Bitunix-Analysten: Der Diebstahl von mehr als 6,3 Milliarden US-Dollar bei Binance stellt die Sicherheit der Börsenverwahrung erneut auf die Probe

Der Kryptomarkt war zuletzt gleichzeitig mit zwei unterschiedlichen Formen systemischen Stresses konfrontiert: einer erzwungenen Enthebelung und einem schwerwiegenden Sicherheitsvorfall bei einer großen Börse.

Nach den für den 30. Oktober gemeldeten Marktdaten wurden innerhalb von 24 Stunden rund 239.224 Kryptohändler liquidiert. Die Gesamtverluste beliefen sich auf etwa 1,536 Milliarden US-Dollar. Die größte einzelne Liquidation im erfassten Zeitraum betraf eine Binance-BTCUSDT-Position im Wert von rund 11,09 Millionen US-Dollar, wie aus den Liquidationsdaten von CoinGlass hervorgeht.

Ungefähr zur gleichen Zeit warf ein gemeldeter Angriff auf die Multi-Chain-Hot-Wallet-Infrastruktur von Binance eine grundlegendere Frage auf: Können zentralisierte Handelsplattformen Vermögenswerte schützen, wenn Angreifer die Systeme rund um die Wallet-Autorisierung kompromittieren, selbst wenn die eigentlichen privaten Schlüssel nicht direkt offengelegt wurden?

Ein Marktschock, der über die Preisvolatilität hinausgeht

Liquidationen sind ein bekanntes Risiko in gehebelten Kryptomärkten. Wenn sich die Preise stark bewegen, schließen Börsen automatisch Positionen, die nicht mehr ausreichend besichert sind. Dadurch werden Verluste über eine geringere Liquidität und eine höhere Volatilität vom einzelnen Händler auf den Gesamtmarkt übertragen.

Ein groß angelegter Vorfall im Bereich der Verwahrung ist etwas anderes. Er kann auch Nutzer treffen, die nicht mit Hebel handeln, keine Derivatepositionen halten und keinen operativen Fehler gemacht haben. Das Risiko entsteht durch die Fähigkeit der Plattform, Vermögenswerte zu schützen, Auszahlungen zu validieren und kritische Berechtigungen zu isolieren.

Die Kombination dieser beiden Ereignisse ist für das Marktvertrauen besonders schädlich:

• Erzwungene Liquidationen erhöhen kurzfristig den Verkaufsdruck.
• Eine Sicherheitsverletzung kann Abhebungen und Liquiditätsbedenken auslösen.
• Unsicherheit über betroffene Vermögenswerte kann die Spreads vergrößern und Abschläge verursachen.
• Händler könnten zusätzlich zum Marktrisiko auch das Gegenparteirisiko bewerten.

Deshalb haben Sicherheitsvorfälle bei Börsen häufig Folgen, die über die unmittelbar gestohlenen Gelder hinausgehen. Sie können das Nutzerverhalten, die Transparenz der Reserven, die Verfügbarkeit von Auszahlungen und das Vertrauen in die zentralisierte Verwahrung insgesamt beeinflussen.

Was der gemeldete Angriff über die Risiken von Hot Wallets offenbart

Bei dem gemeldeten Vorfall wurden rund 6,36 Milliarden US-Dollar an Vermögenswerten von zehn Blockchains transferiert. Sollte sich das Ausmaß vollständig bestätigen, wäre dies einer der größten Kryptodiebstähle der Geschichte und größer als der zuvor gemeldete Vorfall bei Bybit.

Ermittler haben Berichten zufolge einen hochentwickelten Prozess identifiziert, bei dem die Angreifer schädliche Transaktionslogik im Voraus vorbereiteten. Die Aktivitäten sollen den Autorisierungsmechanismus EIP-7702 von Ethereum sowie Wallet-Signaturprozesse in anderen Netzwerken umfasst haben.

EIP-7702 ist Teil der Weiterentwicklung von Ethereums Account-Abstraction-Konzept und ermöglicht es einem extern besessenen Konto, im Rahmen eines Autorisierungsprozesses vorübergehend Smart-Contract-Funktionen zu übernehmen. Diese Funktion kann die Benutzerfreundlichkeit verbessern und eine flexiblere Ausführung von Transaktionen ermöglichen, macht ein sorgfältiges Berechtigungsmanagement jedoch noch wichtiger. Ein unzureichend geschützter Autorisierungsprozess kann Risiken schaffen, selbst wenn kein herkömmlicher Diebstahl privater Schlüssel nachgewiesen wurde.

Die übergeordnete Erkenntnis lautet, dass sich die Sicherheit einer Wallet nicht auf die Frage beschränkt, ob ein privater Schlüssel kopiert wurde. Eine Hot Wallet kann weiterhin gefährdet sein, wenn ein Angreifer Zugriff auf folgende Bereiche erhält:

1. Das Mitarbeitergerät, das zur Verwaltung von Produktionssystemen verwendet wird.
2. Service-Container, die für die Verarbeitung von Auszahlungen zuständig sind.
3. Die Infrastruktur zur Erstellung oder Signierung von Transaktionen.
4. Zugriffstoken, Zugangsdaten oder Sitzungsberechtigungen.
5. Automatisierte Genehmigungsregeln und Policy-Engines.
6. Workflows zur Verwaltung von Vermögenswerten über mehrere Blockchains hinweg.

Mit anderen Worten: Die Sicherheitsgrenze umfasst die gesamte Transaktionspipeline und nicht nur das Gerät, auf dem letztlich signiert wird.

Vorläufige Erkenntnisse deuten auf eine größere Angriffsfläche hin

Die vorläufige Untersuchung von Binance deutete Berichten zufolge darauf hin, dass der Laptop eines DevOps-Ingenieurs kompromittiert worden sein könnte. Der Angreifer soll sich anschließend über Service-Container weiterbewegt und nicht autorisierte Auszahlungen veranlasst haben.

Die Börse erklärte, sie habe keine Hinweise darauf gefunden, dass private Wallet-Schlüssel direkt offengelegt wurden. Diese Unterscheidung ist technisch relevant, beseitigt jedoch nicht die Schwere des Vorfalls. Wenn ein Angreifer ausreichende Kontrolle über die Infrastruktur erlangt, die Transaktionen vorbereitet, autorisiert oder übermittelt, können Vermögenswerte möglicherweise bewegt werden, ohne dass ein Rohformat des privaten Schlüssels aus dem Speicher extrahiert werden muss.

Dies ist ein klassisches Beispiel für eine Ausweitung von Berechtigungen über miteinander verbundene Systeme hinweg:

• Die Kompromittierung eines Endgeräts ermöglicht den ersten Zugriff.
• Interne Dienste legen zusätzliche Zugangsdaten oder Berechtigungen offen.
• Eine Container- oder Orchestrierungsebene wird zur Brücke in die Produktionsumgebung.
• Automatisierte Signatur- oder Genehmigungslogik führt schädliche Anweisungen aus.
• Gelder werden über mehrere Blockchains verteilt, um ihre Wiederbeschaffung zu erschweren.

Moderne Börsen benötigen daher mehrschichtige Kontrollen, die davon ausgehen, dass einzelne Komponenten ausfallen können. Zu den stärkeren Schutzmaßnahmen gehören unter anderem hardwaregestützte Authentifizierung, eine strikte Trennung von Entwicklungs- und Produktionsumgebungen, kurzlebige Zugangsdaten, eine Simulation von Transaktionen, Allowlisting von Zieladressen, unabhängige Genehmigungen für Auszahlungen sowie die Erkennung von Anomalien in Echtzeit.

Bei der Zuordnung ist Vorsicht geboten

Blockchain-Ermittler haben die Aktivitäten Berichten zufolge mit hoher Wahrscheinlichkeit der Gruppe TraderTraitor zugeordnet, die von Sicherheitsforschern häufig mit nordkoreanischen Cyberoperationen in Verbindung gebracht wird. Eine Zuordnung durch ein privates Sicherheitsunternehmen ist jedoch nicht gleichbedeutend mit einer abschließenden gerichtlichen oder staatlichen Feststellung.

Diese Unterscheidung ist wichtig, denn zwar lassen sich Blockchain-Transaktionen zurückverfolgen, doch die Identifizierung der dahinterstehenden realen Betreiber bleibt komplex. Angreifer können Zwischen-Wallets, Cross-Chain-Bridges, Mixer, außerbörsliche Broker und dezentrale Protokolle nutzen, um die Bewegungen der Gelder zu verschleiern.

Für Anleger stellt sich praktisch nicht nur die Frage, wer den Angriff durchgeführt hat. Entscheidend ist auch, ob die Börse in der Lage ist,

• nicht autorisierte Transfers schnell zu stoppen,
• Gelder bei kooperierenden Plattformen einzufrieren,
• betroffene Adressen über mehrere Netzwerke hinweg zu identifizieren,
• den Angriffsweg mit ausreichenden technischen Details zu erklären,
• nachzuweisen, dass die verbleibenden Systeme sicher betrieben werden können,
• überprüfbare Informationen zu Reserven und Verbindlichkeiten zu veröffentlichen.

Eingefrorene Gelder sind nicht automatisch wiederhergestellte Gelder

Binance erklärte Berichten zufolge, dass Vermögenswerte im Wert von rund 3 Milliarden US-Dollar eingefroren worden seien und die Verluste durch den SAFU-Fonds sowie Unternehmensmittel gedeckt würden. Gleichzeitig schätzte die On-Chain-Überwachung Berichten zufolge, dass etwa 3,1 Milliarden US-Dollar weiterhin frei beweglich waren, darunter erhebliche Mengen an Bitcoin und Ether.

Diese Zahlen sollten als dynamisch und nicht als endgültig betrachtet werden. Die Einstufung von Vermögenswerten kann sich ändern, wenn Gelder bewegt, eingefroren, über Bridges transferiert, bei Börsen eingezahlt oder auf neue Adressen verteilt werden. Entscheidend ist auch der Unterschied zwischen „identifiziert“, „eingefroren“ und „wiederhergestellt“:

• Identifizierte Gelder wurden mit Adressen in Verbindung gebracht, die dem Vorfall zugeordnet werden.
• Eingefrorene Gelder unterliegen Beschränkungen, die von einer Börse, einem Emittenten oder einem Dienstleister verhängt wurden.
• Wiederhergestellte Gelder wurden zurückgegeben oder im Rahmen eines formellen Wiederherstellungsprozesses gesichert.

Solange kein vollständiger technischer Bericht und keine klare Abrechnung der betroffenen Vermögenswerte veröffentlicht wurden, sollte der Markt keine vorläufige Zahl als abschließend betrachten. Leser können öffentliche Wallet-Aktivitäten über Tools wie Etherscan und Arkham verfolgen. Dabei sollte jedoch berücksichtigt werden, dass Adresskennzeichnungen und Zuordnungsdaten im Laufe der Zeit aktualisiert werden können.

Das größte Risiko liegt in der Konzentration von Berechtigungen

Die wichtigste Erkenntnis ist nicht, dass Hot Wallets grundsätzlich unsicher wären. Für Börsen, die große Mengen an Ein- und Auszahlungen verarbeiten, sind Hot Wallets notwendig. Das tiefere Problem ist die übermäßige Konzentration von Befugnissen.

Wenn ein einziges kompromittiertes Gerät, ein Servicekonto oder ein operativer Workflow eine Transaktion ohne ausreichende unabhängige Prüfung initiieren kann, hat die Plattform einen einzelnen Ausfallpunkt geschaffen. Das gilt auch dann, wenn private Schlüssel durch Multi-Party Computation, Hardware-Sicherheitsmodule oder andere fortschrittliche Technologien geschützt werden.

Ein widerstandsfähiges Verwahrungsdesign sollte davon ausgehen, dass

• ein Mitarbeitergerät kompromittiert werden kann,
• ein Cloud-Konto falsch konfiguriert sein kann,
• ein Service-Container manipuliert werden kann,
• eine Signaturanfrage schädlich sein kann,
• ein Transaktionsziel verschleiert werden kann,
• ein Angreifer lange genug unentdeckt bleiben kann, um einen koordinierten Transfer vorzubereiten.

Sicherheitskontrollen müssen daher nicht nur prüfen, wer eine Transaktion signiert, sondern auch, was signiert wird, wohin die Gelder fließen, warum der Transfer legitim ist und ob die Transaktion dem normalen operativen Verhalten entspricht.

Worauf Kryptonutzer als Nächstes achten sollten

Der Markt wird sich im weiteren Verlauf der Untersuchung wahrscheinlich auf mehrere Indikatoren konzentrieren:

1. Status der Auszahlungsdienste — Ob die betroffenen Netzwerke den normalen Betrieb wieder aufnehmen und ob Beschränkungen weiterhin bestehen.
2. Bewegungen der verbleibenden Vermögenswerte — Ob verdächtige Adressen weiterhin Bitcoin, Ether oder andere Token transferieren.
3. Veränderungen bei eingefrorenen Guthaben — Ob die gemeldeten Einfrierungen zu einer tatsächlichen Wiederherstellung oder nur zu vorübergehenden Beschränkungen führen.
4. Ein vollständiger technischer Untersuchungsbericht — Einzelheiten zum kompromittierten Endgerät, zum Containerzugriff, zum Autorisierungsprozess und zum zeitlichen Ablauf der Entdeckung.
5. Aktualisierte Nachweise zu Reserven und Verbindlichkeiten — Belege, anhand derer Nutzer beurteilen können, ob die Plattform weiterhin zahlungsfähig und operativ solide ist.
6. Unabhängige Sicherheitsvalidierung — Eine Bestätigung, dass kritische Berechtigungen geändert, isoliert und erneut geprüft wurden.

Nutzer sollten außerdem überdenken, wie viel Kapital sie tatsächlich auf einer Handelsplattform halten müssen. Börsen sind für Liquidität und die Ausführung von Transaktionen nützlich, bleiben jedoch Verwahrer der Nutzervermögen. Langfristige Bestände lassen sich möglicherweise besser selbst verwahren, sofern der Nutzer die Sicherung der Seed-Phrase, die Überprüfung von Transaktionen und die Wiederherstellungsprozesse versteht.

Warum die Selbstverwahrung weiterhin Disziplin erfordert

Die Selbstverwahrung beseitigt das Gegenparteirisiko einer Börse, nicht jedoch das Sicherheitsrisiko. Die Verantwortung verlagert sich von der Infrastrukturabteilung einer Plattform auf den einzelnen Besitzer der Vermögenswerte.

Eine Hardware-Wallet kann dabei helfen, private Schlüssel von Geräten mit Internetverbindung getrennt zu halten und die Anfälligkeit für Malware, Phishing und unbefugten Browserzugriff zu verringern. Dennoch müssen Nutzer weiterhin ihre Wiederherstellungsphrase schützen, Transaktionsdetails direkt auf dem Gerät überprüfen, keine unbekannten Vertragsfreigaben signieren und eine sichere Backup-Strategie aufrechterhalten.

Für Nutzer, die ihre Verwahrung nach diesem Vorfall neu bewerten, sind OneKey-Hardware-Wallets relevant, da sie auf die Offline-Speicherung von Schlüsseln und die Überprüfung von Transaktionen direkt auf dem Gerät ausgelegt sind. Sie können eine praktische zusätzliche Sicherheitsebene darstellen, um langfristige Bestände von Börsenkonten zu trennen — insbesondere, wenn Nutzer grundlegende Sicherheitsregeln befolgen:

• Die Wiederherstellungsphrase offline aufbewahren und niemals in einem Cloud-Speicher hinterlegen.
• Die Wiederherstellungsphrase niemals auf Websites, in Nachrichten oder in Support-Formulare eingeben.
• Empfängeradressen und Token-Freigaben vor dem Signieren überprüfen.
• Separate Wallets für langfristige Ersparnisse und risikoreichere DeFi-Aktivitäten verwenden.
• Den Wiederherstellungsprozess zunächst mit einem kleinen Betrag testen, bevor man sich darauf verlässt.

Der Binance-Vorfall führt vor Augen, dass Blockchain-Sicherheit ein durchgängiges Problem ist. Der Schutz von Vermögenswerten erfordert mehr als die Sicherung eines privaten Schlüssels: Kontrolliert werden müssen jedes Gerät, jede Berechtigung, jeder Dienst und jede Signaturentscheidung, durch die Gelder bewegt werden können.

Da sich gehebelte Liquidationen und Verwahrungsfehler zunehmend überschneiden, müssen Kryptonutzer sowohl ihr Marktrisiko als auch ihr Gegenparteirisiko bewerten. Transparente Untersuchungen, eine stärkere Isolierung von Berechtigungen und eine verantwortungsvolle Selbstverwahrung werden entscheidend sein, um das Vertrauen in das Ökosystem digitaler Vermögenswerte wiederherzustellen.