Am 1. November erlitt eine unbekannte Organisation in der Europäischen Union einen massiven Krypto‑Diebstahl, der auf mehr als 106 Mio. USD geschätzt wird. Der Verlust wurde von der On‑Chain‑Forscherin ZachXBT gemeldet, die die Bewegung von USDC und USDT von mehreren Exchange‑Konten zu einer Reihe von Wallets und Diensten nachverfolgte, bevor ein Teil in die privacy‑orientierte Münze Monero (XMR) umgewandelt wurde. Noch kein Exchange oder Opfer hat die Verletzung öffentlich bestätigt, und die Identität des Angreifers bleibt unbekannt.

Wie die Gelder bewegt wurden

ZachXBTs Analyse zeigt, dass der Dieb zunächst Stablecoins – USDC und USDT – abholte und dann aggressiv USDC gegen Ether (ETH) innerhalb eines 24‑Stunden‑Fensters tauschte. Etwa 80 Mio. USD USDC wurden in elf Stunden an elf Wallets gesendet, wobei fünf dieser Wallets rund 9,6 Mio. USD in weniger als drei Minuten weiterleiteten. Das ETH wurde über Sofort‑Exchange‑Plattformen wie WellWallet und Kyrrex geleitet, und ein Teil des Wertes wurde auf andere Blockchains, einschließlich einer Tron‑Format‑Adresse, übertragen.

Umwandlung in Monero und verbleibender Pfad

Nach dem Durchlaufen der Sofort‑Exchange‑Dienste nutzte der Angreifer den Swap‑Service Wagyu, um einen Teil der Erlöse in Monero umzuwandeln. Da Monero Sender, Empfänger und Betrag verschleiert, ist das endgültige Ziel dieser Mittel schwer zu verfolgen. Das On‑Chain‑Flussdiagramm, zusammengestellt mit Input von Specter und TRM Labs, zeigt weiterhin die öffentlichen Ethereum‑Adressen, die die verbleibenden Salden halten, aber die Monero‑Strecke ist praktisch verborgen.

Attribution und Sicherheitsimplikationen

ZachXBT betonte, dass er aufgrund mehrerer Geldwäsche‑Indikatoren sehr zuversichtlich sei, dass der Diebstahl nicht mit der nordkoreanischen Lazarus‑Gruppe in Verbindung steht, die kürzlich mit einem separaten Binance‑Hot‑Wallet‑Verletzung in Verbindung gebracht wurde. Die Untersuchung stellte zudem fest, dass fünf der markierten Wallets kleinere Zahlungen von derselben Quelle Monate zuvor erhalten hatten, obwohl dies nicht klärt, wie die anfängliche Kompromittierung erfolgte. Sicherheitsexperten raten Exchange‑Nutzern, kürzliche Aktivitäten zu prüfen, unbekannte API‑Keys zu widerrufen, die Zwei‑Faktor‑Authentifizierung zu aktivieren und, wo möglich, Abhebungs­adressbeschränkungen einzurichten.

Was als Nächstes zu beobachten ist

Behörden und die beteiligten Exchanges haben nicht kommentiert, sodass der Umfang der Verletzung ungewiss bleibt. Folgemaßnahmen werden sich auf die Identifizierung des Opfers oder kompromittierter Exchanges, mögliche Beteiligung der Strafverfolgung und darauf, ob weitere Mittel aus Monero herausgeschoben werden, konzentrieren. Die Überwachung der markierten Ethereum‑Adressen und jeglicher neuer Aktivitäten auf verwandten Sofort‑Exchange‑Diensten wird entscheidend sein, um die nächsten Schritte des Angreifers zu verfolgen.