Ausmass des Sicherheitsvorfalls
Die Kryptowährungsbranche erlebt derzeit eine beispiellose Erschütterung. Ein massiver Sicherheitsvorfall bei der weltgrössten Krypto-Börse Binance hat zu einem drastischen Rückgang der Kurse digitaler Tokens geführt und Notfall-Massnahmen ausgelöst. Der Vorfall, der als der grösste Raubzug in der Geschichte der digitalen Währungen gilt, hat nicht nur Binance getroffen, sondern wirft ein bezeichnendes Licht auf die Schwachstellen der gesamten Branche. Infolge des Angriffs wurden Abhebungen gestoppt und Untersuchungen eingeleitet, während Anleger weltweit um die Sicherheit ihrer Ersparnisse fürchten. Ähnlich wie traditionelle Finanzmärkte auf schockartige Zinserhöhungen oder eine unerwartet hohe Inflation reagieren, verzeichnete der Kryptomarkt eine rasante Korrektur, die das Vertrauen der Anleger auf eine harte Probe stellt. Der Gesamtschaden beläuft sich auf mehrere Milliarden Dollar, was die Vulnerabilität selbst der grössten Akteure in diesem Sektor offenbart.
Architektur von Krypto-Börsen
Um die Tragweite des Vorfalls zu verstehen, ist ein grundlegendes Verständnis der Architektur von Krypto-Börsen erforderlich. Börsen wie Binance lagern den Grossteil der von Kunden hinterlegten Kryptowährungen in sogenannten Cold Wallets. Diese sind mit einem Banksafe vergleichbar: Sie sind offline und vor direkten digitalen Angriffen geschützt. Um jedoch den täglichen Handel und sofortige Abhebungen zu gewährleisten, müssen Börsen einen Teil der Vermögenswerte in sogenannten Hot Wallets bereithalten. Diese sind ständig mit dem Internet verbunden und fungieren als digitale Kassenlade, über die kontinuierlich Transaktionen abgewickelt werden. Diese ständige Erreichbarkeit ist essenziell für die Liquidität der Börse, ähnlich wie Market Maker in traditionellen Märkten Liquidität für den reibungslosen Handel von ETFs oder Aktien bereitstellen. Das angegriffene System war eine solche Hot Wallet, die für ihr hohes Transaktionsvolumen bekannt war.
Der technische Ablauf des Hacks
Die Ausführung des Angriffs war hochgradig technisch und raffiniert. Bereits am Tag vor dem eigentlichen Raubzug wurde eine neu erstellte Wallet über einen sogenannten Mixer, Tornado Cash, finanziert. Mixer verschleiern die Herkunft von Kryptowährungen, indem sie die digitalen Münzen vermischen und so eine Rückverfolgung unmöglich machen. Dies ist das digitale Äquivalent zur Nutzung von nicht nachverfolgbarem Bargeld und stellte eine erste Warnung dar. Der Angreifer entwickelte anschliessend ein automatisiertes Werkzeug, das darauf ausgelegt war, eine Wallet in einem einzigen Zug zu leeren. Die technische Umsetzung nutzte eine spezifische Eigenschaft der Ethereum-Blockchain aus. Jede Transaktion benötigt eine Art Ticketnummer, um chronologisch geordnet zu werden. Der Angreifer verschaffte sich somehow die digitale Signatur von Binance für sogenannte Erlaubnisscheine, die einem Programm die Kontrolle über die Wallet übergeben. Da die Ticketnummer zum Zeitpunkt der Ausführung nicht vorhersehbar war, generierte der Angreifer 50 verschiedene Scheine. 49 wurden abgelehnt, einer passte. Mit diesem erfolgreichen Schein konnte das automatisierte Programm die Hot Wallet komplett leeren und Vermögenswerte in Höhe von rund 2,5 Milliarden Dollar für minimale Transaktionsgebühren von unter einem Dollar entwenden. Ein entscheidendes Detail: Der Angreifer liess einen minimalen Restbetrag in der Wallet, damit diese aktiv blieb und neu eingehende Kundeneinzahlungen sofort wieder vom automatisierten System abgegriffen werden konnten.
Kompromittierung der DevOps-Systeme
Die zentrale Frage, wie der Angreifer überhaupt an die Signaturen von Binance gelangen konnte, wurde durch erste Untersuchungen geklärt. Es wurde weder der Hauptschlüssel gestohlen, noch handelte es sich um einen simplen Betrug. Vielmehr wurde das Laptop eines DevOps-Ingenieurs von Binance kompromittiert. Über diesen Zugang verschaffte sich der Angreifer Zugang zu einem internen Dienst, der für die Autorisierung von Abhebungen zuständig ist. Dies erklärt, warum der Angreifer auf die 50 Versuche angewiesen war: Hätte er den Hauptschlüssel besessen, hätte er die exakte Ticketnummer abwarten und eine perfekte Transaktion signieren können. So jedoch musste er das System dazu bringen, vorgefertigte Transaktionen zu signieren, in der Hoffnung, dass eine davon zum richtigen Zeitpunkt greift. Diese Methode der Kompromittierung von Mitarbeiter-Geräten erinnert stark an vergangene Angriffe, die von staatlichen Akteuren wie Nordkorea verübt wurden. Die Tatsache, dass ein einzelnes kompromittiertes Laptop Milliardenbeträge gefährden konnte, offenbart eine massive systemische Schwachstelle. In traditionellen Finanzinstitutionen können kompromittierte Systeme ebenfalls verheerende Auswirkungen haben, etwa wenn ein Händler unbefugt mit Gold oder Devisen spekuliert, doch die Geschwindigkeit und Endgültigkeit von Krypto-Transaktionen machen solche Vorfälle besonders kritisch.
Eingreifen der Stablecoin-Emittenten
Ein interessanter Aspekt dieses Vorfalls ist die rasche Reaktion der Emittenten von Stablecoins. Tether und Circle, die hinter den digitalen Währungen USDT und USDC stehen, froren innerhalb einer Stunde rund 2,4 Milliarden Dollar der gestohlenen Gelder ein. Während dies in diesem konkreten Fall als Erfolg gefeiert wird, da es den Dieb am Zugriff hindert, wirft es grundlegende Fragen zur Dezentralität auf. Es zeigt, dass die Unternehmen hinter diesen Stablecoins die Macht haben, Vermögenswerte jederzeit und ohne Vorwarnung einzufrieren. Stablecoins sind letztlich nur Schuldscheine (IOUs), die von zentralen Instanzen kontrolliert werden. Diese Zentralisierung steht im Widerspruch zur ursprünglichen Idee von Kryptowährungen und zeigt, dass Anleger, die auf absolute Dezentralität setzen, bei Stablecoins einen Kompromiss eingehen.
Deckung der Verluste durch Binance
Trotz der enormen Summe, die die Börse verliess, sind die Kundengelder voraussichtlich sicher. Binance verwaltet Kundengelder in Höhe von schätzungsweise 144 Milliarden Dollar. Ein Verlust von rund einer Milliarde Dollar, der nach dem Einfrieren durch Tether und Circle realistisch bleibt, entspricht weniger als einem Prozent der verwalteten Vermögenswerte. Binance verfügt zudem über einen Notfallfonds namens SAFU (Secure Asset Fund for Users), der mit rund 15.000 Bitcoin, einem Wert von etwa 1,2 Milliarden Dollar, ausgestattet ist. Dieser Fonds wurde in der Vergangenheit bereits erfolgreich zur Kompensation von Hackerangriffen genutzt. Zwar gibt es regulatorische Einschränkungen hinsichtlich der freien Verfügbarkeit dieses Fonds, doch Binance hat zugesagt, den Verlust vollständig zu decken. Dies ist eine essenzielle Massnahme, da ein Vertrauensverlust bei einer so grossen Börse den gesamten Markt erfassen und eine Kettenreaktion auslösen könnte, die weitaus gravierendere Folgen hätte als temporäre Kursschwankungen.
Die Illusion der Krypto-Verwahrung
Der Vorfall unterstreicht eine goldene Regel der Kryptowelt: Wer seine Kryptowährungen auf einer Börse belässt, besitzt lediglich ein Versprechen (IOU) und nicht die eigentliche Währung. Börsen locken oft mit attraktiven Verzinsungen, ähnlich wie traditionelle Banken Zinsen auf Einlagen oder Dividenden auf Aktien zahlen. Doch im Falle einer Insolvenz oder eines Hacks haben Anleger keinen direkten Zugriff auf ihre Vermögenswerte. Kleinere Börsen könnten einen derartigen Verlust nicht abfangen und in die Insolvenz gehen, was für die Anleger den Totalverlust bedeutet. Der Anreiz, Kryptowährungen zur Vermeidung von Inflation oder als Wertspeicherung zu halten, verpufft, wenn das Risiko liegt, dass die verwahrende Instanz ausfällt. Es ist wie der Unterschied zwischen dem Besitz von physischem Gold im eigenen Tresor und dem Halten von Papiergold-Zertifikaten, bei denen man auf die Solvenz des Emittenten vertrauen muss.
Eigene Verwahrung und Hardware-Wallets
Der einzige echte Schutz besteht in der Selbstverwahrung (Self-Custody). Wer eine erhebliche Summe in Kryptowährungen investiert hat, sollte die Kontrolle über die privaten Schlüssel übernehmen. Dies geschieht idealerweise durch sogenannte Multi-Signature-Lösungen (Multi-Sig), bei denen mehrere Schlüssel für eine Transaktion erforderlich sind. Für aktiv Handelnde ist es ratsam, nur die Mittel auf der Börse zu belassen, die unmittelbar für Transaktionen benötigt werden, und den Rest auf Hardware-Wallets auszulagern. Doch auch hier ist höchste Vorsicht geboten. Es mehren sich Berichte über Supply-Chain-Angriffe, bei denen Hardware-Wallets vor der Auslieferung manipuliert wurden. Daher sollten Hardware-Wallets ausschliesslich direkt beim Hersteller gekauft und niemals als Gebrauchtgeräte oder von Drittanbietern erworben werden. Wer auf Dezentralität vertraut, muss auch die Verantwortung für die Sicherheit seiner Schlüssel und Passphrasen vollständig übernehmen, da bei Verlust des Wiederherstellungscodes keine Instanz mehr helfen kann.
Betrugsmaschen nach dem Hack
In der direkten Nachwehe eines derartigen Vorfalls profitieren Kriminelle von der Verunsicherung der Anleger. Es ist mit einer Flut von betrügerischen Aktivitäten zu rechnen. Gefälschte Support-Nachrichten und fingierte Entschädigungsformulare zielen darauf ab, ahnungslose Anleger in die Falle zu locken. Seriöse Anbieter werden sich niemals unaufgefordert melden, um bei der Wiederherstellung von Geldern zu helfen. Zudem nutzen Betrüger eine Methode, bei der sie gefälschte Token von Adressen senden, die echten Wallet-Adressen stark ähneln. Wer unachtsam eine Adresse aus dem Transaktionsverlauf kopiert, riskiert, sein Vermögen an den Betrüger zu senden. Anleger müssen in diesen Phasen höchste Wachsamkeit an den Tag legen und alle Sicherheitsfunktionen, wie die Zwei-Faktor-Authentifizierung über Authentifikator-Apps, aktivieren, um ihr Kapital vor weiteren Angriffen zu schützen.