WORLDTECHBinance: Angreifer leeren Hot Wallets über Entwicklerlaptop und EIP-7702
Angreifer haben am 29. Oktober 2026 Hot Wallets von Binance auf mehreren Blockchains geleert. Die vorläufige Untersuchung der Börse führt den Einbruch auf den Laptop eines DevOps-Ingenieurs zurück. Die geschätzten Bruttoabflüsse liegen zwischen 3,3 und 6,3 Mrd. US-Dollar, eine verifizierte Summe hat Binance bislang nicht veröffentlicht.
Einstieg über einen DevOps-Arbeitsplatz
Die vorläufigen Erkenntnisse von Binance nennen als Ausgangspunkt einen kompromittierten Laptop eines DevOps-Ingenieurs. Von diesem Gerät aus gelangte der Angreifer zu einem Service-Container und reichte Abhebungen ein, die nie genehmigt waren. Die Börse hat inzwischen weitere Angriffspunkte ausgemacht, erklärt aber, sie habe keinerlei Hinweise auf einen Abfluss privater Schlüssel.
Dem berichteten Ablauf zufolge verschaffte sich der Angreifer zunächst dauerhaften Zugang zu einer Workstation mit Deployment-Rechten und Signierfähigkeit. Statt einen bestehenden EIP-7702-Vertrag zu kompromittieren, nutzte er den Ethereum-Standard EIP-7702, um eine neue Autorisierung zu setzen. Eine solche Autorisierung ist eine signierte Nachricht, die Vertragscode einem extern gesteuerten Konto zuweist, sodass dieser Code bei jedem Aufruf der Wallet läuft. Hier wurde die primäre Hot-Wallet-Adresse Binance 14 an einen schädlichen Vertrag delegiert.
Mittel fließen binnen Minuten ab
Drei Minuten nach der Delegierung rief ein vom Angreifer kontrollierter Vertrag die Hot Wallet auf, führte seinen schädlichen Code aus und bewegte 167.464 ETH sowie 1,615 Mrd. US-Dollar in USDT ab. Danach leerte der Angreifer 780 Mio. USDC aus sekundären Hot Wallets; diese Mittel stammten aus Hot Wallet 34, die ebenfalls Binance 14 gehört.
Die Delegierung ermöglichte es einer vom Angreifer kontrollierten Adresse, die Wallet einschließlich neuer Einzahlungen zu leeren, und dieser Zugang wurde mehr als eine Stunde später erneut genutzt. Eine Transaktion trug 50 Autorisierungen, sodass mindestens eine bei der Verarbeitung gültig bliebe. Schätzungen zufolge entfallen rund 450 Mio. US-Dollar der Bruttoabflüsse auf ETH, dazu kommen Milliardenbeträge in USDT und USDC.
Vorbereitung und Geldwäsche der Erlöse
Dem berichteten Ablauf nach bereitete der Angreifer die Tat im Voraus vor: Er setzte am selben Tag einen Vertrag ein, finanzierte sich über Tornado Cash und übte auf Testwallets. Berichtete Bitcoin- und Tron-Bewegungen lassen sich nicht durch EIP-7702 erklären.
Chainalysis meldete Geldwäschemuster, die man bisher nicht gesehen hatte: Gestohlene Mittel kreisten wiederholt zwischen Adressen und kehrten oft in zuvor genutzte Wallets zurück, was auf Automatisierung hindeuten könnte. Die Firma beobachtete zudem, dass sich die Gelder mit Erlösen des Bitget-Exploits des Vormonats vermischten, der bereits nordkoreanischen Akteuren zugeschrieben wird. Berichte führen den Binance-Angriff auf die nordkoreanische Lazarus-Gruppe zurück, dieselbe, die hinter dem Bybit-Hack von 2025 steht.
Ausmaß im Vergleich zum Bybit-Hack
Beide Enden der geschätzten Spanne übersteigen den Bybit-Hack vom Februar 2025 mit 1,5 Mrd. US-Dollar. Rund 2,8 Mrd. US-Dollar wurden von Stablecoin-Emittenten und anderen eingefroren. Die Analyse des Angriffspfads durch Fireblocks beschreibt ein strukturelles Risiko, das vielen Web3-Infrastrukturen gemeinsam ist: Signierbefugnis, die von privilegierten Entwicklerrechnern aus erreichbar ist, ohne eine zweite kryptografische Schranke.
Offene Fragen
- Wie hoch ist der verifizierte Gesamtschaden, da Binance keine Summe veröffentlicht hat?
- Bestätigt die Untersuchung die weiteren Angriffspunkte, die Binance festgestellt hat?
- Wie viel der rund 2,8 Mrd. US-Dollar eingefrorener Mittel zurückgeholt wird?