Binance hat versprochen, jeden Kundenschaden zu decken, nachdem eine Sicherheitsverletzung nach eigenen Schätzungen 6,3 Milliarden US-Dollar betroffen hat. Seine Wiederherstellungsbemühungen umfassen nun mehrere verschiedene Verfahren, von Stablecoin-Einfrierungen bis zur Rückverfolgung von Vermögenswerten, die kein Token-Emittent blockieren kann.
Zusammenfassung
- Binance schätzt, dass die Sicherheitsverletzung vom 29. Oktober etwa 6,3 Milliarden US-Dollar betroffen hat.
- Die Börse gibt an, dass Partner etwa 3 Milliarden US-Dollar an betroffenen Vermögenswerten eingefroren haben.
- TRM Labs verfolgte Transfers über 10 Blockchains und beziffert die ursprünglichen Abflüsse auf 6,36 Milliarden US-Dollar.
- Blockaid identifizierte 50 Ethereum-Autorisierungen in einer Transaktion, die auf Binance 14 abzielte.
- Binance hat zugesagt, Verluste über 2 Quellen zu decken, seinen SAFU-Fonds und Unternehmensmittel.
Binance hat geschätzt, dass 6,3 Milliarden US-Dollar an Kryptowährung von seiner Sicherheitsverletzung vom 29. Oktober betroffen waren, und zugesagt, alle Verluste zu decken, während Partner etwa 3 Milliarden US-Dollar eingefroren haben.
Das Sicherheitsupdate von Binance besagt, dass seine vorläufige Untersuchung auf den Laptop eines kompromittierten DevOps-Ingenieurs hindeutet, der möglicherweise Zugang zu einem internen Dienstcontainer und die Einreichung unbefugter Auszahlungen ermöglicht hat.
Die Börse gibt an, keine Hinweise darauf gefunden zu haben, dass Wallet-Privatschlüssel geleakt sind. Sie hat die Autorisierung der betroffenen Adresse widerrufen, die Strafverfolgungsbehörden eingeschaltet und einen technischen Bericht versprochen, nachdem die Ermittler abgeschlossen haben, festzustellen, was passiert ist.
Blockchain-Ermittler haben separate Darstellungen der Transfers veröffentlicht. Ihre Zahlen beschreiben verschiedene Phasen des Vorfalls und verwenden unterschiedliche Umfänge, wobei einige den Wert zum Zeitpunkt des Abflusses der Vermögenswerte von Binance zählen und andere Vermögenswerte beschreiben, die anschließend eingefroren wurden.
Die Einfrierungssumme von 3 Milliarden US-Dollar steht daher neben der Schätzung von 6,3 Milliarden US-Dollar. Binance hat die 3 Milliarden US-Dollar nicht als bereits an Kunden zurückgezahltes Geld bezeichnet und auch keine abschließende Abrechnung seines eigenen finanziellen Verlusts nach Rückgewinnungen veröffentlicht.
Der Binance-Hack erreichte mehrere Netzwerke innerhalb von Minuten
Laut TRM Labs begann der Hauptschub der Transfers am 29. Oktober um etwa 20:05 UTC und bewegte den Großteil der gestohlenen Gelder innerhalb von etwa 20 Minuten. Seine Untersuchung umfasst 10 Netzwerke, wobei eine weitere Welle Avalanche und Polygon später am Abend erreichte.
TRMs Schätzung bewertet die Vermögenswerte zum Zeitpunkt jedes Transfers. Binances Zahl von 6,3 Milliarden US-Dollar ist die Schätzung des Unternehmens für die Auswirkungen des Vorfalls, sodass die Differenz zwischen den beiden Summen für sich genommen nicht belegt, dass die Ermittler einen weiteren Diebstahl gefunden haben.
Das Unternehmen schreibt den Angriff der nordkoreanischen Gruppe TraderTraitor zu und stützt sich dabei auf On-Chain- und Off-Chain-Erkenntnisse. Binance hat die Identität des Angreifers nicht bestätigt, und die Zuschreibung bleibt die Einschätzung der Ermittler.
Wie crypto.news zuvor berichtete, verbanden die erste Zuschreibung und Rückverfolgung den Vorfall mit einer Hacking-Einheit, die das FBI bereits im Bybit-Diebstahl vom Februar 2025 identifiziert hatte. Eine technische Zuschreibung und eine strafrechtliche Feststellung sind getrennte Phasen, selbst wenn Ermittler hohe Zuversicht äußern.
Die Transfers betrafen Vermögenswerte mit sehr unterschiedlichen Wiederherstellungsoptionen. Dollar-Token können über Emittentenkontrollen verfügen, während natives Bitcoin und Ethereum einem Stablecoin-Unternehmen keine vergleichbare Befugnis geben, das Guthaben eines Inhabers auf eine schwarze Liste zu setzen.
Eine Adresse, die im Rückverfolgungsprotokoll erscheint, kann folglich eine nützliche Spur sein, ohne ein wiederherstellbares Guthaben zu sein. Ermittler können öffentlichen Transfers folgen, nachdem ein Angreifer Wallets wechselt, aber die Fähigkeit, eine Bewegung zu beobachten, verleiht niemandem automatisch die Befugnis, sie rückgängig zu machen.
Eine Ethereum-Autorisierung veränderte, was eine Hot Wallet tun konnte
Blockaids technische Untersuchung beschreibt einen Angriff auf Binance 14, eine stark genutzte Ethereum-Hot-Wallet. Eine Transaktion enthielt 50 EIP-7702-Autorisierungen, von denen eine mit dem Transaktionszähler des Kontos übereinstimmte und eine Delegation an bösartigen Code aktivierte.
Die Forscher sagen, dass der Angreifer anschließend die delegierte Wallet nutzte, um einen großen Bestand an Vermögenswerten zu übertragen, und ein weiteres Smart Account erreichte, das von dieser Wallet kontrolliert wurde. Die bösartige Delegation konnte für spätere Einzahlungen weiterhin nützlich bleiben, bis sie entfernt wurde.
Der Wallet-Autorisierungsmechanismus wurde bereits in der technischen Berichterstattung der Publikation untersucht. Seine Rolle in diesem Vorfall bestand darin, Code im Kontext einer bestehenden Wallet operieren zu lassen, nachdem die erforderliche Autorisierung akzeptiert worden war.
Ethereums EIP-7702-Spezifikation beschreibt eine dauerhafte Delegation, nicht eine Berechtigung, die nach einer einzelnen Transaktion notwendigerweise verschwindet. Sie warnt, dass delegierter Code uneingeschränkten Zugriff auf das Konto hat und von Wallet-Anbietern genau geprüft werden muss.
Diese Unterscheidung erklärt, warum das Entfernen der betroffenen Autorisierung neben der Einstellung von Auszahlungen Teil der Reaktion sein muss. Eine Pause in der Kundenoberfläche einer Börse und das Entfernen einer On-Chain-Delegationsadresse betreffen unterschiedliche Teile desselben Vorfalls.
Blockaid beschreibt andere Übertragungen als gewöhnliche signierte Transaktionen von Wallets in mehreren Netzwerken. Seine Ergebnisse belegen nicht, dass jeder Dollar über die Ethereum-Delegation abgeflossen ist, und ein einzelnes Ethereum-Merkmal kann Bitcoin- oder Tron-Übertragungen nicht für sich allein erklären.
Binances vorläufige Erklärung und der technische Bericht der Ermittler behandeln unterschiedliche Fragen. Die Börse beschreibt einen möglichen Weg in ihre Systeme, während die Forscher beschreiben, was autorisierte Transaktionen on-chain bewirkten.
Die vollständige Untersuchung muss diese Phasen noch miteinander verbinden. Binances Aussage, dass kein Leck privater Schlüssel gefunden wurde, bedeutet nicht, dass jede von seiner Signaturinfrastruktur genehmigte Transaktion vom Unternehmen beabsichtigt war.
Eingefrorene Gelder und zurückgegebene Gelder gehören in getrennte Summen
Binance gibt an, dass durch Zusammenarbeit mit Branchenpartnern etwa 3 Milliarden US-Dollar eingefroren wurden. Ein Einfrieren beschränkt die Bewegung der betroffenen Vermögenswerte, während eine Wiederherstellung einen weiteren Schritt erfordert, der den Wert an den rechtmäßigen Eigentümer oder an eine vereinbarte Wiederherstellungsadresse zurückführt.
Unter Verwendung der gerundeten Zahlen der Börse ergibt 3 Milliarden US-Dollar geteilt durch 6,3 Milliarden US-Dollar ungefähr 47,6 %. Die verbleibende Differenz beträgt 3,3 Milliarden US-Dollar oder 52,4 % der ursprünglichen Schätzung.
Diese Berechnungen beschreiben die Beziehung zwischen den beiden von Binance angekündigten Zahlen. Sie belegen nicht, dass 3,3 Milliarden US-Dollar unwiederbringlich verschwunden sind oder dass der gesamte eingefrorene Saldo sofort zur Rückerstattung an Kunden verwendet werden kann.
Der Nenner kann sich ändern, wenn Ermittler Übertragungen identifizieren, Doppelzählungen entfernen oder Preise aktualisieren. Der Zähler kann sich ändern, wenn Emittenten weitere Token ausfindig machen oder Behörden eine Wiederherstellungstransaktion genehmigen.
TRMs früher Bericht bezifferte eingefrorene oder gesicherte Vermögenswerte auf etwa 2,7 Milliarden US-Dollar, unter Binances späterer Schätzung. Seine Zahlen waren eine datierte Tracing-Momentaufnahme, und die spätere Gesamtsumme des Unternehmens sollte nicht so zu ihr addiert werden, als ob sie separate Bestände beschreiben.
Dieselbe Vorsicht gilt für Ankündigungen von Emittenten. Ein Tether-Einfrieren und ein Circle-Einfrieren können Bestandteile von Binances Gesamtsumme sein, sodass das Addieren beider zur Gesamtsumme der Börse einige Vermögenswerte doppelt zählen würde.
Stablecoins, die vor einem Eingreifen eines Emittenten getauscht wurden, führen zu einer weiteren Komplikation. Der Emittent eines Dollar-Tokens kann möglicherweise diesen Token blockieren, aber seine Kontrollen folgen dem Halter nicht automatisch in einen anderen nativen Vermögenswert.
Die Wiederherstellungsbuchhaltung benötigt daher sowohl die Token-Guthaben als auch deren Status. Identifizierte Vermögenswerte, immobilisierte Vermögenswerte, in die Wiederherstellungsverwahrung übertragene Vermögenswerte und zur Wiederherstellung von Kundenguthaben verwendete Vermögenswerte sind vier verschiedene Beschreibungen.
Binance hat Unternehmensmittel neben SAFU genannt
Binances Verpflichtung besteht darin, Verluste aus seinem Secure Asset Fund for Users und aus Unternehmensressourcen zu decken. Es wurde nicht gesagt, dass SAFU allein den gesamten Vorfall absorbieren wird.
Die frühere Umwandlung der Bitcoin-Reserven des Fonds wurde im Februar abgeschlossen, als Binance 15.000 BTC im damaligen Wert von etwa 1,005 Milliarden US-Dollar meldete. Die Ankündigung der Umwandlung beschrieb einen historischen Saldo und eine historische Bewertung, nicht eine neue Oktober-Erklärung über verfügbare Versicherungsressourcen.
Selbst ein hypothetischer Fonds von 1 Milliarde US-Dollar würde nur 15,9 % eines Bruttovorfalls von 6,3 Milliarden US-Dollar abdecken. Die Subtraktion von 1 Milliarde US-Dollar von 6,3 Milliarden US-Dollar ergibt 5,3 Milliarden US-Dollar, aber diese Arithmetik ist keine Schätzung der tatsächlichen Finanzierungslücke von Binance, da Rückflüsse und der aktuelle Fondsbestand separate Eingangsgrößen bleiben.
Die Entscheidung der Börse, Unternehmensmittel einzubeziehen, ist folglich Teil des Versprechens selbst. Den Kunden wurde mitgeteilt, dass Binance den Verlust tragen wird, anstatt ihnen zu sagen, sie sollten warten, bis die Ermittler jeden gestohlenen Token zurückgeholt haben.
Die Zusage benennt nicht die genaue Mischung aus Bargeld, Kryptowährung oder anderen Unternehmensressourcen, die verwendet werden soll. Sie legt nicht den Zeitpunkt etwaiger von Emittenten kontrollierter Rückflüsse oder die buchhalterische Behandlung der eingefrorenen Salden fest.
Die Kundenerstattung und der letztendliche Nettoverlust des Unternehmens können nach unterschiedlichen Zeitplänen verlaufen. Binance kann einen fehlenden Kundenvermögenswert aus eigenen Ressourcen ersetzen, bevor der ursprüngliche Vermögenswert zurückgewonnen wird, sodass das Unternehmen die Rückgewinnung anschließend weiterverfolgt.
Wenn ein Emittent später einen Vermögenswert zurückgibt, der bereits ersetzt wurde, würde dieser Rückfluss die eigene finanzielle Exposition von Binance betreffen. Er sollte nicht als zweite Erstattung desselben Kundenverlusts gezählt werden.
Eine Reserveaktualisierung wird eine datierte Sicht auf die Deckung liefern
Binance hat nach der Behebung einen aktualisierten Proof of Reserves versprochen. Sein Reserve-Snapshot vom August meldete Reservequoten von 100,25 % für Bitcoin und Ethereum, mit einer höheren Quote für USDT.
Eine Quote vom August kann die Deckung der Börse nach einem Vorfall im Oktober nicht belegen. Die Kundenguthaben, Reservebestände und betroffenen Vermögenswerte müssen zum Zeitpunkt des neuen Snapshots gemessen werden.
Die Untersuchung der Publikation zu Praktiken der Reserveberichterstattung von Börsen erklärt, dass diese Systeme abgedeckte Vermögenswerte mit abgedeckten Kundenguthaben vergleichen. Sie umfassen nicht automatisch jede Unternehmensverbindlichkeit und belegen nicht, dass Kontrollen zwischen den Snapshots kontinuierlich funktionieren.
Eine Quote über 100 % bedeutet, dass die in diese Berechnung einbezogenen Vermögenswerte die entsprechenden einbezogenen Kundenguthaben übersteigen. Sie misst nicht die Qualität eines Auszahlungssystems und zeigt nicht, wie ein Angreifer eine gültige Autorisierung erlangt hat.
Die von Binance versprochene Reserveaktualisierung und die technische Post-Mortem-Analyse dienen daher unterschiedlichen Zwecken. Erstere kann die Deckung zu einem angegebenen Zeitpunkt dokumentieren, während letztere die Kompromittierung und die ergriffenen Schritte zur Schließung des vom Angreifer genutzten Weges erklären soll.
Derselbe Vermögenswert sollte nicht sowohl als frei verfügbare Auszahlungsliquidität als auch als immobilisiertes Wiederherstellungsvermögen dargestellt werden, ohne seinen Status zu erklären. Eingefrorene Token können einen quotierten Dollarwert behalten, während sie für gewöhnliche Kundenauszahlungen nicht verfügbar bleiben.
Das Erstattungsversprechen lässt den Wiederherstellungszeitplan offen
Binances stärkste erklärte Reaktion ist seine Zusage, alle Verluste zu decken, gestützt sowohl durch SAFU als auch durch Unternehmensmittel. Die gemeldeten Einfrierungen verschaffen den Wiederherstellungsbemühungen einen identifizierten Bestand an Vermögenswerten, die Angreifer unter den geltenden Kontrollen nicht frei bewegen können.
Keine der beiden Zusagen liefert eine endgültige Verlustzahl. Binance hat noch keine vollständige Abstimmung zwischen gestohlenen Vermögenswerten, eingefrorenen Guthaben, zurückgegebenen Vermögenswerten und den zur Ersetzung von Kundengeldern eingesetzten Unternehmensressourcen veröffentlicht.
Auch die öffentliche Aufzeichnung enthält einen sich ändernden Betriebsstatus. Die ursprüngliche Sicherheitsmitteilung beschrieb eine Aussetzung von Einzahlungen und Auszahlungen, während spätere Berichte Einzahlungen als betriebsbereit und Auszahlungen als Gegenstand weiterer Sicherheitsarbeiten beschrieben.
Die Mitteilungen gehören zu ihren jeweiligen Veröffentlichungszeitpunkten. Die Fähigkeit eines Kunden, abzuheben, hängt von der aktuellen Dienstmitteilung für das betreffende Netzwerk ab, nicht davon, ob ein anderes Netzwerk den Betrieb wieder aufgenommen hat.
Eine Wiederaufnahmeschätzung ist ein Unternehmensziel, bis der Dienst tatsächlich wiederhergestellt ist. Sie ist keine Frist, die jeden Kunden zum Handeln verpflichtet, und Binances geprüfte Sicherheitserklärung legt kein universelles Auszahlungsfenster für Kunden fest.
Der technische Bericht wird den vorläufigen Einstiegspunkt behandeln
Die Bezugnahme der Börse auf einen kompromittierten Laptop bleibt vorläufig. Ihre Erklärung identifiziert einen möglichen Pfad von einem Gerät eines Ingenieurs zu einem internen Container, veröffentlicht jedoch keine abgeschlossene Erklärung darüber, wie der Angreifer jede Autorisierung über die betroffenen Netzwerke hinweg erlangte.
Blockaids Analyse liefert Belege zur Ethereum-Ausführung, während TRMs Untersuchung Überweisungen und Zuordnungen über eine größere Anzahl von Netzwerken abdeckt. Ihre Arbeit ersetzt nicht Binances versprochene Darstellung der internen Zugriffskontrollen.
Binance.US, die separate amerikanische Tochtergesellschaft der Börse, erklärte, dass ihre Abläufe von dem Vorfall nicht betroffen waren.
Worauf zu achten ist
Zurückgegebene Vermögenswerte: Eine bestätigte Übertragung in die Wiederherstellungsverwahrung würde einen anderen Status als eine Einfrierung durch den Emittenten begründen.
Auszahlungsmitteilungen: Netzwerkspezifische Dienstaktualisierungen werden feststellen, welche Auszahlungen tatsächlich wieder aufgenommen wurden.
Reserve-Momentaufnahme: Das Datum, die abgedeckten Vermögenswerte und die Behandlung eingefrorener Guthaben werden definieren, was der neue Bericht feststellt.
Technische Post-Mortem-Analyse: Die abschließende Darstellung sollte internen Zugriff, Signaturautorisierung und die On-Chain-Übertragungen miteinander verbinden.
Verlustabstimmung: Binances offengelegter Beitrag und die wiedererlangten Vermögenswerte werden sein letztendliches finanzielles Engagement bestimmen.
FAQ
Wie hoch ist laut Binance der betroffene Betrag?
Binance schätzt den Betrag auf etwa 6,3 Milliarden US-Dollar. TRMs separate Nachverfolgung bewertete die ursprünglichen Transfers mit etwa 6,36 Milliarden US-Dollar, basierend auf den Preisen zum Zeitpunkt ihres Abgangs.
Wie viel wurde eingefroren?
Binance gibt an, es seien rund 3 Milliarden US-Dollar. Anhand der gerundeten Zahlen der Börse entspricht dies etwa 47,6 % des geschätzten Ausmaßes.
Bedeutet eingefroren auch wiedererlangt?
Nein. Die Zahl von 3 Milliarden US-Dollar beschreibt Vermögenswerte, deren Bewegung eingeschränkt wurde, während eine tatsächliche Rückgabe oder Wiedererlangung einen weiteren Schritt erfordert.
Werden die Kunden den Verlust tragen?
Binance hat zugesagt, alle Verluste aus SAFU und Unternehmensmitteln zu decken. In seiner Erklärung werden 2 Finanzierungsquellen genannt, ohne deren endgültige Beiträge zu veröffentlichen.
Hat der Angreifer einen privaten Schlüssel gestohlen?
Binance gibt an, keine Hinweise auf ein Leck eines Wallet-Privatschlüssels gefunden zu haben. Blockaid identifizierte 50 EIP-7702-Autorisierungen bei dem Ethereum-Angriff, doch die vollständige interne Kompromittierung wird noch untersucht.
Wurden alle Transfers über EIP-7702 durchgeführt?
Nein. Blockaid beschrieb weitere gewöhnliche signierte Transfers, und TRM verfolgte Abflüsse über 10 Netzwerke, darunter Bitcoin und Tron.
Kann der SAFU-Saldo vom Februar als aktuell betrachtet werden?
Nein. Der gemeldete Saldo von 15.000 BTC und seine Bewertung vom Februar gehören zu jener früheren Ankündigung, nicht zu einer neuen Abgleichung im Oktober.
Was hat Binance als Nächstes zu veröffentlichen versprochen?
Binance hat einen aktualisierten Reservebericht und eine technische Post-Mortem-Analyse versprochen, 2 Offenlegungen, die sich jeweils mit der Deckung und der Kompromittierung befassen. Dies ist eine edukative Analyse, keine Anlageberatung.
