Betrifft Sie das?
- Betroffen: sinngemäß alle Admins oder DevOps-Mitarbeitenden, deren eigener Laptop die Produktion, eine Cloud-Konsole oder eine Zahlungsfunktion erreicht, ohne dass jemand anderes zustimmen muss.
- Nicht betroffen, wenn: in Ihrem Unternehmen kein Gerät einer einzelnen Person allein die Produktion ändern oder Geld freigeben kann.
Was tun?
- Schreiben Sie auf, was ein Admin-Laptop heute erreicht: Server und Container, die Cloud-Konsole, Deploy-Pipelines, das Bankportal. Markieren Sie, wo eine Person allein handeln kann und ob es um 3 Uhr nachts jemand bemerken würde.
- Wo Geld das Unternehmen verlässt, schalten Sie im Bankportal eine zweite Freigabe ein. Gibt es für die Produktion keinen zweiten Admin, schicken Sie die Änderungsprotokolle an jemand anderen. Halten Sie Deploy-Rechte und Zahlungsrechte bei verschiedenen Personen oder Konten.
- Klären Sie, wer automatisch laufende Jobs schnell anhalten kann. Während des Angriffs schrieb Conor Grogan von Coinbase auf X, die automatischen Einzahlungs-Sweeps von Binance füllten anscheinend weiter die Hot Wallet auf, die der Angreifer bereits kontrollierte.
- Nicht: „keine Schlüssel abgeflossen“ als „nichts zu beheben“ lesen. Binance fand keine Hinweise auf ein Leck privater Schlüssel, und trotzdem gingen die Auszahlungen durch.
Was wir wissen – und was nicht
- Vorläufige Darstellung von Binance (Gizmodo, MLQ.ai, Gadget Review): Ein kompromittierter Laptop könnte dem Angreifer Zugang zu einem Service-Container verschafft haben, von dem aus nicht autorisierte Auszahlungstransaktionen abgeschickt wurden.
- Die Ursache ist nicht geklärt. Co-CEO Richard Teng sagt, der Angreifer habe nicht bloß die Berechtigungen eines Ingenieurs genutzt, und es sei keine „One-Click“-Aktion gewesen. Kok Tin Gan von NyxLab, zitiert von AP (über Courthouse News), sagt, es sehe so aus, als habe „eine Signatur“ dem Angreifer ein nie ablaufendes Token mit Vollzugriff auf eine Hot Wallet von Binance verschafft. Ein technisches Post-Mortem ist bisher nicht veröffentlicht.
- Die Summe hat sich im Lauf der Berichterstattung verändert. Binance spricht jetzt von rund 6,3 Milliarden US-Dollar; laut TRM Labs haben rund 6,36 Milliarden US-Dollar die Wallets von Binance auf zehn Blockchains verlassen, das meiste innerhalb von etwa 20 Minuten.
- Laut Binance sind rund 3 Milliarden US-Dollar eingefroren; Tether und Circle melden eigene Sperrungen, die laut MLQ.ai nicht mit der Gesamtsumme von Binance übereinstimmen müssen.
- TRM Labs ordnet den Angriff nach eigener Einschätzung mit hoher Konfidenz TraderTraitor zu, einer Einheit, die das Unternehmen Nordkorea zuordnet; auch Chainalysis und Elliptic verweisen auf Nordkorea. Das sind Einschätzungen privater Firmen, keine Feststellung der Strafverfolgungsbehörden.
Warum das wichtig ist
Viele kleine Unternehmen haben ihre eigene Version dieses Laptops: den einen Rechner, der deployt, die Cloud-Konsole öffnet und sich bei der Bank anmeldet. Unserer Ansicht nach ist die nützliche Frage nicht, wie gut Ihr Virenschutz ist, sondern was ein Angreifer von diesem Platz aus zu Ende bringen könnte, bevor ein zweiter Mensch hinschaut.