BigONE Supply-Chain-Backend

Am 16. Juli 2025 verlor die Kryptobörse BigONE etwa 27 Millionen US-Dollar aus ihrer Hot Wallet — aber in einem ungewöhnlichen technischen Muster wurden keine Private Keys exponiert. Stattdessen kompromittierten Angreifer die Backend-Infrastruktur der Börse und schrieben die Risk-Control-Logik so um, dass die eigenen Systeme der Börse automatisch jede Abhebungsanforderung genehmigten, die die Angreifer ausgaben.

Was geschah

Traditionelle Börsenkompromittierungen folgen einem von zwei Mustern:

1. Private-Key-Diebstahl — Angreifer erhält Signierungs-Authority über Wallets und entzieht sie.
2. API-/Credential-Diebstahl — Angreifer nutzt autorisierte programmatische Schnittstellen mit vollen oder partiellen Signierungsrechten.

BigONE war keines von beidem. Die Angreifer erlangten Zugang zur Backend-Infrastruktur der Börse (wahrscheinlich durch eine Supply-Chain-Kompromittierung einer Abhängigkeit, eines Build-Systems oder einer CI/CD-Pipeline). Vom Backend aus modifizierten sie den Code, der BigONEs Konto-Validierungs- und Risk-Control-Logik regelte — sie ersetzten die legitimen Abhebungs-Genehmigungs-Prüfungen durch Code, der automatisch jede Abhebungsanforderung genehmigte, die mit vom Angreifer kontrollierten Kriterien übereinstimmte.

Die Signierungssysteme der Börse verarbeiteten dann die bösartigen Abhebungen über den normalen Signierungspfad unter Verwendung der legitimen Private Keys — weil aus Sicht des Signierungssystems die Abhebungen ordnungsgemäß von der (kompromittierten) Risk-Control-Logik autorisiert worden waren.

Gesamt entzogen: ~27 Mio. USD über mehrere Chains, bevor BigONE die Anomalie erkannte und Abhebungen stoppte.

Folgen

• BigONE deckte alle Kundenverluste aus seinem Versicherungsreservefonds.
• Bounty-Programm angekündigt: bis zu 8 Millionen US-Dollar an Belohnungen für Hilfe bei der Identifizierung der Angreifer oder der Rückgewinnung der Mittel.
• Die Börse pausierte Abhebungen, während sie die Backend-Integrität wiederherstellte und die Infrastruktur neu auditierte.
• Keine öffentliche Zurechnung an einen spezifischen Threat Actor; das Supply-Chain-Muster passt zu mehreren jüngsten Operationen gegen Börseninfrastruktur-Anbieter.

Warum es wichtig ist

BigONEs Vorfall ist einer der saubersten Fälle dafür, warum Backend-Code Teil der Custody-Vertrauensgrenze ist. Die Signierungs-Schlüssel einer Börse können im Cold Storage sein; ihre HSMs können perfekt konfiguriert sein; ihre API-Keys können strenge Velocity-Limits haben — und all diese Schutzmaßnahmen können umgangen werden, indem der Code umgeschrieben wird, der entscheidet, welche Signierungsaktionen zu autorisieren sind.

Die strukturelle Lektion, zunehmend zentral für Börsensicherheit 2025:

• Code-Integritätskontrollen (signierte Deployments, kryptografische Verifikation laufender Binaries, Immutable Infrastructure) sind so wichtig wie Key-Management-Kontrollen.
• Privilegierte Backend-Code-Änderungen müssen derselben Genehmigungsdisziplin unterliegen wie Wallet-Operationen — Multi-Party-Review, Off-Band-Verifikation, Audit-Trails.
• Supply-Chain-Risiko erstreckt sich über die expliziten Anbieterbeziehungen hinaus auf jede Abhängigkeit, jedes Build-Tool und jede Entwicklerumgebung, die Produktionscode berührt.

BigONEs Reaktion — Versicherungsfonds + Bounty + Customer-Whole-Policy — ist das, worauf sich die Branche als minimal glaubwürdige Reaktion auf eine große Börsenkompromittierung geeinigt hat. Die Lektion auf Asset-Klassen-Ebene: Vertrauen in eine Börse ist 2025 mehr eine Funktion davon, wie sie auf Vorfälle wie diesen reagiert, als davon, ob sie sie hat.