WazirX’s dunkelste Stunde: Ein detaillierter Blick auf den $230M Hack und seine Folgen

Indische Krypto‑Nutzer haben es schwer, da die zentralisierte Krypto‑Börse (CEX) WazirX Schwierigkeiten hat, einen Wiederherstellungsplan für ihre Kunden zu finden.

WazirX ist eine der führenden Krypto‑Börsen in Indien mit einer Nutzerbasis von über 16 Millionen. Am 18. Juli wurde es um $230 Millionen gehackt.

Der Sicherheitsverstoß betraf eine der Multi‑Sig‑Wallets von WazirX. Eine Multi‑Sig‑Wallet erfordert mehrere Personen, die eine Transaktion signieren, bevor sie ausgeführt werden kann. Im Fall von WazirX hatte die Wallet fünf Signierer, um die Nutzervermögen zu sichern.

Der Angreifer entnahm $100 Millionen in Shiba Inu (SHIB), $52 Millionen in Ether, $11 Millionen in MATIC und $6 Millionen in PEPE. Laut dem Bericht vom Juni 2024 stellten diese Mittel mehr als 45 % der Gesamtrücklagen der Börse von $500 Millionen dar.

Laut dem Blockchain‑Tracker Lookonchain wandelte der Ausbeuter den größten Teil der gestohlenen Mittel in Ethereum (ETH) um. Hacker nutzen in der Regel Mixing‑Dienste wie Tornado Cash, um Token zu konvertieren, weil sie damit Transaktionsaktivitäten verschleiern können.

Der Ausbeuter hält nun mehr als 59.097 ETH, im Wert von etwa $200 Millionen, in verschiedenen Tokens. Sie haben die gestohlenen Tokens über die beliebte DEX Uniswap verkauft.

Infolge des Angriffs wurden die an der Börse gelisteten Tokens mit erheblichen Abschlägen gegenüber lokalen und globalen Preisen gehandelt, da es an Liquidität mangelte. Die Börse stoppte daraufhin den gesamten Handel sowie Krypto‑ und Fiat‑Abhebungen auf der Plattform. Es sind fast zwei Wochen vergangen, seit WazirX gehackt wurde, und die Aktivitäten bleiben pausiert.

Da alles an der Börse eingefroren ist, wird BTC/USDT bei 64.052 auf WazirX gehandelt im Vergleich zu 66.687 auf CoinDCX. Gleichzeitig wird USDT/INR bei 88.64 auf CoinDCX gehandelt, während es bei 68.40 auf WazirX liegt. Der native Token der Börse, WZX, ist seit dem Angriff um 36.24 % gefallen.

Was den Vorfall betrifft, machte die Börse eine „Diskrepanz“ zwischen den auf der digitalen Oberfläche von Liminal Custody angezeigten Informationen und dem tatsächlichen Inhalt der signierten Transaktion verantwortlich. Die Börse sagte in einem Beitrag:

“Wir vermuten, dass die Nutzlast ersetzt wurde, um die Kontrolle über die Wallet an einen Angreifer zu übertragen.”

Unterdessen machte Liminal Custody WazirX für den Angriff verantwortlich und sagte, dass seine Infrastruktur nicht kompromittiert wurde.

“Leider wurden bei drei der betroffenen Maschinen bösartige Nutzlasten in die Transaktion eingeschleust, was auf einen hochentwickelten, gut geplanten und gezielten Angriff auf eine bestimmte Gnosis Smart Contract Multi‑Sig‑Wallet hinweist.”

– Liminal auf X

Allerdings sind nicht alle mit den Erklärungen und dem Schuldzuweisungs‑Spiel zufrieden. Laut Pankaj Tanwar, einem populären Krypto‑YouTuber auf X:

“Dieser Fehler wird #Crypto in Indien jenseits aller Vorstellungskraft schädigen.”

WazirX kritisiert wegen seiner „sozialisierten Verluststrategie“

Angesichts des Verhältnisses von gestohlenen Mitteln zu den Gesamtrücklagen gibt es kaum Erwartungen, einen Teil davon zurückzuerhalten, was zusammen mit der Tatsache, dass der Ausbeuter mit Nordkorea in Verbindung gebracht wird, jede Hoffnung auf Wiederherstellung stark gedämpft hat.

Während die Börse eine Belohnung von $23 Millionen für eine Lösung ausgesetzt hat, die über 130 Einsendungen erhielt, hat sie begonnen, die Verteilung intakter Mittel zu prüfen.

Dafür prüft WazirX, 55 % der Krypto‑Bestände zurückzugeben und den Rest in USDT‑äquivalente Tokens zu sperren, unabhängig davon, ob die Tokens der Nutzer gestohlen wurden oder nicht. Das bedeutet, dass selbst Nutzer, die beim Hack keinen Verlust erlitten haben, nur Zugriff auf 55 % ihrer Vermögenswerte haben, während der Rest in Stablecoins umgewandelt und gesperrt wird.

Die Börse steht nun aufgrund dieses „Withdrawal Management Programme: Opinion Poll“ nicht nur unter genauer Beobachtung ihrer Kunden, sondern auch der gesamten Branche.

Die Umfrage wurde am 27. Juli durchgeführt, während der die  Börse eine „sozialisierte Verluststrategie“ einführte, um die Auswirkungen gleichmäßig auf alle Nutzer zu verteilen. Diese Strategie ermöglicht den Nutzern sofortigen Zugriff auf den Großteil ihrer Vermögenswerte, während sie „die Möglichkeit einer weiteren Wiederherstellung für diejenigen aufrechterhält, die zu warten wählen.“

Im Rahmen dieser Umfrage wurden die Kunden gebeten, über zwei verschiedene Optionen abzustimmen. Bei einer Option erhalten die Nutzer Zugriff auf den Großteil ihrer Mittel zum Handel, können diese jedoch auch abheben. Sie erhalten jedoch die zweite Priorität bei wiedererlangten Mitteln. Im Gegensatz dazu erlaubt die andere Option keine Abhebungen, aber die Nutzer erhalten die erste Priorität für Rückzahlungsbeträge.

Dieser Vorschlag führte dazu, dass WazirX Kritik von seinen Nutzern erhielt, wobei einer sagte: „sozialisierter Verlust, privatisierte Gewinne.“ Ein anderer fragte, warum Nutzer mit nicht gestohlenen Tokens bestraft werden sollten.

Rivalisierende Krypto‑Börsen äußerten ebenfalls ihre Meinung zu WazirX’ jüngstem Schritt, wobei CoinDCX‑Mitbegründer Sumit Gupta sagte, dass dies keine „community‑first“‑Entscheidung sei. Die Art und Weise, wie WazirX die Situation handhabt, „wird ihnen nicht gefallen“, sagte Gupta und fügte hinzu, dass es auch „die anderen Akteure des Ökosystems schädigt.“

Arjun Vijay, Mitbegründer von Giottus, sagte, die Umfrage von WazirX „sei nicht im besten Interesse des Ökosystems“, weil sie „darauf ausgelegt sei, Kunden zu zwingen“, die Option zu wählen, um Priorität bei Rückzahlungsbeträgen zu erhalten.

Unocoin‑Mitbegründer Dr. Sathvik Vishwanath teilte ebenfalls seine Enttäuschung über die Art und Weise, wie das Problem behandelt wird, und sagte, dass es die Situation „nur verschlimmert“, während das Ereignis die Krypto‑Branche bereits „in Schwierigkeiten“ gebracht hat.

WazirX verteidigte sich und sagte, die Umfrage sei nicht „rechtlich bindend“, sondern lediglich ein Schritt im Bemühen der Börse, zu verstehen, was die Kunden wollen. Die Börse wird weiterhin Ideen und Feedback von Nutzern sammeln.

Im Gespräch über den Grund für den Plan, die Verluste zu teilen, erklärte WazirX‑Vizepräsident Rajagopal Menon, dass sie andere große Börsen untersucht haben, die mit ähnlichen Situationen konfrontiert waren. Die beiden großen Hacks, die untersucht wurden, waren Mt. Gox und Bitfinex.

Nachdem Mt. Gox den Großteil der Bitcoin‑Transaktionen abwickelte, wurde es 2014 gehackt, wobei 850.000 BTC verloren gingen. In der Folge ging Mt. Gox in die Insolvenz, und erst ein Jahrzehnt später, im Juli 2024, begannen die Nutzer einen kleinen Teil ihrer ursprünglichen Bestände zu erhalten.

Dann gab es Bitfinex, das bei einem Hack 2016 119.756 BTC verlor. Die Börse bewältigte die Situation, indem sie den Verlust auf alle Nutzer verteilte, die Salden um 36 % reduzierte und ihren Kunden BFX‑Tokens gab, die ihre Verluste repräsentierten.

Weitere Optionen & auch ED‑Gelder bei WazirX festgehalten

Neben der „sozialisierten Verluststrategie“ hat die Börse weitere Optionen geprüft, darunter die Bitte um Hilfe bei Binance. WazirX wandte sich an seinen ehemaligen Partner, um seinen Kunden zu helfen, wie ein Bericht des lokalen Medienunternehmens Moneycontrol, das eine ungenannte Quelle zitierte, berichtet.

Branchenquellen sagten außerdem, dass Binance einen Überschuss der Einnahmen der Börse sowie etwa $80 Mio ihres WRX‑Tokens kontrolliert. Die Quelle wurde zitiert mit den Worten:

“Ihr Rechtsstreit ist noch im Gange. Es gibt Komponenten des Geschäfts von WazirX, die noch unter der Kontrolle von Binance stehen, einschließlich der Einnahmen – dem Überschuss davon. Auch ihr WRX‑Token ist unter deren Kontrolle. Sie haben also Binance kontaktiert und die Gespräche laufen, befinden sich jedoch noch in einer frühen Phase.”

In seinem Proof‑of‑Reserves‑Bericht vom Januar 2023 gab WazirX an, dass 90 % seiner Nutzervermögen in Binance‑Wallets gehalten werden. Einige Monate später erklärte WazirX in einem Blog‑Post, dass sein nativer Token von Binance kontrolliert wird, da Letzterer das WRX‑IEO durchführte, bei dem 108.401 BNB‑Tokens im Wert von $2 Mio verkauft wurden, deren Erlöse „von Binance eingesammelt und einbehalten wurden.“

All dies geschah, nachdem WazirX‑Mitbegründer Nischal Shetty einen öffentlichen X‑Streit mit Binance‑CEO Changpeng Zhao über wer WazirX kontrolliert. Interessanterweise erklärte die weltweit größte Börse Binance im November 2019, dass sie WazirX gekauft habe, nur damit sich die Geschichte änderte, als im Sommer 2022 indische Behörden das Mumbai‑Büro von WazirX wegen Verdachts auf Geldwäsche durchsuchten.

Als Reaktion darauf sperrte die indische Enforcement Directorate (ED) die Mittel von WazirX, und das Finanzministerium des Landes kündigte eine Untersuchung der Börse nach dem Foreign Exchange Management Act (FEMA) an.

Jetzt deuten Berichte darauf hin, dass selbst die ED fast $1,1 Millionen an beschlagnahmten Krypto‑Assets auf WazirX hatte. Diese Mittel, die in einem Korruptionsfall gegen eine Gaming‑App namens E‑Nuggets beschlagnahmt wurden, wurden nur wenige Monate vor dem Hack in die Börse transferiert.

Das indische Nachrichtenportal The Print berichtete, dass nach der Untersuchung von E‑Nuggets die ED alle lokalen Krypto‑Börsen, einschließlich WazirX und CoinDCX, bat, die Quellkonten zu finden. Dies führte zur Entdeckung der Virtual Payment Address (VPA), die zum Kauf von Krypto verwendet wurde. Infolgedessen sperrte die ED alle Mittel in 70 Krypto‑Konten, die bei ZebPay, WazirX und dem in Dubai ansässigen Binance geführt werden.

Nachdem die Behörden die Krypto übernommen hatten, eröffneten sie ein Krypto‑Konto für die ED und transferierten das gesamte Krypto‑Vermögen von WazirX, da die Börse lokal ist und die größte Nutzerbasis sowie Liquidität besitzt. Doch nun wurde WazirX gehackt und hat 45 % seiner Mittel verloren. Es wäre interessant zu sehen, ob die Behörden künftig klare Leitlinien und Unterstützung für die Branche anbieten.

Es ist nicht so, dass Hacks im Krypto‑Bereich selten sind. Im vergangenen Jahr stahlen Angreifer laut einem Chainalysis‑Krypto‑Kriminalitätsbericht $1,7 Milliarden von Krypto‑Plattformen. Während der bei solchen Angriffen gestohlene Betrag seit 2022 mehr als halbiert wurde, stieg die Anzahl solcher Angriffe von 219 im Jahr 2022 auf 231 im Jahr 2023.

Da die Krypto‑Preise in diesem Jahr allgemein gestiegen sind, sind Hacker wieder aktiv, wobei $1,48 Milliarden bis zum 24. Juni 2024 gestohlen wurden im Vergleich zu $657 Millionen zur gleichen Zeit im Vorjahr, laut TRM Labs. Allerdings machten die fünf größten Exploits bis zu 70 % des gesamten gestohlenen Betrags aus. Der Bericht sagte:

“Komprimierung von privaten Schlüsseln und Seed‑Phrasen bleibt 2024 ein Hauptangriffsvektor neben Smart‑Contract‑Exploits und Flash‑Loan‑Angriffen.”

Während also Krypto‑Hacks weiterhin stattfinden, hat die indische Regierung es versäumt, klare, etablierte Richtlinien bereitzustellen, damit diese Börsen nicht in Intransparenz operieren.

Indiens instabile & unregulierte Krypto‑Industrie 

Nach dem großen Vorfall kooperierten mehrere Börsen mit WazirX, um die gestohlenen Mittel nachzuverfolgen und Kundenvermögen wiederherzustellen. Um den Cyberangriff genauer zu analysieren, arbeitete das Unternehmen zudem mit forensischen Experten und Strafverfolgungsbehörden zusammen, um die Täter zu identifizieren und zu fassen.

Die Börse hat den Vorfall zudem dem Indian Computer Emergency Response Team (CERT‑In) gemeldet, einer Behörde, die für sicherheitsrelevante Computer‑Vorfälle zuständig ist. Im nächsten Schritt wurde ein First Information Report (FIR) eingereicht, der von der Polizei erstellt wurde, um eine offizielle Untersuchung zu beginnen.

WazirX hat den Vorfallbericht auch an die Financial Integrity Unit (FIU)-India gesendet, bei der es registriert ist und die dem Finanzministerium untersteht. Der Sicherheitsverstoß von WazirX fällt jedoch nicht in den Zuständigkeitsbereich der FIU, da die FIU Transaktionen nach dem indischen Prevention of Money Laundering Act (PMLA) überwacht. Laut Joanna Cheng, Associate General Counsel bei Fireblocks:

“Es gibt bisher keine krypto‑spezifische Regulierung in Indien, und die Branche würde von klaren regulatorischen Erwartungen in Bereichen wie Sicherheitsstandards, Risikomanagement und Verbraucherschutz profitieren. Eine regulatorische Intervention in diesem Bereich würde auch bedeuten, dass Börsen, die eine große Anzahl von Einzelhandelskunden bedienen, für ihr Handeln (oder Nicht‑Handeln) zur Rechenschaft gezogen werden.”

Die Krypto‑Industrie in Indien bleibt unreguliert. Der einzige bedeutende Schritt, der in dieser Zeit unternommen wurde, war ein Urteil des Obersten Gerichtshofs im Jahr 2020, das das Verbot der Reserve Bank of India aus dem Jahr 2018 aufhob und Banken erlaubte, Krypto‑Transaktionen von Nutzern und Börsen zu erleichtern.

Abgesehen davon hat sich die regulatorische Entwicklung von Krypto im Land nicht bewegt. Bisher wurde keine Gesetzgebung verabschiedet, um den Sektor zu regulieren, und Krypto bleibt weitgehend außerhalb des Zuständigkeitsbereichs der Behörden.

Die einzige vorhandene regulatorische Aufsicht stammt von der FIU der indischen Regierung, die mit der Aufsicht über den Handel mit virtuellen digitalen Vermögenswerten beauftragt ist. Laut einem Economic Times Bericht aus dem Mai dieses Jahres sind 47 regulierte Unternehmen im Land am Handel oder der Handhabung von Krypto‑Assets in Indien beteiligt. Dies geschah, nachdem die Regierung Offshore‑Krypto‑Plattformen daran hinderte, in Indien zu operieren, weil sie die Anti‑Geldwäsche‑Richtlinien (AML) nicht einhielten.

Obwohl es keinen regulatorischen Schutz für Indiens Krypto‑Nutzer gibt, hat die Regierung Steuern von bis zu 30 % auf Gewinne aus dem Verkauf von Krypto erhoben, wobei Verluste nicht verrechnet werden dürfen. Zusätzlich wird bei jeder Transaktion an der Quelle eine Steuer von 1 % abgezogen.

Diese Politiken haben die Branche negativ beeinflusst, wobei Krypto‑Nutzer über den Mangel an staatlicher Unterstützung klagen, der die Branche erstickt, während seit 2022 ein großer Teil ihrer Gewinne durch Steuern abgeführt wird.

Indiens Krypto‑Industrie leidet seit langem unter fehlender regulatorischer Klarheit, was zu einem Anstieg von schlechten Akteuren geführt hat. Während WazirX einem Cyberangriff ausgesetzt war, beschweren sich Nutzer auch über Börsen wie BitBNS, die Menschen betrügen.

Die bei FIU‑India registrierte Einheit, die sich als konform mit den globalen FATF‑Standards für VASPs bewirbt, erlitt 2022 ebenfalls einen Hack in Höhe von $7,5 Millionen. Seitdem agiert BitBNS zweifelhaft, indem es Nutzern erlaubt, Gelder einzuzahlen, aber keine Auszahlungen ermöglicht. Nutzer spekulieren, dass sein CEO, Gaurav Dahake, das Land bereits verlassen hat. Anfang dieses Jahres sagte Dahake in einem Interview mit The Economic Times voraus, dass BTC $100 K überschreiten wird. Die Opfer prüfen derzeit eine Klass‑Klage gegen die Börse.

Doch das ist nicht alles. Krypto‑Börsen in Indien, einschließlich CoinDCX, erlauben es Nutzern nicht, Krypto selbst zu verwahren, was völlig dem Ethos von Krypto widerspricht. Indische Krypto‑Börsen erlauben keine Krypto‑Transfers zu externen Börsen oder Wallets, wenn Nutzer Fiat‑Einzahlungen tätigen. Das verschärft das Problem weiter, weil Nutzer nicht selbst verwahren können, selbst wenn sie es wollen, und das bedeutet, dass sie sich nicht vor Ereignissen wie dem WazirX‑Hack schützen können.

Die Dinge könnten sich schließlich ändern, da das bevölkerungsreichste Land der Welt Berichten zufolge plant, vor September ein Diskussionspapier zu veröffentlichen, das seine politische Haltung zu Krypto darlegt. Die Regierung hat jedoch bereits mehrfach versucht, Krypto zu regulieren, aber bisher keine konkreten Schritte unternommen, im Gegensatz zu den klaren Richtlinien, die Regulierungsbehörden weltweit eingeführt haben. Selbst die USA haben ihr erstes Bitcoin‑Spot‑ETF genehmigt, das seitdem Millionen von Dollar an Gesamtzuflüssen angezogen hat.

Bis die indische Regierung also der Krypto‑Branche die nötige Aufmerksamkeit und regulatorische Klarheit gibt, werden lokale Krypto‑Nutzer und der Sektor weiterhin leiden.

Klicken Sie hier für eine Liste der fünf besten Krypto‑Börsen.