KuCoin Börsen-Kompromittierung

Am 25. September 2020 entdeckte die Singapur-basierte Börse KuCoin unautorisierte Outflows aus ihren Hot Wallets. Die Gesamtverluste stabilisierten sich bei rund 281 Millionen $ in BTC, ETH und Dutzenden ERC-20-Tokens — damals der größte Börsen-Hack seit Coincheck.

Was geschah

KuCoins CEO Johnny Lyu bestätigte später, dass Private Keys, die die betroffenen Hot Wallets kontrollierten, kompromittiert worden waren. Der genaue Kompromittierungs-Mechanismus wurde nicht öffentlich offengelegt, aber Chainalysis schrieb die Operation später Lazarus Group zu, basierend auf TTPs einschließlich der Nutzung von dezentralen Börsen und DeFi-Mixing-Diensten zur Geldwäsche — eine bedeutende Evolution gegenüber früheren Lazarus-Geldwäsche-Routen, die auf zentralisierte Mixer angewiesen waren.

Der Angreifer bewegte gestohlene Tokens direkt auf angreifer-kontrollierte Adressen und begann sofort, sie auf Uniswap und anderen DEXs in Volumina zu swappen, die On-Chain-Preise für mehrere kleinere ERC-20s kurzzeitig verzerrten.

Folgen

KuCoins Wiederherstellung war die erfolgreichste Reaktion auf einen großen Börsen-Hack:

• 222 Mio. $ (78 %) wurden durch Koordination mit Token-Issuern wiederhergestellt, die betroffene Token-Supplies einfroren und neu ausgaben, um Halter zu entschädigen.
• 17,4 Mio. $ (6 %) wurden durch Kooperation mit Strafverfolgung und Security-Firmen wiederhergestellt, die gestohlene Gelder verfolgten und beschlagnahmten.
• Die verbleibenden rund 41,5 Mio. $ (rund 16 %) wurden durch KuCoins Versicherungsfonds und Unternehmens-Reserven gedeckt.

Nach Lyus eigener Rechnung 2021 wurden 100 % der Kundenbestände wiederhergestellt.

Warum es wichtig ist

KuCoin war die erste große Demonstration, dass der Token-Issuer-Freeze-and-Reissue-Mechanismus als Wiederherstellungs-Werkzeug funktionieren konnte. Viele ERC-20-Tokens — insbesondere solche mit Admin-Keys — froren die gestohlene Supply freiwillig ein und gaben Replacement-Tokens an KuCoin aus. Das schuf das Wiederherstellungs-Playbook, das seither bei vielen kleineren Vorfällen genutzt wird, wurde aber auch zu einer umstrittenen Governance-Frage: Wenn ein Token eingefroren und neu ausgegeben werden kann, kann er auch zensiert werden.