Binance-Hack: 296 Millionen Dollar XRP-Abfluss nach 36 Stunden Vorbereitung

Der Binance-Hack: Ein Überblick

Der Angreifer von Binance verbrachte mindestens 36 Stunden mit der Vorbereitung des Hacks der Krypto-Börse, die einen Wert von 6,36 Milliarden Dollar hatte und mit einem Abfluss von 296 Millionen Dollar in XRP begann. Laut einer Untersuchung von TRM Labs vom 29. Oktober begann der Angreifer am 28. Oktober mit der Planung der Operation, bevor er am folgenden Abend koordinierte Überweisungen über zehn Blockchains ausführte.

Die Durchführung des Angriffs

Die Blockchain-Intelligenzfirma stellte fest, dass die meisten Gelder innerhalb von etwa 20 Minuten aus Binance-gebundenen Wallets abflossen, was den Vorfall zum größten Diebstahl von Kryptowährungen in der Geschichte machte. TRM verfolgte die frühesten Vorbereitungen bis zum Morgen des 28. Oktober, als eine vom Angreifer kontrollierte Wallet drei kleine Überweisungen von Tornado Cash, einem Kryptowährungs-Mixing-Service, erhielt.

Am frühen folgenden Tag setzte der Angreifer bösartigen Smart-Contract-Code ein und testete ihn gegen zwei neu erstellte Ethereum-Wallets. Anschließend implementierte der Angreifer eine überarbeitete Version und probte die Operation an einer dritten Wallet, wobei er erfolgreich Testmittel übertrug, bevor er sie zurückgab. Ungefähr vier Stunden nach dieser letzten Probe begann der Hauptangriff.

Details des Angriffs

Zwischen 20:05 und 20:09 UTC übertrugen fünf Binance-Wallets im XRP Ledger etwa 233,46 Millionen XRP im Wert von 296 Millionen Dollar auf eine vom Angreifer kontrollierte Adresse. Der On-Chain-Ermittler Wazz Crypto kam zu einem ähnlichen Schluss und berichtete, dass bis 20:10 UTC auch verdächtige Überweisungen von Binance-Wallets auf Solana und Optimism begonnen hatten.

Um 20:20 UTC übertrug eine Binance Bitcoin-Wallet 18.270 BTC im Wert von etwa 1,47 Milliarden Dollar. Der Angreifer begann sofort, die Gelder in kleinere Chargen von 1.000 BTC und 100 BTC aufzuteilen. Innerhalb von zwei Minuten übertrug eine Binance-Wallet auf Tron weitere 612,7 Millionen USDT und 46,4 Millionen TRX, die zusammen etwa 628 Millionen Dollar wert waren.

Die Ethereum-Operation entwickelte sich nahezu zeitgleich. Um 20:20 UTC reichte der Angreifer 50 zuvor unterzeichnete EIP-7702-Autorisierungen bei einer Binance-Hot-Wallet ein, die es ermöglichte, die Ausführung an einen bösartigen Smart Contract zu delegieren. Die Autorisierungen deckten aufeinanderfolgende Transaktionsnummern ab, um sicherzustellen, dass eine mit der aktuellen Nummer der Wallet übereinstimmte, wenn sie verarbeitet wurde.

Drei Minuten und 24 Sekunden später aktivierte der Angreifer die Sweeping-Funktion des Vertrags und übertrug 167.464 ETH sowie 63 Token, darunter 1,615 Milliarden USDT, in einer einzigen Transaktion. Der Angreifer führte anschließend weitere Sweeps um 20:41, 20:59, 21:04, 21:44, 22:39 und 23:56 UTC durch, als weitere Vermögenswerte in die kompromittierte Wallet eingingen.

Ermittlungen und Schlussfolgerungen

Die delegierte Wallet nutzte auch ihre bestehenden Berechtigungen über ein separates Binance-Smart-Konto, um die Übertragung von weiteren 823 Millionen USDC zu erleichtern. Eine zweite Welle um 23:05 UTC erweiterte die Operation auf zusätzliche Binance-Wallets auf Avalanche und Polygon. Bis 00:30 UTC am 30. Oktober hatte TRM etwa 6,36 Milliarden Dollar an Überweisungen über Ethereum, Bitcoin, Tron, den XRP Ledger, Solana, Arbitrum, Optimism, Base, Avalanche und Polygon zurückverfolgt.

„Die Quelle der notwendigen Autorisierungen, die den Angriff ermöglichten, bleibt ungelöst.“ – Derek Chiang, Ethlabs-Forscher

Derek Chiang erklärte, dass der Angreifer möglicherweise den privaten Schlüssel der Wallet erlangt oder den Eigentümer dazu verleitet hat, eine bösartige Autorisierung zu unterzeichnen. Er betonte zudem, dass der Angreifer eine gültige Autorisierung benötigte, um die EIP-7702-Operation auszuführen.