Indodax hielt 22 Mio. USD in Hot Wallets – eine einzige Sicherheitslücke leerte sechs Chains auf einmal

Indodax, Indonesiens größte Kryptowährungsbörse mit mehr als 6 Millionen Nutzern, betrieb Hot Wallets – internetverbundene Wallets, die zur Abwicklung alltäglicher Auszahlungen genutzt werden – und hielt darin zweistellige Millionenbeträge über mehrere Blockchains hinweg. Am 11. September 2024 setzten Angreifer mehr als 150 verdächtige Transaktionen durch und leerten rund 22 Millionen US-Dollar: etwa 14,6 Millionen US-Dollar in ERC-20-Token, 2,58 Millionen US-Dollar in Polygon-Assets, 2,4 Millionen US-Dollar in Tron, 1,42 Millionen US-Dollar in Bitcoin und kleinere Beträge in Ethereum auf Optimism.

Indodax nahm noch am selben Tag seine Web- und Mobile-Apps offline und bezeichnete dies als „vollständige Wartung“; den Nutzern wurde mitgeteilt, ihre verbleibenden Guthaben seien weiterhin vollständig gedeckt. Blockchain-Forensikfirmen, die die gestohlenen Gelder verfolgten – darunter Cyvers, SlowMist und PeckShield –, erklärten, das Angriffsmuster und die Art, wie die Erlöse durch Swaps in ETH, TRON, Polygon und Bitcoin gewaschen wurden, ähnelten stark der nordkoreanischen Lazarus Group, jener Gruppierung, der auch die Hacks der Börsen WazirX und Bybit zugeschrieben werden. Keine Partei hat die Verantwortung übernommen, und Indodax hat die Zuschreibung nicht bestätigt.

Indonesiens Derivateaufsicht Bappebti zitierte Indodax zu einer Erklärung und forderte die Kunden auf, Ruhe zu bewahren, während sie die Reaktion der Börse beobachtete. Indodax erklärte, es halte Reserven von rund 369 Millionen US-Dollar – mehr als das Zehnfache der gestohlenen Summe – und versprach, betroffene Nutzer aus diesem Polster vollständig zu entschädigen, statt den Verlust auf sie abzuwälzen.

Angreifer leerten bei einer einzigen Sicherheitslücke 22 Mio. USD in Bitcoin, Ethereum, Tron und Polygon; Indodax versprach, die Verluste aus Reserven von 369 Mio. USD zu decken.

Zweistellige Millionenbeträge lagen in Hot Wallets – über das Internet für routinemäßige Auszahlungen erreichbar – statt in der kalten, offline betriebenen Speicherung, die Börsen für den Großteil der Kundengelder nutzen.

Die Guthaben waren innerhalb dieser Hot Wallets auf sechs verschiedene Blockchains verteilt, sodass ein einziger kompromittierter Zugangspunkt Bitcoin-, Ethereum-, Tron- und Polygon-Bestände im selben Transaktionslauf leeren konnte.

Mehr als 150 Transaktionen gingen hinaus, bevor Indodax dies bemerkte und seine Plattform offline nahm – ein Hinweis darauf, dass die Überwachung die Sicherheitslücke erst erfasste, als die Gelder bereits unterwegs waren.

Geld, das für Auszahlungen erreichbar gehalten wird, ist Geld, das für einen Angreifer erreichbar ist. Je weniger eine Börse hot hält und je weniger Chains hinter einer Wallet stehen, desto weniger kann eine einzige Sicherheitslücke abziehen.

Indodax stellte seine Plattform nach der Wartungspause wieder her und erklärte, die Verluste der Nutzer aus eigenen Reserven zu decken. Bappebti behielt die Börse unter Beobachtung, und indonesische Rechtsexperten argumentierten, die Sicherheitslücke selbst zeige, dass Indodax die Anforderungen an die Systemzuverlässigkeit nicht erfüllt habe, die Bappebti und die OJK von lizenzierten Krypto-Plattformen verlangen.