Mutmaßlicher Binance-Hacker tauscht Stablecoins in ETH, während DeFi-Märkte pausieren

Etherscan-Aufzeichnungen zu 10 Wallets, darunter acht als Exploiter gekennzeichnete, zeigen, dass der mutmaßliche Binance-Angreifer Uniswap und Aave nutzte, um einfrierbare Stablecoins in ETH umzutauschen. Mit Binance, der weltweit größten Kryptobörse, verbundene Wallets verloren heute mindestens 5,5 Milliarden Dollar; der Betrag stieg weiter. Binance erklärte, das Unternehmen untersuche einen Sicherheitsvorfall, bestätigte jedoch nicht, dass Kundengelder betroffen waren. Sicherheitsexperten gehen weithin davon aus, dass Binance gehackt wurde. Weder bei Uniswap noch bei Aave gab es Anzeichen für eine Schwachstelle.

Tether und Circle setzten Adressen, die mit dem mutmaßlichen Angreifer in Verbindung stehen, auf eine schwarze Liste; Stablecoin-Anbieter haben mehr als 2 Milliarden USDT und USDC eingefroren. Beide Emittenten können verhindern, dass ihre Token bewegt werden, indem sie Adressen auf eine schwarze Liste setzen. Für ETH gibt es keinen Emittenten, der den Vermögenswert einfrieren könnte. Umgetauschte Gelder liegen damit außerhalb der Möglichkeiten der Stablecoin-Emittenten, sie einzufrieren. Uniswap führt dezentrale Transaktionen automatisch aus, ohne dass ein Unternehmen als Vermittler fungiert.

Eine Relay-Wallet erhielt um 20:34 UTC 20.940 ETH (45,58 Millionen Dollar) vom UniswapX-Kontrakt. Eine andere Wallet erhielt um 20:47 UTC 3.552 ETH im Wert von mehr als 8 Millionen Dollar. Eine spätere Wallet erhielt von Uniswap-Kontrakten in Tranchen von 7.444 ETH und 10.642 ETH rund 18.085 ETH im Wert von etwa 41 Millionen Dollar. Eine weitere Wallet erhielt in Tranchen von 6.946 ETH und 9.552 ETH rund 16.498 ETH (37,5 Millionen Dollar).

Aave ermöglicht es Nutzern, Kryptowährungen gegen hinterlegte Sicherheiten zu leihen. Zwischen 20:57 und 21:01 UTC hinterlegte eine Wallet zunächst 10 Millionen USDT und lieh sich 3.271 ETH (7,43 Millionen Dollar). Anschließend hinterlegte die Wallet 50 Millionen USDT und lieh sich weitere 16.491 ETH (37,47 Millionen Dollar). Insgesamt wurden 19.762 ETH gegen rund 60 Millionen USDT geliehen. Odysseas Lamtzidi, Gründer von Phylax Systems und Cybersicherheitsexperte, warnte daraufhin vor einer „Ansteckung in vollem Gange“.

Aave fror anschließend die V3-Märkte der Anwendung im Ethereum-Mainnet ein und verhinderte damit weitere Einlagen und Kreditaufnahmen. Kamino, ein DeFi-Protokoll auf Solana, setzte vorsorglich ebenfalls seine Solana- und Bitcoin-Märkte aus.

Die als Exploiter 8 gekennzeichnete Wallet hielt um 22:03 UTC 195.460 ETH (444,2 Millionen Dollar). Weitere 57.891,77 ETH im Wert von 131,6 Millionen Dollar gingen bei der als Exploiter 11 gekennzeichneten Wallet ein. Zusammen hielten die beiden Wallets um 22:07 UTC rund 253.000 ETH im Wert von etwa 570 Millionen Dollar; ausgehende Transfers gab es bis dahin nicht. Die bei Exploiter 11 eingegangenen Gelder durchliefen innerhalb von 28 Minuten vier Transfers: von Exploiter 4 zu Exploiter 5, dann zu Exploiter 6, Exploiter 7 und Exploiter 11.

Ein auf X verbreitetes On-Chain-Update besagte, der Angreifer habe 36 Millionen RLUSD, Ripples an den Dollar gebundenen Stablecoin, gegen 15.439 ETH getauscht. Dem Update zufolge blieben 52,54 Millionen RLUSD in der Wallet, in der die Gelder verwahrt wurden, ungefroren. Etherscan wies um 20:41 UTC rund 88,5 Millionen Dollar in RLUSD in der wichtigsten Empfangs-Wallet aus, was mit den zusammengerechneten Beträgen übereinstimmte.

Binance-Co-Chefin Yi He sagte, Ripple habe anschließend rund 200 Millionen Dollar in RLUSD eingefroren. Yi He dankte Ripple und sagte, die Kundengelder seien sicher; dabei verwendete sie „SAFU“, eine Anspielung auf den Notfallreservefonds von Binance. Jack McDonald, Senior Vice President für Stablecoins bei Ripple, sagte, Ripple beobachte Berichte über einen möglichen Binance-Exploit und friere betroffene RLUSD aktiv ein. Ripple stimme sich mit den relevanten Parteien ab und sei bereit, Ermittlungen sowie angemessene Maßnahmen zum Schutz der Nutzer zu unterstützen, sagte McDonald.

Tornado Cash, ein Mixer, der die Spuren von Kryptowährungszahlungen verschleiert, tauchte bislang nur als Finanzierungsquelle für die Adresse auf, von der aus der Angriff vorbereitet wurde. Der CEO von Bybit sagte, die Lazarus Group aus Nordkorea habe 84,45 % der beim Bybit-Hack gestohlenen ETH über das Cross-Chain-Swap-Netzwerk Thorchain in Bitcoin umgetauscht. Monero, eine Privacy-Coin, die Transaktionsteilnehmer und Beträge verschleiert, legte am Donnerstag um etwa 6 % zu, was auf einen möglichen Wechsel in die Coin hindeutet.