BSC Token Hub-angrebet: 570 millioner dollars stjålet fra BNB Chain

Sagen kort

Den 4. oktober 2022 lykkedes det en eller flere ukendte angribere at stjæle cirka 2 millioner BNB-tokens fra BSC Token Hub, en cross-chain bridge der forbinder Binance Beacon Chain med BNB Chain. Den samlede værdi af de stjålne tokens blev på tidspunktet for angrebet opgjort til cirka 570 millioner USD. Sagen betragtes som uopklaret, og ingen er offentligt identificeret eller tiltalt i forbindelse med hændelsen. KrimiNyt følger sagen løbende.

Forbrydelsen

BSC Token Hub fungerer som en digital bro, der gør det muligt at overføre kryptovaluta mellem to forskellige blockchains i Binance-økosystemet: Binance Beacon Chain og BNB Chain. Denne type infrastruktur – kaldet en cross-chain bridge – er afgørende for likviditeten på tværs af netværkene, men har vist sig at udgøre et sårbart led i den digitale finansielle infrastruktur.

Angriberen identificerede og udnyttede en sårbarhed i den smart contract, der styrer BSC Token Hub. Smart contracts er selveksekverende programmer på en blockchain, der automatisk gennemfører transaktioner på baggrund af forudprogrammerede regler. En fejl i sådanne kontrakter kan – som det skete her – give en ondsindet aktør mulighed for at manipulere systemet til at frigive midler uden den nødvendige autorisation.

Ved at udnytte denne sårbarhed formåede angriberen at fraræne BNB Chain-økosystemet cirka 2 millioner BNB-tokens, svarende til en samlet værdi af cirka 570 millioner USD på transaktionstidspunktet. Reuters beskriver hændelsen som et af de mest betydningsfulde angreb mod kryptovalutainfrastruktur i 2022.

Efterforskning

Efter angrebet blev det muligt at indefryse en del af de stjålne midler. CNBC rapporterede, at cirka 100 millioner USD forblev uoprettede efter indefrysningsindsatsen. Den præcise andel af midlerne, der blev indefrosset henholdsvis uoprettet, er ikke nøjagtigt opgjort på tværs af de tilgængelige offentlige kilder.

I kryptovalutasektoren er efterforskning af denne type angreb særdeles kompleks. Blockchain-teknologiens pseudonyme karakter betyder, at transaktioner nok er sporbare på kæden, men at identificere de fysiske personer bag tegnebøgerne kræver typisk internationalt efterforskningssamarbejde samt inddragelse af kryptobørser, der kan knytte adresser til verificerede brugeridentiteter. Ingen offentlige myndigheder har på baggrund af tilgængelige kilder bekræftet en formel efterforskning med navngiven mistænkt.

The Guardian dækkede hændelsens umiddelbare følger, herunder at Binance midlertidigt suspenderede operationer på BNB Chain som reaktion på angrebet – en beslutning der i sig selv illustrerer alvoren af et angreb mod en decentraliseret infrastruktur, der ellers er designet til at fungere uden central kontrol.

The New York Times satte angrebet i en bredere kontekst og pegede på, at cross-chain bridges i denne periode var blevet et tilbagevendende mål for angribere, der søgte at udnytte kompleksiteten i de protokoller, der forbinder ellers adskilte blockchains.

Retssag og dom

Der er på nuværende tidspunkt ingen retssag, ingen offentlig tiltale og ingen dom i sagen. Ingen enkeltperson eller gruppe er offentligt identificeret som ansvarlig for angrebet mod BSC Token Hub. KrimiNyt har valgt ikke at bringe spekulationer om mulige gerningsmænd, da der ikke foreligger verificerbare oplysninger herom.

Sagen i dag

Angrebet mod BSC Token Hub den 4. oktober 2022 er fortsat uopklaret. Hændelsen er dog ikke forsvundet fra den bredere debat om sikkerheden i kryptovalutainfrastruktur. Den demonstrerede med eftertryk, at cross-chain bridges udgør et kritisk og potentielt sårbart punkt i det digitale finansielle landskab – og at selv store, veletablerede aktører som Binance og BNB Chain ikke er immune over for sofistikerede angreb.

Med et uoprettet tab på cirka 100 millioner USD og ingen kendt gerningsperson placerer sagen sig blandt de mest omtalte uopklarede kryptovalutaforbrydelser i nyere tid. KrimiNyt følger enhver verificerbar udvikling i sagen.