coindesk.com
Der Angreifer, der Binance am späten Donnerstag ausgeraubt hat, zerlegte 18.270 gestohlene Bitcoin innerhalb von Minuten in 19 separate Haufen und ließ sie anschließend unberührt.
Um 20:20 UTC sandte die Hot Wallet von Binance in 11 Transaktionen knapp über 18.270 $BTC an eine Adresse, alle bestätigt im Block 973.732. Eine Hot Wallet ist die internetverbundene Wallet, die eine Börse verwendet, um Kundenauszahlungen vorzunehmen. Die Münzen waren bei den Preisen vom frühen Freitag etwa 1,4 Milliarden US-Dollar wert, oder mehr als zweieinhalbmal so viel wie das 7.000 $BTC Binance erlitt 2019 einen Hack (obwohl der Bitcoin zu diesem Zeitpunkt unter 5.000 US-Dollar gehandelt wurde).
Die Transaktionen, die die Münzen aufgeteilt haben, wurden ebenfalls im Block 973.732 bestätigt, unmittelbar nach den Einzahlungen auf das empfangende Adresse.
CoinDesk verfolgte jede Ausgabe mithilfe von Daten von mempool.space. Die Münzen durchliefen eine sogenannte Peel-Kette, bei der jede Transaktion 1.000 $BTC in eine neue Adresse absplittert und den Rest an den nächsten Schritt weitergibt.
Einige Reste wurden wieder zusammengeführt und erneut aufgeteilt. Noch einmal Reinigung sammelte die ungeraden Beträge in einer Wallet, die 832,5 $BTC hält.
Achtundzwanzig Minuten später, im Block 973.738, ein endgültiger 437,7 $BTC landete in einer 19. Adresse.
Siebzehn Wallets halten nun jeweils genau 1.000 $BTC, eine hält 832,5 $BTC und eine hält 437,7 $BTC. Stand 04:23 UTC am Freitag hat keine der 19 auch nur eine einzige Münze verschickt.
Die einzige neue Aktivität besteht aus Spam, da Fremde seit Donnerstagabend winzige Einzahlungen im Wert von ein oder zwei Dollar an die Wallets senden.
Der Rest der Beute ist ganz anders verlaufen. Tether, Circle, Ripple und andere Stablecoin-Herausgeber kontrollieren die Verträge hinter ihren Token, sodass sie die Adressen des Angreifers innerhalb von Stunden auf eine Sperrliste setzen könnten.
Bitcoin verfügt über keinen Emittenten, der dies tun könnte, sodass die Münzen nur gestoppt werden können, sobald sie eine Börse, einen außerbörslichen Handelsschalter oder einen Swap-Dienst erreichen.
TRM Labs zugeschrieben den Diebstahl mit „hoher Sicherheit“ der Elite-Hacking-Einheit Nordkoreas, TraderTraitor, zuzuschreiben. Nach dem Diebstahl von 1,5 Milliarden US-Dollar bei Bybit im Februar 2025 verbrachte dieselbe Einheit etwa 10 Tage Umwandlung von gestohlenem Ether in Bitcoin.
Gewöhnliche Abhebungen
Jede der 11 Transfers ist wie eine gewöhnliche Binance-Auszahlung aufgebaut. In einer von ihnen, 18 Bitcoin-Transaktionen von einer Adresse, die der Blockchain-Tracker Whale Alert als „Binance“ kennzeichnet, gehen an den Angreifer, und das Wechselgeld wird an Binance zurückgesendet.
Jede Überweisung trug eine gültige Signatur von bitcoin-Adressen, die von Binance kontrolliert werden.
In einem X-Beitrag am Montag erklärte Binance, dass die erste Untersuchung darauf hindeutet, dass ein kompromittiertes Laptop, das einem DevOps-Ingenieur gehörte, dem Angreifer Zugriff auf einen Service-Container verschaffte, der anschließend genutzt wurde, um unautorisierte Abhebungen vorzunehmen. Es wurde hinzugefügt, dass keine Hinweise darauf vorliegen, dass der private Schlüssel einer Wallet geleakt wurde.
