Allg. Thread - Hacks von Cryptobörsen, Drittanbietern und ähnliche Vorfälle

[Real-Duke]

weil es gilt ja auch immer "Nicht deine Schlüssel - nicht deine Münzen". 

Wobei "Not your keys, not your Coins" irgendwie immer noch schöner klingt finde ich

Nebenbei dürfte es doch von "uns" niemanden auf Binance erwischt haben oder? War da nicht etwas mit fehlender MICAR Lizenz.
Trotzdem tut es mir natürlich um jeden einzelnen Leid den es erwischt hat und hoffe, er bekommt die Summe zu 100% von Binance wie versprochen erstattet.

[Lemonmate]

https://x.com/crypto_banter/status/2116116106624598111

Tausende von Transaktionen in kurzer Zeit könnten laut Chainalysis darauf hindeuten, dass die Angreifer eine Art automatisierten Prozess einsetzen.

Chainalysis beobachtet ungewöhnliche Geldwäschemuster bei den gestohlenen Binance-Geldern. Dabei werden die Beträge wiederholt zwischen verschiedenen Adressen hin und her geschickt. Es wird interessant sein zu sehen, ob die Ermittler noch einen erheblichen Teil der verbleibenden Gelder verfolgen können.

[Lakai01]

[...] weil es gilt ja auch immer "Nicht deine Schlüssel - nicht deine Münzen". 

Ich würde hier auch beim englischen Term "not your keys, not your coins" bleiben, Münze ist einfach eine für mich persönlich furchtbar schlechte Übersetzung, fast so schlimm wie "Faden" statt "Thread"


Zum Hack selber bin ich gespannt, was hier über die technischen Hintergründe noch so rauskommt, das dürfte alles sehr durchdacht gewesen sein. Gleichzeitig frage ich mich aber auch, was die Angreifer jetzt mit den Coins vor haben, die sind quasi unbewegbar und kaum zu Geld zu machen.

[jahead]

Hier ist nochmal eine interaktive Karte von Etherscan mit den sehr einfach und gut nachzuvollziehenden Geldflüssen des Hacks:

Hier nochmal ein kleiner Ausschnitt, wie die Darstellung ist - in der Karte sind noch sehr viel mehr und im Detail alle Wallettransaktionen zu finden:


Bild: Ausschnitt aus dem Etherscan.

Dann weiter hat natürlich auch die höher gelegene Presse von dem "Hack des Jahrhunderts" Wind mitbekommen und Krypto damit wieder direkt negative Schlagzeilen erhalten:
https://www.tagesschau.de/wirtschaft/technologie/hackerangriff-binance-interview-100.html

Solche Aussagen von einem Experten sind natürlich auch Schall und Rauch, "Recht hat er" - aber im aktuellen Geschehen mit Ledger/Trezor kontextualisiert, altert die Antwort schlecht, bevor sie überhaupt das Licht der Welt gesehen hat:

"Cold Wallets" ohne Internetzugang schützen

ARD-Finanzredaktion: Und wie können sie sich gut absichern?

Mirko Ross: Der klassische Tipp ist immer Diversifikation. Also, wo habe ich Vermögenswerte? Und das Zweite ist: Wenn ich Kryptowährungen besitze und die nicht aktiv handeln möchte, dann diese Währungen dringend auf eine sogenannte Cold Wallet verschieben. Das sind spezielle Geldbörsen für Kryptowährungen, die nicht online angebunden sind, und damit sind sie auch für Hacking sicher.

[Etiquette.exe]

[...] weil es gilt ja auch immer "Nicht deine Schlüssel - nicht deine Münzen". 

Ich würde hier auch beim englischen Term "not your keys, not your coins" bleiben, Münze ist einfach eine für mich persönlich furchtbar schlechte Übersetzung, fast so schlimm wie "Faden" statt "Thread"


Zum Hack selber bin ich gespannt, was hier über die technischen Hintergründe noch so rauskommt, das dürfte alles sehr durchdacht gewesen sein. Gleichzeitig frage ich mich aber auch, was die Angreifer jetzt mit den Coins vor haben, die sind quasi unbewegbar und kaum zu Geld zu machen.

Einen schönen frühen Morgen,

wie ist die Lage an der Hackerfront?

Wer bitte übersetzt denn das mit Münze? Das habe ich noch nie gehört. "Faden" ist auch wenigstens fragwürdig. Dann kann man aber ein riesiges Fass aufmachen mit Übersetzungen und jede Komunikation ad absurdum führen.


Ich finde diesen Artikel ganz interessant, falls ihn jemand lesen möchte. Es dauert vier Minuten, aber es sind ein paar wichtige Aussagen drin wie ich finde.

https://fastcompanyme.com/news/binances-6-3-billion-hack-exposes-cryptos-biggest-security-weakness/

[Lakai01]

[...]
Ich finde diesen Artikel ganz interessant, falls ihn jemand lesen möchte. Es dauert vier Minuten, aber es sind ein paar wichtige Aussagen drin wie ich finde.

https://fastcompanyme.com/news/binances-6-3-billion-hack-exposes-cryptos-biggest-security-weakness/

Danke für das Teilen des Artikels, hat tatsächlich eine Aussage enthalten, die ich sehr beachtenswert finde:

The cryptocurrency exchange initially said its investigation suggested a compromised DevOps engineer’s laptop may have allowed an attacker to access a service container and submit unauthorized withdrawals.
[...]
The company said it had found no evidence of leaked wallet private keys.
[...]
That is an identity problem: once a system believes you are someone it trusts, it lets you act.

Der Vorfall zeigt damit eine der größten Schwachstellen zentralisierter Börsen wie eben Binance ...
Wer die Systeme kontrolliert, die Transaktionen signieren dürfen, kann Milliarden bewegen, ohne jemals einen Private Key direkt in die Hände zu bekommen. "Not your keys, not your coins" stimmt also in solchen Fällen, wo solche Systeme im Einsatz sind, nicht mehr (unbedingt).

[Etiquette.exe]

The cryptocurrency exchange initially said its investigation suggested a compromised DevOps engineer’s laptop may have allowed an attacker to access a service container and submit unauthorized withdrawals.
[...]
The company said it had found no evidence of leaked wallet private keys.
[...]
That is an identity problem: once a system believes you are someone it trusts, it lets you act.

Der Vorfall zeigt damit eine der größten Schwachstellen zentralisierter Börsen wie eben Binance ...
Wer die Systeme kontrolliert, die Transaktionen signieren dürfen, kann Milliarden bewegen, ohne jemals einen Private Key direkt in die Hände zu bekommen. "Not your keys, not your coins" stimmt also in solchen Fällen, wo solche Systeme im Einsatz sind, nicht mehr (unbedingt).

Das war die Aussage, die auch mich am meisten interessiert hat und wenn an es genau nimmt, wird es ein niemals vollständig zu lösendes Problem bleiben. Mit anderen Worten, es wird kein System geben, das keinesfalls kompromittierbar ist.

[Leon Zimmer]

Wer die Systeme kontrolliert, die Transaktionen signieren dürfen, kann Milliarden bewegen, ohne jemals einen Private Key direkt in die Hände zu bekommen. "Not your keys, not your coins" stimmt also in solchen Fällen, wo solche Systeme im Einsatz sind, nicht mehr (unbedingt).

Ich denke, die Aussage stimmt immer noch, aber „Keys haben“ reicht nicht mehr, es kommt auch darauf an, wer signieren kann. Im Zwischenbericht für Binance war es ein DevOps-Laptop, für Bybit 2025 war es eine Entwicklermaschine des Wallet-Dienstleisters, die gehackt wurde und bei der die Signierer nur manipulierte Transaktionsdaten angezeigt bekamen. Wie im Ledger-Fall gibt es kein Krypto-Problem, sondern die Umgebung wird angegriffen.
Aber auch für uns als Selbstverwahrer ist die Schlussfolgerung keine andere als die
Sauberes Setup, Zieladresse immer am Gerät verifizieren, bei großen Beträgen sogar Multisig mit mehreren unabhängigen Geräten (damit der Angreifer mehrere Maschinen hacken müsste).