Binance-Hack rückt Ethereums EIP-7702 und die Verwahrung durch Börsen ins Visier

Binances Darstellung des Angriffs

Binance-Co-CEO Richard Teng sagt, die Kryptowährungsbranche sollte den Angriff untersuchen, der als Binance-Hack im Umfang von 6,3 Milliarden US-Dollar beschrieben wird. Im Gespräch mit CNBC am Dienstag sagte er, Binance habe einen ausführlichen Bericht veröffentlicht, damit andere Branchenakteure aus dem Vorfall lernen könnten. Seine Darstellung zeichnet den Vorfall nicht als einzelnen, plötzlichen Einbruch, sondern als eine über Monate entwickelte Kampagne, die schließlich das System erreichte, das Wallet-Transaktionen autorisiert.

Teng verwies auf eine Zuordnung durch das FBI zu Nordkorea und beschrieb eine Abfolge, die im Juni mit einem gefälschten Entwicklertool begann. Im September hätten die Angreifer fingierte Bewerbungsgespräche geführt, sagte er. Anschließend hätten sie sich über interne KI-Tools bis zu dem System vorgearbeitet, das Wallet-Transaktionen autorisiert. Diese Details legen nahe, dass der mutmaßliche Angriffsweg mehrere Bereiche des Binance-Betriebs durchlief, bevor die Übertragung der Kryptowährung ermöglicht wurde.

Der Vorfall zeigt, wie eine technische Funktion Teil eines Diebstahls sein kann, ohne zwangsläufig der ursprüngliche Zugangspunkt zu sein. Teng sagte, die Angreifer hätten sich durch interne Systeme bewegt, bevor sie am 29. Oktober eine Ethereum-Funktion ausnutzten – nachdem Binance Auszahlungen ausgesetzt hatte. Aus den verfügbaren Angaben geht nicht jeder technische Schritt zwischen dem gemeldeten internen Zugriff und der Wallet-Transaktion hervor. Daher ist die zugesagte unabhängige Überprüfung wichtig, um den Vorfall besser zu verstehen.

Welche Rolle EIP-7702 bei dem Diebstahl spielte

Die von Forschern identifizierte Ethereum-Funktion ist EIP-7702, ein Upgrade aus dem Mai 2025, mit dem gewöhnliche Wallets Smart-Contract-Code nutzen können. Laut Gizmodo war diese Funktion an dem Angriff beteiligt. Blockaid, ein auf Blockchain-Sicherheit spezialisiertes Unternehmen, stellte fest, dass der Angreifer 50 signierte Autorisierungen in einer einzigen Transaktion bündelte. Dieser Mechanismus hilft zu erklären, wie die Funktion genutzt wurde, belegt für sich genommen aber nicht, dass das Upgrade eine Schwachstelle enthält.

Berichten zufolge wurden Gelder rasch bewegt, obwohl Binance Auszahlungen bereits ausgesetzt hatte. Teng sagte, auf Ethereum habe eine Wallet rund 167.464 ETH und 1,6 Milliarden US-Dollar in Tether verloren. Ein ausführlicher Bericht über den Vorfall besagte, dass Binance die Delegierung fast vier Stunden später aufhob. Diese Zahlen beziehen sich auf die Vermögenswerte in der gemeldeten Wallet und den Zeitpunkt dieser Aufhebung; sie sollten nicht als vollständige Darstellung aller Verluste oder der Wiederbeschaffung verstanden werden.

Der Ethlabs-Forscher Derek Chiang argumentierte, EIP-7702 sei nicht fehlerhaft, räumte jedoch ein, dass die Funktion den Diebstahl schneller und effizienter gemacht habe. Diese Unterscheidung ist wichtig: Eine Funktion kann nützliche Möglichkeiten bieten und dennoch beeinflussen, wie ein Exploit abläuft, wenn Angreifer die erforderliche Autorisierung erhalten. Aus der Quelle geht weder hervor, dass gewöhnliche Nutzer des Upgrades ins Visier genommen wurden, noch wird darin ein Fehler in der Funktion selbst benannt.

Was der Vorfall über Verwahrungsrisiken aussagt

Der Bericht wirft eine separate Frage dazu auf, wer Transaktionen signieren kann und wie diese Signiersysteme geschützt sind. Teng sagte, die Angreifer hätten das System erreicht, das Wallet-Transaktionen autorisiert, während Chiangs Einschätzung den Blick auf die Art der Nutzung des Features und nicht auf einen inhärenten Fehler lenkt. Sollte eine unabhängige Prüfung bestätigen, dass Signierer kompromittiert wurden, wäre die zentrale Frage die Verwahrungsarchitektur der Börse und nicht einfach das Vorhandensein von EIP-7702.

Diese Unterscheidung ist für Kunden von Kryptobörsen relevant, weil Verwahrungssysteme steuern, wie über auf einer Plattform gehaltene Vermögenswerte verfügt werden darf. Laut Quelle müssen Nutzer von Wallets, die EIP-7702 unterstützen, darunter MetaMask, nicht in Panik geraten. Diese Einschätzung stammt jedoch von Chiang und ist kein Ergebnis der angekündigten unabhängigen Überprüfung. Der Bericht enthält keine Belege dafür, dass diese Wallet-Nutzer denselben Risiken ausgesetzt waren wie das Signatursystem von Binance.

In Tengs Schilderung waren KI-Tools Teil des Weges der Angreifer durch die interne Umgebung von Binance und kamen bei der Kampagne zum Einsatz. Ihr Auftreten liefert zusätzlichen Kontext zur geschilderten Abfolge, doch die Quelle erläutert nicht genau, wie die KI genutzt wurde, und behauptet auch nicht, dass sie den Sicherheitsvorfall eigenständig verursacht hat. Die praktische Erkenntnis aus diesem Bericht ist begrenzt: Interne Tools und Zugriffswege spielten in der Darstellung des Angriffs eine Rolle und sollten genauer überprüft werden.

Wiederherstellungsmaßnahmen und offene Fragen

Binance zufolge wurden 98 % der betroffenen Vermögenswerte wiederhergestellt, das Wallet-System neu aufgebaut, Geräte ersetzt und verknüpfte Zugangsdaten widerrufen. Diese Maßnahmen deuten auf eine Reaktion hin, die sowohl die betroffenen Vermögenswerte wiederherstellen als auch Elemente der kompromittierten Umgebung ändern oder entfernen soll. Die Quelle erläutert nicht, wie die Wiederherstellung berechnet wurde, beziffert den noch ausstehenden Betrag nicht und nennt keinen Zeitplan für den Abschluss aller Wiederherstellungsarbeiten.

Das Unternehmen erklärt außerdem, mit Strafverfolgungsbehörden und Branchenpartnern zusammenzuarbeiten, um gestohlene Gelder zurückzuverfolgen und einzufrieren. Diese Arbeit ist von der Wiederherstellung der Vermögenswerte zu unterscheiden: Die Rückverfolgung und das Einfrieren setzen voraus, dass die Gelder aufgespürt und gegebenenfalls Maßnahmen ergriffen werden, während die gemeldete Wiederherstellung Binance’ eigene Maßnahme beschreibt. Aus dem vorliegenden Bericht geht nicht hervor, wie viel der gestohlenen Kryptowährung im Rahmen dieser gemeinsamen Bemühungen eingefroren oder zurückerlangt wurde.

Die unabhängige Überprüfung bleibt ein zentraler, noch offener Teil der Geschichte. Teng hat eine solche Überprüfung zugesagt, und ihre Ergebnisse könnten klären, ob Angreifer ein Signatursystem kompromittiert haben oder ob ein Fehler in EIP-7702 selbst dazu beigetragen hat. Diese Möglichkeiten würden auf unterschiedliche Risikoquellen hindeuten, doch keine davon ist hier belegt. Bis die Überprüfung weitere Einzelheiten liefert, ist es ratsam, mit Schlussfolgerungen vorsichtig zu sein, die entweder allein dem Ethereum-Feature oder allein der Verwahrung durch die Börse die Schuld geben.

Quelle: BeInCrypto