Mit Binance verbundene Wallets auf dem XRP Ledger transferierten zwischen 20:05 und 20:09 UTC rund 233,46 Millionen XRP im Wert von 296 Millionen Dollar. Damit begann ein Angriff, dessen Spuren TRM Labs über 10 Blockchains verfolgte. Der Angreifer hatte sich mindestens 36 Stunden lang vorbereitet. Bis zum 30. Oktober um 00:30 UTC hatten Ermittler Transfers im Wert von rund 6,36 Milliarden Dollar erfasst.
Warum das wichtig ist
TRM führte die Vorbereitungen auf den 28. Oktober zurück. An diesem Tag erhielt eine vom Angreifer kontrollierte Wallet drei kleine Transfers von Tornado Cash. Am folgenden Tag setzte der Angreifer bösartigen Smart-Contract-Code ein und testete ihn mit neu erstellten Ethereum-Wallets, bevor er einen erfolgreichen Transfer probte. Der eigentliche Angriff begann etwa vier Stunden nach der letzten Probe.
Die meisten Gelder verließen die mit Binance verbundenen Wallets innerhalb von rund 20 Minuten. Der Angriff erstreckte sich auf Ethereum, Bitcoin, Tron, den XRP Ledger, Solana, Arbitrum, Optimism, Base, Avalanche und Polygon. Auf Ethereum ermöglichten 50 zuvor signierte EIP-7702-Autorisierungen einer Binance-Hot-Wallet, die Ausführung an einen bösartigen Vertrag zu delegieren. Dieser schöpfte 167.464 ETH und 63 Token ab. Zu den weiteren Transfers gehörten 18.270 BTC sowie auf Tron 612,7 Millionen USDT und 46,4 Millionen TRX.
Auswirkungen auf den Markt
Die Untersuchung beschreibt eine koordinierte, Blockchain-übergreifende Operation, bei der über Stunden weitere Wallets geleert wurden. TRMs Rekonstruktion klärt nicht, wie der Angreifer an die Autorisierungen kam. Der Forscher Derek Chiang sagte, denkbar seien der Diebstahl des privaten Schlüssels der Wallet oder eine Täuschung des Besitzers, damit dieser eine bösartige Autorisierung signiert. Der Vorfall rückt Autorisierungskontrollen und die Sicherheit von Hot-Wallets bei Börsen und Nutzern gleichermaßen in den Fokus.
Häufig gestellte Fragen
-
Wie hoch waren die ersten XRP-Transfers?
Mit Binance verbundene Wallets transferierten zwischen 20:05 und 20:09 UTC rund 233,46 Millionen XRP im Wert von 296 Millionen Dollar.
-
Wie lange bereitete sich der Angreifer auf die Operation vor?
TRM Labs stellte eine Vorbereitungszeit von mindestens 36 Stunden fest. Dazu gehörten Tests mit bösartigem Smart-Contract-Code auf neu erstellten Ethereum-Wallets.
-
Wie funktionierten die Angriffe auf Ethereum-Wallets?
Der Angreifer nutzte 50 zuvor signierte EIP-7702-Autorisierungen. Damit konnte eine Binance-Hot-Wallet die Ausführung an einen bösartigen Vertrag delegieren, der 167.464 ETH und 63 Token abschöpfte.
-
Über welche Blockchains erstreckten sich die Transfers?
TRM verfolgte Transfers auf Ethereum, Bitcoin, Tron, dem XRP Ledger, Solana, Arbitrum, Optimism, Base, Avalanche und Polygon.
-
Wie kam der Angreifer an die nötigen Autorisierungen?
Das ist noch ungeklärt. Der Forscher Derek Chiang sagte, der Angreifer könnte den privaten Schlüssel der Wallet erlangt oder den Besitzer dazu gebracht haben, eine bösartige Autorisierung zu signieren.
CoinDesk
TheBlock
WatcherGuru
Lookonchain
WuBlockchain