Börsen & Handelsplätze

[WalleWalle]

Angeblich hat Binance fast seine gesamten börseneigenen Bestände an Bitcoin (47K BTC), Eth (216K), Sol, USDT verkauft und in USDC getauscht (teilweise).

 

https://www.binance.com/en/square/post/20168381383521

https://www.binance.com/en/square/post/20168389280265

 

[WalleWalle]

Krypto-Börse Bybit aus Singapur gehacked und Ethereum gestohlen?

 

Laut Blockchain-Analyst ZachXBT wurden 401.346 ETH ($1,1 Milliarden) sowie andere Varianten von staked Ethereum (stETH, mETH) auf eine neue Wallet-Adresse transferiert. $200 Millionen davon wurden bereits auf dezentralen Börsen verkauft.... In einer Stellungnahme auf X (Twitter) erklärte CEO Ben Zhou: “Ein Hacker hat Kontrolle über eine spezifische ETH Cold Wallet erlangt und alle ETH auf eine unbekannte Adresse transferiert. Alle anderen Cold Wallets sind sicher, Auszahlungen laufen normal weiter.”

 

https://block-builders.de/bybit-gehackt-146-milliarden-entwendet-krypto-preise-fallen/

 

 

 

Not your keys, not your coins.

[WalleWalle]

Der Bybit Hack zeigt die inhärente Sicherheitsschwäche der Ethereum Architektur. Es gibt keine nativen Multisig Wallets, so dass auf Drittanbieter zurückgegriffen werden muss, hier auf "Safe". Diese Smart Contracts erlauben z.B. das Leerräumen von Wallets. Ein Wallettyp mit nativer Multisig ohne Smart Contracts wäre notwendig, so wie es bei Bitcoin gibt.

 

Zhou recounted how the attackers manipulated Bybit's signing process while maintaining the appearance of a legitimate Safe transaction. “It was a normal URL. I double-checked. It was the Safe URL from the official Safe website. We always use the official website,” Zhou said. He explained that as part of standard security measures, he verified the UI and destination address, ensuring it matched Bybit's warm wallet before approving the transfer. However, the actual signing message was altered, not to authorize a simple transfer, but instead to modify the smart contract logic of the cold wallet. “The hacker changed that transaction into upgrading or changing the Safe smart contract logic so that he gained control over the entire Ethereum cold wallet,” Zhou revealed.

 

https://www.msn.com/en-us/money/news/bybit-founder-says-14b-eth-hack-may-stem-from-safe-wallet-compromise/ar-AA1zxp77

 

Safe sucht jetzt nach der Sicherheitslücke. 

 

The Safe{Wallet} UI displayed the correct-appearing transaction information according to ByBit, yet a malicious transaction that had all valid signatures was executed onchain.

 

https://x.com/safe/status/1893105625439093094

[WalleWalle]

Der Bybit CEO sagt, dass der Hack auf Seiten der Firma Safe geschehen ist durch ein manipuliertes Java-Skript, welches eine manipulierte Transaktion an Bybit geschickt hat. Da der Multisig bei Ethereum immer einen Smart Contract darstellt, war es mit den üblichen Ledger Geräten nicht möglich, dies zu erkennen und es wurde blind signiert, ohne den Inhalt zu kennen. Natürlich hätte Bybit auch ihre Eths auf mehrere Konten aufteilen können, um den Schaden zu minimieren.

 

https://x.com/benbybit/status/1894768736084885929

 

[chirlu]

vor 2 Stunden von WalleWalle:

durch ein manipuliertes Java-Skript

 

Nicht Java, sondern Javascript; also ein Javascript-Skript. Ja, die Benennung ist anerkannt unglücklich.

[stagflation]

Jaja...

 

Und in dem gesamten System gibt es keine Sicherheitsabfragen der Art:

if amount > 10.000.000 US-$ then
    alert_managment()
    wait_for_confirmation()
end if

Andererseits: solche Sicherheitsabfragen gab es hier auch nicht. Und hier auch nicht. Also, was soll's...