Fireblocks führt Binance-Hack auf eine EIP-7702-Signatur zurück

Das Sicherheitsunternehmen Fireblocks erklärt, dass der rekordverdächtige Diebstahl aus den Hot-Wallets von Binance auf eine einzige signierte EIP-7702-Autorisierung zurückzuführen ist. Laut dem Unternehmen übertrug diese Signatur die Kontrolle über eine zentrale Ethereum ↗ 0.62%-Hot-Wallet an einen bösartigen Vertrag, der daraufhin innerhalb weniger Minuten Milliarden von Dollar abzog. Die Analyse ergänzt die erste Erklärung von Binance, die auf den kompromittierten Laptop eines DevOps-Ingenieurs verwies. Die Börse hat inzwischen mitgeteilt, dass ihre Untersuchung mehr als einen Einbruchspunkt ergeben hat.

Wie der Angriff funktionierte

In seiner Analyse des Exploits erklärte Fireblocks, dass Angreifer am 29. Oktober 2026 Binance-Hot-Wallets über mehrere Blockchains hinweg leerten. Die Bruttoabflüsse werden auf 3,3 bis 6,3 Milliarden Dollar geschätzt. Das Unternehmen stellte fest, dass der Angreifer nicht in einen bestehenden EIP-7702-Vertrag eingebrochen ist. Stattdessen erstellte er eine neue Autorisierung, die die als "Binance 14" bekannte Hot-Wallet auf den vom Angreifer kontrollierten Code umleitete. Innerhalb von drei Minuten sendete dieser Code 167 464 ETH und 1,615 Milliarden Dollar in Tether und entnahm anschließend 780 Millionen USD Coin aus verknüpften sekundären Wallets.fireblocks.com

Fireblocks gab an, dass der Angreifer den Vorfall im Voraus geplant hatte. Er stellte früher am Tag einen Vertrag bereit, bezahlte die Gas-Gebühren mit Geldern, die über Tornado Cash geleitet wurden, und übte an Test-Wallets. Eine Transaktion enthielt 50 Autorisierungen, um sicherzustellen, dass mindestens eine bei der Verarbeitung gültig wäre. Das Unternehmen merkte an, dass der Angriff Ethereum, Arbitrum ↘ 2.68% und Avalanche ↘ 1.37% betraf, EIP-7702 jedoch die gemeldeten Bewegungen bei Bitcoin ↘ 0.30% und Tron ↘ 6.25% nicht erklären kann.fireblocks.com

Die Darstellung von Binance

Spät am 29. Oktober teilte Binance auf X mit, dass der Vorfall "möglicherweise den kompromittierten Laptop eines DevOps-Ingenieurs involviert, der einem Angreifer Zugriff auf einen Dienstcontainer und das Einreichen unbefugter Auszahlungstransaktionen ermöglichte." Man habe "keine Beweise für ein Leck privater Wallet-Schlüssel" gefunden, wie Mashable berichtete. Co-CEO Richard Teng sagte später, der Angreifer habe EIP-7702 genutzt, um Ausführungsgenehmigungen für eine Hot-Wallet zu erhalten, und die Delegation sei "nicht durch unsere normalen Genehmigungskontrollen gegangen". Binance erklärte später, die Untersuchung habe "zusätzliche Einbruchspunkte" aufgedeckt.bbc.co.uk+2

Zuschreibung und Wiederherstellung

TRM Labs machte die nordkoreanische Hackergruppe TraderTraitor verantwortlich und gab an, dass etwa 6,36 Milliarden Dollar Binance-Wallets auf 10 Blockchains verließen, das meiste davon innerhalb von etwa 20 Minuten. Emittenten wie Circle ↘ 9.31% und Tether froren etwa 3 Milliarden Dollar ein. TRM erklärte, weitere 2,4 Milliarden Dollar seien "außerhalb der Reichweite jedes Emittenten" bewegt worden, und Binance hat zugesagt, die Verluste der Kunden zu decken.nytimes.com+1

Fireblocks schlussfolgerte, die wichtigste Lektion sei, dass "kein einzelner Entwickler oder DevOps-Rechner jemals die einseitige Befugnis haben sollte, Wallet-Berechtigungen bereitzustellen oder zu ändern".fireblocks.com