Binance mistet 6,3 milliarder dollar til hackere, det meste på 20 minutter

Binance, verdens største kryptobørs, tapte rundt 6,3 milliarder dollar da hackere tømte nettbaserte lommebøker på ti blokkjeder – mesteparten i løpet av rundt 20 minutter. Det gjør angrepet til det største kryptotyveriet som er registrert, omtrent fire ganger større enn den tidligere rekorden på 1,5 milliarder dollar, som ble stjålet fra konkurrenten Bybit. Binance har stanset uttak mens selskapet undersøker hvordan angriperne kom seg inn. Det betyr at kunder som har kryptovaluta på plattformen, foreløpig ikke kan flytte den ut.

Børsen sier at kundene ikke må dekke tapet. «Binance dekker alle tap fra SAFU-fondet og selskapets egne midler. Brukernes midler er trygge», heter det i en uttalelse. SAFU viser til Secure Asset Fund for Users, en beredskapsreserve opprettet for nettopp slike hendelser. Innskudd fungerer som normalt. Problemet er tilgangen: Så lenge uttakene er stengt, er en Binance-saldo noe du kan se på, men ikke flytte til et annet sted. Det er nettopp denne risikoen man tar når man oppbevarer kryptovaluta på en børs i stedet for i en lommebok man selv kontrollerer.

Binances første forklaring pekte på én enkelt maskin. Den innledende granskingen tydet på at en angriper hadde brukt den kompromitterte laptopen til en DevOps-ingeniør for å få tilgang til en tjenestebeholder og sende inn uautoriserte uttakstransaksjoner. Noen timer senere utvidet selskapet forklaringen og sa at det hadde «avdekket ytterligere innbruddspunkter», samtidig som hendelsen ble omtalt som et komplekst angrep. Medadministrerende direktør Richard Teng skrev at «angriperen ikke bare brukte én ingeniørs tilgang, og dette var ikke en enkelt handling med ett klikk». Binance sier at selskapet ikke har funnet bevis for at en privat nøkkel til en lommebok har kommet på avveie.

Uavhengige etterforskere beskriver et ran som var øvd på i forkant. Blokkjedeanalyseselskapet TRM Labs sporet rundt 6,36 milliarder dollar ut av Binance-lommebøker på Ethereum, Bitcoin, Tron, XRP Ledger, Solana og fem andre nettverk. Selskapet fant også testkjøringer av angrepskoden mot andre lommebøker flere timer før tyveriet. Fordi lommebøker med ulike nøkkeltyper og signeringsmetoder alle produserte gyldige signaturer for angriperen i løpet av omtrent en halvtime, konkluderer TRM med at angriperen mest sannsynlig fikk mulighet til å få Binances eget signeringssystem til å godkjenne transaksjoner etter eget valg.

TRM knytter angrepet med høy grad av sikkerhet til TraderTraitor, en nordkoreansk statlig hackergruppe som FBI har gitt skylden for Bybit-tyveriet. Chainalysis har kommet til samme konklusjon. Binance har ikke selv navngitt noen gjerningsperson.

Kappløpet om å fryse pengene startet i løpet av få minutter. Stablecoins kan låses av selskapene som utsteder dem, og det ble gjort: Tether frøs rundt 1,77 milliarder USDT, Circle rundt 825 millioner USDC og Ripple 40,5 millioner RLUSD. Arbitrum Security Council tvang samtidig rundt 30 millioner dollar ut av angriperens lommebok på nettverket sitt, ifølge TRM. Binance anslår at det samlede beløpet som er fryst, er rundt 3 milliarder dollar. Bitcoin og Ether har ingen utsteder som kan fryse dem, og derfor forsøkte angriperen raskt å veksle stablecoins til Ether. Noe ble solgt med over 10 prosent rabatt for å få pengene utenfor rekkevidde.

Det er her forsikringene begynner å skurre. TRM anslår at angriperen fortsatt kontrollerer over 420 000 ETH og 18 270 BTC, til en verdi av rundt 2,4 milliarder dollar – midler ingen kan låse. Selskapet venter at de neste trekkene vil gå via broer mellom blokkjeder, vekslingstjenester og meglere som handler direkte mellom parter. Binance har ikke opplyst hvor mye av beredskapsreserven tapet vil spise opp, og har heller ikke offentliggjort noen rotårsaksanalyse. Foreløpig bygger løftet om at brukernes midler er trygge på selskapets egne ord. «Ytterligere innbruddspunkter» er ikke det samme som et innbrudd som er under kontroll.

Børser er attraktive mål fordi de oppbevarer kundenes kryptovaluta i såkalte hot wallets, som er koblet til internett slik at uttak kan gjennomføres raskt. Bitget tapte 387,5 millioner dollar i et angrep forrige måned, som børsen også ga Nord-Korea skylden for. Også resten av markedet merket konsekvensene: Bitcoin og Ether falt etter nyheten, og var ned rundt 2 til 3 prosent ved middagstid i Hongkong, ifølge CNN.

Uttaksstansen gir også svindlere en mulighet. Binance har bedt kundene om å «være på vakt mot svindel» og «ikke stole på uoffisielle lenker, meldinger eller forespørsler om kontoinformasjon». Børsen har ikke kunngjort noen refusjons- eller gjenopprettingsprosess der man blir bedt om passord, verifiseringskoder eller opplysninger om lommeboken. En melding som tilbyr å få fart på et uttak, er derfor svindel, uansett hvilken logo den bruker. Binance har ikke sagt om enkelte land eller nettverk vil få tilgang igjen før andre.

Uttak har vært stanset siden rundt klokken 22.15 UTC 29. oktober. I en oppdatering om morgenen 30. oktober sa Binance at selskapet fortsatt lå an til å åpne for uttak igjen om rundt 45 timer, noe som peker mot tidlig søndag 1. november. Selskapet har imidlertid ikke sagt om alle nettverk vil åpne samtidig. Binance har lovet å oppdatere sin Proof of Reserves når reparasjonene er ferdige, og å publisere en teknisk etterrapport når granskingen er avsluttet.

Inntil videre ber kryptomarkedets største børs kundene sine om det ene kryptovaluta var ment å gjøre overflødig: tillit.

Tagger: datasikkerhet, kryptovaluta, Binance, Bybit, Richard Teng, TraderTraitor