Binance mistede 6,3 milliarder dollar til hackere, det meste på 20 minutter

Binance, verdens største kryptovalutabørs, mistede omkring 6,3 milliarder dollar til hackere, der tømte børsens onlinepunge på ti blockchains – størstedelen på omtrent 20 minutter. Det gør tyveriet til det største kryptotyveri nogensinde, omkring fire gange større end den hidtidige rekord på 1,5 milliarder dollar, som blev stjålet fra konkurrenten Bybit. Binance har sat hævninger på pause, mens selskabet undersøger, hvordan angriberne kom ind. Indtil videre kan kunder, der har kryptovaluta på platformen, derfor ikke flytte den væk.

Børsen siger, at kunderne ikke kommer til at hæfte for tabet. »Binance dækker alle tab fra SAFU-fonden og selskabets egne midler. Brugernes midler er sikre,« lød det i en udtalelse med henvisning til Secure Asset Fund for Users, en nødreserve oprettet til netop den slags hændelser. Indbetalinger fungerer som normalt. Problemet er adgangen: Indtil hævningerne åbner igen, kan man se sin saldo på Binance, men ikke flytte den andre steder hen. Det er netop den risiko, man løber, når man opbevarer kryptovaluta på en børs i stedet for i en pung, man selv kontrollerer.

Binances første forklaring pegede på én enkelt computer. Den indledende undersøgelse tydede på, at en angriber via en DevOps-ingeniørs kompromitterede bærbare computer fik adgang til en servicecontainer og kunne indsende uautoriserede hævningstransaktioner. Få timer senere udvidede selskabet forklaringen og sagde, at det havde »afdækket yderligere brudpunkter« og beskrev hændelsen som et komplekst angreb. Co-administrerende direktør Richard Teng skrev, at »angriberen ikke blot benyttede én ingeniørs adgangsrettigheder, og der var ikke tale om en enkelt handling med ét klik«. Binance siger, at selskabet ikke har fundet tegn på, at en privat nøgle til en pung er blevet lækket.

Eksterne efterforskere beskriver et tyveri, der var øvet på forhånd. Blockchain-analysefirmaet TRM Labs sporede omkring 6,36 milliarder dollar, der forlod Binance-punge på Ethereum, Bitcoin, Tron, XRP Ledger, Solana og fem andre netværk. Firmaet fandt også testkørsler af angrebskoden på andre punge flere timer før tyveriet. Da punge med forskellige nøgletyper og signeringsmetoder alle leverede gyldige signaturer til angriberen inden for cirka en halv time, konkluderer TRM, at angriberen sandsynligvis fik mulighed for at få Binances eget signeringssystem til at godkende de transaktioner, vedkommende selv valgte.

TRM tilskriver med stor sikkerhed angrebet TraderTraitor, en nordkoreansk statslig hackergruppe, som FBI beskyldte for tyveriet fra Bybit. Chainalysis nåede frem til samme konklusion. Binance har ikke selv udpeget en gerningsmand.

Kapløbet om at indefryse pengene begyndte få minutter efter angrebet. De selskaber, der udsteder stablecoins, kan låse dem, og det gjorde de: Tether indefrøs omkring 1,77 milliarder USDT, Circle omkring 825 millioner USDC og Ripple 40,5 millioner RLUSD. Samtidig tvang Arbitrum Security Council omkring 30 millioner dollar ud af angriberens pung på netværket, ifølge TRM. Binance opgør det samlede indefrosne beløb til omkring 3 milliarder dollar. Bitcoin og Ether har ingen udsteder, der kan indefryse dem. Derfor skyndte angriberen sig at veksle stablecoins til Ether og solgte nogle af dem med en rabat på over 10 procent for at få dem uden for rækkevidde.

Her begynder forsikringerne at klinge hult. TRM vurderer, at angriberen stadig kontrollerer mere end 420.000 ETH og 18.270 BTC – omkring 2,4 milliarder dollar, som ingen kan indefryse – og forventer, at de næste skridt vil gå gennem broer mellem blockchains, vekslingstjenester og OTC-mæglere. Binance har ikke oplyst, hvor stor en del af nødreserven tabet vil lægge beslag på, og selskabet har heller ikke offentliggjort den grundlæggende årsag til hændelsen. Indtil videre bygger løftet om, at brugernes midler er sikre, på selskabets egne ord, og »yderligere brudpunkter« er ikke det samme som et brud, der er blevet inddæmmet.

Børser er oplagte mål, fordi de opbevarer kundernes kryptovaluta i hot wallets, der er forbundet til internettet, så hævninger hurtigt kan gennemføres. Bitget mistede 387,5 millioner dollar i et angreb, som børsen også beskyldte Nordkorea for, i sidste måned. Også det bredere marked blev ramt: Bitcoin og Ether faldt efter nyheden og lå omkring 2 til 3 procent lavere ved middagstid i Hongkong, ifølge CNN.

Pauserne giver også svindlere mulighed for at slå til. Binance har bedt kunderne om at »være på vagt over for svindel« og »ikke stole på uofficielle links, beskeder eller anmodninger om kontooplysninger«. Børsen har ikke annonceret nogen tilbagebetalings- eller gendannelsesproces, der beder om adgangskoder, bekræftelseskoder eller oplysninger om en pung. En besked, der tilbyder at fremskynde en hævning, er derfor svindel, uanset hvilket logo den bærer. Binance har ikke sagt, om nogle lande eller netværk får adgang igen før andre.

Hævninger har været suspenderet siden omkring klokken 22.15 UTC den 29. oktober. I en opdatering om morgenen den 30. oktober sagde Binance, at selskabet fortsat regnede med at genoptage dem om cirka 45 timer, hvilket peger på tidligt søndag den 1. november. Binance har dog ikke oplyst, om alle netværk åbner igen på samme tid. Selskabet har lovet at offentliggøre en opdateret Proof of Reserves, når reparationerne er afsluttet, og en teknisk gennemgang, når undersøgelsen er færdig.

Indtil da beder den største børs i kryptoverdenen sine kunder om netop det, som kryptovaluta blev skabt for at gøre unødvendigt: tillid.

Tags: it-sikkerhed, kryptovaluta, Binance, Bybit, Richard Teng, TraderTraitor