Der Binance-Hack: was passiert ist, welche Gelder eingefroren wurden und welche Lehren daraus folgen

Der Angriff wurde mindestens 36 Stunden lang vorbereitet und in knapp 4 Stunden nacheinander auf mehreren Blockchains ausgeführt. Den zitierten Analysen zufolge begannen Emittenten innerhalb einer Stunde nach den ersten Abflüssen mit dem Einfrieren von Geldern. Die Reaktionszeiten unterschieden sich jedoch je nach Blockchain, Vermögenswert und Adresse. Die eingefrorene Gesamtsumme zeigt nicht, wie viel zuvor bereits weitergeleitet oder umgetauscht worden war. Alle Zeiten in UTC.

Elliptic meldet in seiner Aktualisierung vom 30. Oktober 6,43 Mrd. USD gestohlene und 2,84 Mrd. USD eingefrorene Gelder. Für die verbleibenden 3,59 Mrd. USD wurde somit keine Einfrierung gemeldet. Das ist eine Momentaufnahme des berichteten Sperrstatus, kein aktuelles Bestandsverzeichnis der vom Angreifer gehaltenen Gelder.

Was könnte mit den übrigen Geldern geschehen?

Bei vergleichbaren Diebstählen werden Gelder aufgeteilt oder zusammengeführt, in andere Vermögenswerte getauscht, über Bridges bewegt und über Mixer oder Auszahlungsdienste geleitet. Ähnliche Wege könnten auch hier im weiteren Verlauf genutzt werden. Das sind mögliche nächste Schritte, keine Aussage, dass in diesem Fall bereits alle diese Wege genutzt wurden.

Chainalysis berichtet, dass ein Teil der gestohlenen Stablecoins vor Wirksamwerden der Einfrierungen rasch in ETH getauscht wurde. Das zeigt den Zeitdruck für Einsatzteams: Auch nach einem Tausch lassen sich Gelder weiterverfolgen, doch die Möglichkeiten, sie zu stoppen, können sich ändern.

Die Nachverfolgung ist der Ausgangspunkt. Für wirksames Handeln zählen Tempo und Koordination. Ermittlungsergebnisse müssen die Börse, den Emittenten oder die Strafverfolgungsstelle erreichen, die handeln kann, solange die Gelder noch erreichbar sind. Die gemeldeten Einfrierungen zeigen, was Zusammenarbeit ermöglicht. Bereits weitergeleitete Gelder zeigen zugleich, warum die Reaktion auch daran gemessen werden muss, was nicht mehr gestoppt werden konnte.

Vorbereitung heißt, vor einem Vorfall klare Eskalationswege, verwertbare Beweise und Beziehungen über Rechtsräume hinweg aufzubauen. Kleinere Organisationen und einzelne Geschädigte sollten denselben Zugang erhalten. Schnellere Meldungen und grenzüberschreitende Verfahren dürfen nicht von privilegierten Branchenkontakten abhängen.

Europa braucht belastbare Beziehungen über Europa hinaus. Wie in unserem Oktober-Newsletter beschrieben, verbrachte Roman Bieda 4 Tage bei einer INTERPOL-Veranstaltung zu Cyberkriminalität in Asien, an der auch Tether vertreten war. Solche Gespräche verbinden die europäische Basis von Recoveris mit Ermittlern, Strafverfolgungsbehörden und Branchenpartnern an möglichen Zielorten gestohlener Gelder. Der praktische Nutzen öffentlich-privater Zusammenarbeit liegt darin, Beweise zu den Personen zu bringen, die sie bewerten und handeln können.

Recoveris unterstützt diese Arbeit durch Ermittlungen, Beweissicherung und Koordination mit Institutionen und ihren Rechtsteams. Eine Einfrierung erhält eine Chance; die Rückgabe erfordert weiterhin die entsprechenden rechtlichen und operativen Schritte.

Recoveris hilft Börsen, Banken und Dienstleistern für virtuelle Vermögenswerte (VASPs), gestohlene Gelder nachzuverfolgen, Beweise aufzubereiten und Einfrierungsanfragen mit den zuständigen Plattformen und Strafverfolgungsbehörden zu koordinieren. Die verfügbaren Schritte hängen von den Vermögenswerten, ihren Transferwegen und den Handlungsmöglichkeiten der beteiligten Organisationen ab.