Wer hat FTX gehackt? Neueste On-Chain-Einblicke schaffen eine neue Wendung

Der in Schwierigkeiten geratene Kryptowährungsbörse wurde am 12. November gehackt, nur Stunden nachdem sie den freiwilligen Konkurs nach Chapter 11 erklärt hatte. Der CEO von FTX, John J. Ray III, behauptete in einem Gerichtsdokument vom 17. November, dass eine unbekannte Partei mindestens 372 Millionen US-Dollar von FTX auf eine externe Wallet übertragen hat.

Auf dem offiziellen Telegram-Kanal von FTX postete ein Admin namens Rey: „Alle Gelder scheinen weg zu sein.“

Als Reaktion auf den Hack begannen Gelder, FTX durch eine zweite Wallet zu verlassen, die mit einem Know-Your-Customer-verifizierten Konto auf der Krypto-Börse Kraken verbunden war. 

Sam Bankman-Fried, der ehemalige CEO von FTX, betrieb diese Wallet und übertrug Gelder auf Anfrage der Aufsichtsbehörden, um „die Interessen der Kunden und Gläubiger zu schützen“, so einer späteren Einreichung bei der Wertpapieraufsichtsbehörde der Bahamas. Dies verhinderte, dass der erste Hacker geschätzte 200 Millionen US-Dollar an Geldern stahl.

FTX-Exploiter-Technik

Die erste Wallet, von der angenommen wird, dass sie von einem sogenannten „Black-Hat“-Hacker böswillig gehandelt wurde, begann, gestohlene Vermögenswerte in Ethereum, den DAI-Stablecoin von MakerDAO und den nativen Token der BNB Chain umzuwandeln, während gleichzeitig Gelder über eine Reihe von Cross-Chain-Token-Bridges übertragen wurden. Der Angreifer tat dies wahrscheinlich, um zu verhindern, dass seine illegalen Gewinne eingefroren werden.

Vielen ist unbekannt, dass Stablecoins wie USDC und USDT eingebaute Einfrier- und Blacklist-Mechanismen enthalten, die es ihren jeweiligen Emittenten ermöglichen, Transaktionen zu stoppen und Bargeld zu beschlagnahmen.

Der Hacker verlor aufgrund erheblicher Slippage durch den schnellen Tausch großer Mengen von Token Tausende von Dollar, da Geschwindigkeit entscheidend war. Dieser Aspekt allein deutet darauf hin, dass sich diese Wallet wahrscheinlich nicht in der Gerichtsbarkeit der bahamaischen Behörden befindet, die versuchen würden, Vermögenswerte zum Wohle der Gläubiger von FTX zu schützen. Nur ein schlechter Betreiber würde absichtlich Transaktionen verfallen lassen, um zu verhindern, dass Vermögenswerte beschlagnahmt werden.

Bevor das Geld an die Huobi-Börse gesendet wurde, schickte der Hacker auch 3.168 BNB an ein Konto, das mit einer kleinen russischen Krypto-Börse namens Laslobit verbunden ist. Was den Rest des Schatzes betrifft, begann der Hacker am 20. November, ETH in wrapped renBTC umzutauschen und über die Ren-Bridge in das Bitcoin-Netzwerk zu übertragen, nachdem er einige Tage inaktiv gewesen war.

 Als nächstes wird der Hacker wahrscheinlich einen Bitcoin-Mixing-Dienst einsetzen, um die Kette der Geldherkunft zu unterbrechen. Darüber hinaus begann der Hacker, ETH zu verkaufen, was zu einem Rückgang des Wertes der zweitgrößten Kryptowährung führte. Am 21. November begann er, zusätzliche ETH in Batches von 15.000 Token zu bewegen, was Bedenken aufwarf, dass er sich darauf vorbereiten könnte, einen weiteren Teil seines Bestands zu verkaufen.

Neue Wendung beim FTX-Hacker

Laut einer Gerichtsverfügung vom 17. November wurde ursprünglich behauptet, Bankman-Fried habe als Vertreter der bahamaischen Regierung der ursprüngliche FTX-Hacker gewesen. Umfangreichere On-Chain-Daten und Hinweise in Gerichtsunterlagen von John J. Ray III und bahamaischen Beamten haben diese Theorie jedoch in Frage gestellt.

Es scheint nun, dass die zweite Adresse tatsächlich Gelder aus FTX abgezogen hat, um die verbleibenden Vermögenswerte der Börse zu schützen. Es ist wichtig zu beachten, dass sich diese zwei Wallets in bemerkenswert unterschiedlicher Weise verhalten. Die zweite Wallet bewegte Token einfach in eine Multi-Signature-Wallet, während die erste Wallet begann, Vermögenswerte zu handeln, zu brücken und zu waschen.

Es ist immer noch unklar, wie FTX genau gehackt wurde. Einige haben die Hypothese aufgestellt, der Hacker könnte ein enttäuschter ehemaliger Mitarbeiter gewesen sein, der Zugang zu den Konten von FTX hatte, basierend auf dem Zeitpunkt des Angriffs unmittelbar nach dem Konkurs des Unternehmens.

Es ist jedoch auch möglich, dass jemand, der nicht mit FTX verbunden ist, die Instabilität im Unternehmen ausgenutzt hat, um einen Angriff zu starten. Dies könnte geschehen sein, indem Mitarbeiter dazu gelockt wurden, malwareverseuchte E-Mails zu lesen, während sie verwirrt über den Konkurs des Unternehmens waren. Diese Methode wurde in früheren hochkarätigen Hacks eingesetzt, die der nordkoreanischen, staatlich unterstützten Hackergruppe Lazarus Group zugeschrieben werden.

Weitere Details darüber, wie die Börse gehackt wurde und wer die Schuld trägt, werden wahrscheinlich auftauchen, während sich der Konkursfall für FTX entwickelt.