ein, wie die Angreifer eine Ausführungsfreigabe im Zusammenhang mit einer mit dem Internet verbundenen Binance Wallet erlangten. Das Update verweist auf EIP-7702, einen Ethereum Mechanismus, der es einem Konto erlaubt, die Ausführung an Smart Contract Code zu delegieren. Laut der im Video gezeigten Erklärung durchlief diese Delegation nicht Binances normale Freigabekontrollen.

Wie die Angreifer die Gelder bewegten

Linda beschreibt eine schnelle Abfolge von Transaktionen, nachdem am 29. Oktober die unautorisierten Abhebungen begannen. Ihren Angaben zufolge wurden die meisten der betroffenen Vermögenswerte in etwa 20 Minuten bewegt.

Die Stablecoin Emittenten Tether und Circle begannen, den Angreifern zugeordnete Adressen zu blockieren. Solche Beschränkungen können verhindern, dass betroffene Token weiter bewegt werden, auch wenn das Einfrieren von Vermögenswerten etwas anderes ist als deren Wiederbeschaffung und Rückgabe.

Linda erläutert, dass die Angreifer gestohlenes USDT in das Aave Kreditprotokoll einzahlten und es als Sicherheit nutzten, um ETH zu leihen. Sie beschreibt außerdem, wie gestohlene Stablecoins gegen ETH getauscht wurden, bevor einige Empfangsadressen blockiert wurden.

ETH hat keinen zentralen Emittenten, der Token an einer Adresse einfrieren kann, so wie es die Emittenten von USDT und USDC können. Linda nutzt die Transaktionen, um zu zeigen, wie Angreifer zwischen Vermögenswerten wechselten, während Einfriermaßnahmen im Gange waren.

Ihr Video hebt außerdem eine Beobachtung von Chainalysis hervor, wonach Tausende von Transaktionen Gelder zwischen Adressen zirkulieren ließen, die teils zu zuvor beteiligten Adressen zurückflossen. Linda führt dieses Muster auf Automatisierung und Bemühungen zurück, die Spur der Gelder zu verschleiern.

Aave schränkte vorsorglich vorübergehend neue Einzahlungen und Kreditaufnahmen ein. Linda merkt an, dass Nutzer weiterhin Gelder abheben und Kredite zurückzahlen konnten, während spätere Änderungen USDT, USDC und mehrere andere Vermögenswerte mit einem Null Loan to Value Verhältnis beließen, was deren Nutzung als Sicherheit für neue Kreditaufnahmen verhinderte.

[NEWSBREAK]

Insider Job Spekulationen und die Ermittlungen

Linda geht auf Online Spekulationen ein, wonach an dem Vorfall Insider beteiligt gewesen sein könnten. Sie schildert ihre Fragen zum Ausmaß des Diebstahls und zum anfänglichen Fokus auf den Laptop eines Mitarbeiters, präsentiert jedoch keine Belege, die einen Insider Job belegen.

Sie untersucht auch Erkenntnisse, die in eine andere Richtung weisen. Der in ihrem Video präsentierten Analyse zufolge schrieb die Blockchain Intelligence Firma TRM Labs den Angriff Trader Traitor zu, einer Gruppe mit Verbindungen zu Nordkorea. Linda schildert den Bericht der Firma über Vorbereitungen, die mindestens 36 Stunden vor dem Diebstahl begannen, darunter das Einrichten und Testen von Wallets.

Linda verweist auf Erkenntnisse von Chainalysis und dem Ermittler ZachXBT zu Verbindungen zwischen Geldern aus dem Binance Vorfall und einem früheren Bitget Hack, der nordkoreanischen Angreifern zugeschrieben wird. Zum Zeitpunkt ihrer Aufzeichnung, merkt sie an, hatte Binance nicht offiziell bestätigt, wer den Angriff durchgeführt hat.

Das Video behandelt auch Binances Zusage, Verluste zu decken. In einer von Linda gezeigten Erklärung teilte die Börse mit, mehr als 6,34 Milliarden Dollar an Unternehmensmitteln zurückgestellt zu haben, wobei rund 5 Milliarden bereits in denselben Arten von Vermögenswerten gehalten werden, die betroffen waren.

Seither hat Binance begonnen, Auszahlungen schrittweise wiederherzustellen. Am 1. November begann die Börse damit, den Dienst für eine Auswahl an Vermögenswerten und Netzwerken wieder zu öffnen, wobei die Verfügbarkeit je nach Token und Blockchain variiert.