Binance rammet av hack på 6,3 milliarder dollar

Slik gikk angrepet for seg

Først mente Binance at bruddet kunne ha startet med en kompromittert bærbar PC hos en DevOps-ingeniør, og at den ga uautoriserte uttak. Fredag 30. oktober la co-CEO Richard Teng fram mer i en videouttalelse på X. Angriperne brukte en selvdestruerende mekanisme for å slette spor. De utnyttet dessuten Ethereums EIP-7702, en funksjon for kontodelegering, til å ta kontroll over en hot wallet uten å gå veien om Binances vanlige godkjenning.

Teng sa at etterforskerne har funnet flere brudd, men ennå ikke kjenner hele forløpet. Binance har stanset uttak mens selskapet bygger om og tester infrastrukturen. Børsen går gjennom skysystemer, ansattes enheter, håndtering av private nøkler og signering av transaksjoner, og håper å åpne for uttak igjen søndag.

Mistenkt hackergruppe

Blokkjedeanalytikere peker på Lazarus-gruppen, en nordkoreansk hackerenhet. TRM Labs sier med «høy sikkerhet» at undergruppen TraderTraitor står bak, og Chainalysis' toppsjef Jony Levin vurderer det samme. Etterforskeren ZachXBT skrev at angriperen «likely» var Lazarus. De to analyseselskapene mener angriperne fikk tilgang til lommebøker på ti blokkjeder og tok ut det meste på 20 minutter.

Tilskrivingen er likevel ikke endelig. En person med innsikt i kryptoetterforskning sa til CoinDesk at svært få aktører kan gjennomføre noe slikt, men at hendelsen ennå ikke er sikkert knyttet til Lazarus. Vedkommende pekte også på at nordkoreanske grupper vanligvis flytter og selger stjålet krypto raskere enn det som skjedde denne gangen. Nord-Korea avviser at landet står bak.

Frosne midler og dekning av tapet

Utstederne av stablecoins grep raskt inn. Tether frøs mer enn 1,567 milliarder dollar i USDT knyttet til hendelsen. Circle frøs mer enn 800 millioner dollar i USDC i samarbeid med rettshåndhevende myndigheter. First Digital opplyser at stjålet FDUSD også er frosset.

Binance har lovt å dekke alle 6,3 milliarder dollar med selskapets egne midler. Teng sier at børsen har satt av mer enn 6,34 milliarder dollar, hvorav 5 milliarder allerede ligger i de berørte kryptovalutaene. Resten kjøpes gjennom børser og OTC-markeder.

Teng sier videre at angrepet rammet børsens egen hot wallet og ikke kundemidler. En gjennomgang av Binances reservedata viste likevel at de kompromitterte lommebøkene tidligere sto på listen over eiendeler som dekker kundesaldoer. Binance vil publisere en første oppdatering av reservebeviset før full rapport mandag.

Kursfall og reaksjoner

Bitcoin falt over 3 prosent på et døgn, til rundt 77 400 dollar fredag morgen. Likvidasjoner i futuresmarkedet nådde 1,5 milliarder dollar, og de fleste tapene lå hos dem som veddet på stigende kurser. Geoffrey Kendrick, sjef for digital research i Standard Chartered, venter mer press til midlene er frigitt og detaljene i hacket er kjent.

Den indiske børsen CoinDCX satte futuresmarkedet i «reduce-only»-modus, fordi en global likviditetsleverandør var rammet. En talsperson bekreftet at leverandøren var Binance. Brukerne kan ikke åpne nye posisjoner eller øke eksisterende, men innskudd og uttak virker, opplyser børsen. CoinDCX har ikke gitt noen tidsramme for å gå tilbake til normal handel.

I Norge uttalte justisminister Astri Aas-Hansen til NTB: «Jeg er bekymret for hva dette kan finansiere.» Hun pekte på at slike penger kan gå til ulovlige tjenester. Dessuten kan de havne hos kriminelle nettverk og autoritære regimer. Hun la til at tyveriet kom tre dager etter at Nasjonal sikkerhetsmyndighet hevet det nasjonale cyberrisikonivået til skalaens nest høyeste.