Binance förlorade 6,3 miljarder dollar till hackare, det mesta på 20 minuter

Binance, världens största kryptobörs, förlorade omkring 6,3 miljarder dollar när hackare tömde dess nätplånböcker på tio blockkedjor. Merparten av pengarna försvann på ungefär 20 minuter. Det är den största kryptostölden som någonsin registrerats, omkring fyra gånger större än det tidigare rekordet på 1,5 miljarder dollar, som stals från konkurrenten Bybit. Binance har stoppat uttag medan företaget försöker ta reda på hur angriparna tog sig in. Den som har kryptovalutor på plattformen kan därför inte flytta dem därifrån just nu.

Börsen säger att kunderna inte kommer att behöva stå för förlusten. ”Binance kommer att täcka alla förluster med medel från SAFU-fonden och företagets egna tillgångar. Användarnas medel är säkra”, skriver företaget i ett uttalande. Det syftar på Secure Asset Fund for Users, en reservfond som byggts upp för att kunna användas i nödlägen av det här slaget. Insättningar fungerar som vanligt. Problemet gäller tillgången till pengarna: så länge uttagen är stoppade går det att se sitt saldo på Binance, men inte att flytta pengarna någon annanstans. Det är just den risken man tar när man förvarar kryptovalutor på en börs i stället för i en plånbok man själv kontrollerar.

Binances första förklaring pekade på en enskild dator. Den inledande utredningen tydde på att en angripare, via en DevOps-ingenjörs komprometterade bärbara dator, hade kunnat nå en servicecontainer och skicka obehöriga uttagstransaktioner. Några timmar senare gav företaget en bredare bild och sade att det hade ”upptäckt ytterligare intrångspunkter” och att det rörde sig om en komplex attack. Med-vd:n Richard Teng skrev att ”angriparen använde inte bara en ingenjörs behörigheter, och det här var inte en enda handling med ett klick”. Binance uppger att företaget inte har hittat några belägg för att en privat nyckel till en plånbok har läckt.

Externa utredare beskriver en kupp som hade repeterats i förväg. Blockkedjeanalysföretaget TRM Labs spårade omkring 6,36 miljarder dollar som lämnade Binance-plånböcker på Ethereum, Bitcoin, Tron, XRP Ledger, Solana och fem andra nätverk. Företaget hittade också testkörningar av attackkoden på andra plånböcker flera timmar före stölden. Eftersom plånböcker med olika typer av nycklar och signeringsmetoder alla genererade giltiga signaturer åt angriparen inom ungefär en halvtimme drar TRM slutsatsen att angriparen sannolikt lyckades få Binances eget signeringssystem att godkänna transaktioner efter eget val.

TRM bedömer med hög säkerhet att attacken utfördes av TraderTraitor, en nordkoreansk statlig hackergrupp som FBI anklagade för stölden från Bybit. Chainalysis kom fram till samma slutsats. Binance har inte pekat ut någon skyldig.

Kapplöpningen om att frysa pengarna började inom några minuter. Företagen som ger ut stablecoins kan spärra dem, och det gjorde de: Tether frös omkring 1,77 miljarder USDT, Circle omkring 825 miljoner USDC och Ripple 40,5 miljoner RLUSD. Arbitrum Security Council tvingade samtidigt bort ungefär 30 miljoner dollar från angriparens plånbok på sitt nätverk, enligt TRM. Binance uppger att totalt omkring 3 miljarder dollar har frysts. Bitcoin och Ether har ingen utgivare som kan spärra dem, vilket är anledningen till att angriparen skyndade sig att växla stablecoins till Ether och sålde en del med mer än 10 procents rabatt för att få ut demom räckhåll.

Det är här försäkringarna börjar kännas mindre övertygande. TRM uppskattar att angriparen fortfarande kontrollerar mer än 420 000 ETH och 18 270 BTC, till ett värde av omkring 2,4 miljarder dollar som ingen kan spärra. Företaget räknar med att nästa steg går via bryggor mellan blockkedjor, växlingstjänster och OTC-mäklare. Binance har inte sagt hur stor del av företagets reservfond för nödlägen som förlusten kommer att ta i anspråk och har inte publicerat någon grundorsaksanalys. Tills vidare bygger löftet om att användarnas medel är säkra på företagets ord, och ”ytterligare intrångspunkter” är inte detsamma som ett intrång som har stoppats.

Kryptobörser är lockande mål eftersom de förvarar kundernas kryptovalutor i så kallade hot wallets, som är uppkopplade mot internet så att uttag kan genomföras snabbt. Bitget förlorade 387,5 miljoner dollar i en attack förra månaden som företaget också skyllde på Nordkorea. Även den bredare marknaden påverkades: Bitcoin och Ether föll efter nyheten och handlades vid lunchtid i Hongkong omkring 2–3 procent lägre, enligt CNN.

Uttagsstoppet ger också bedragare ett tillfälle att slå till. Binance har uppmanat kunderna att ”vara vaksamma på bedrägerier” och att ”inte lita på inofficiella länkar, meddelanden eller förfrågningar om kontouppgifter”. Börsen har inte meddelat någon återbetalnings- eller återställningsprocess där kunder ombeds lämna ut lösenord, verifieringskoder eller plånboksuppgifter. Ett meddelande som erbjuder sig att påskynda ett uttag är därför ett bedrägeri, oavsett vilken logotyp det har. Binance har inte sagt om något land eller nätverk kommer att få tillgång till uttag först.

Uttag har varit stoppade sedan omkring 22.15 UTC den 29 oktober. I en uppdatering på morgonen den 30 oktober sade Binance att planen fortfarande var att återuppta uttagen om ungefär 45 timmar, vilket pekar mot tidigt på söndagen den 1 november. Företaget har dock inte sagt om alla nätverk öppnas igen samtidigt. Binance har lovat att publicera en uppdaterad Proof of Reserves när reparationerna är klara och en teknisk efteranalys när utredningen är avslutad.

Tills dess ber den största börsen i kryptovärlden sina kunder om just det som kryptovalutor skapades för att göra onödigt: förtroende.

Taggar: IT-säkerhet, kryptovalutor, Binance, Bybit, Richard Teng, TraderTraitor