Angreifer transferierten am 29. Oktober rund 6,34 Milliarden US-Dollar in Kryptowährungen von mindestens elf Binance-Wallets. Sie nutzten dabei Autorisierungen, die auch nach der Aussetzung der Auszahlungen und der Abschaltung der Hot-Wallet-Dienste durch die Börse weiter funktionierten. Dark Reading berichtete, dass Binance verdächtige Aktivitäten innerhalb von Minuten erkannte, das Stoppen der Transfers aber das Widerrufen von Berechtigungen erforderte, die in der Blockchain verzeichnet waren.
Der Vorfall hat praktische Folgen für Börsen und andere Unternehmen, die Kryptotransaktionen in Echtzeit abwickeln: Die Abschaltung von Auszahlungen lässt die bestehende Befugnis eines Angreifers möglicherweise intakt. Binances Nachbetrachtung vom 3. November, die Dark Reading zitierte, besagte, dass diese Berechtigungen es Angreifern erlaubten, Vermögenswerte unabhängig von der regulären Auszahlungsinfrastruktur des Unternehmens zu bewegen.
Der Angriff lief von 20:05 UTC bis zur letzten erfassten Transaktion um 23:56 UTC, also knapp vier Stunden später. Dark Reading berichtete, dass Binance danach Vermögenswerte im Wert von etwa 2,85 Milliarden US-Dollar, die gestohlen werden sollten, eingefroren und zurückgeholt hat.
Wie die Autorisierung den Stopp überstand
Die Angreifer nutzten den EIP-7702-Mechanismus von Ethereum, der 2025 eingeführt wurde und es einem Konto erlaubt, die Ausführung an Smart-Contract-Code zu delegieren, also an Software, die auf der Blockchain läuft. Mit dieser Befugnis installierten sie einen „Sweeper“, Code, der Gelder automatisch an eine vom Angreifer kontrollierte Adresse verschiebt.
Das Blockchain-Sicherheitsunternehmen BlockAid stellte in seiner Analyse fest, dass ein zentrales Treasury-Wallet von Binance mehr als fünf Dutzend Kryptowährungen im Wert von rund 2,5 Milliarden US-Dollar hielt. Der Sweeper überwies diese Werte an eine Adresse, die wenige Minuten zuvor erstellt worden war, sodass im Wallet nur noch eine einzige ETH-Münze verblieb.
BlockAid-Mitgründer und CEO Ido Ben-Natan erklärte, dass eine EIP-7702-Autorisierung eine dauerhafte Delegation schafft. Sobald sie in der Blockchain verzeichnet ist, kann der Code des Angreifers sowohl bestehende Gelder als auch spätere Einzahlungen verschieben, bis das Wallet diese Befugnis widerruft. Die Autorisierung selbst legt weder einen Betrag noch einen Zielort fest und liegt daher außerhalb der Transaktionsdetails, die Auszahlungskontrollen normalerweise prüfen.
Große Überweisungen von anderen Wallets an dieselbe Adresse lösten interne Warnungen bei Binance aus. Die Börse ergriff Gegenmaßnahmen, doch laut Nachbetrachtung waren zusätzliche Blockchain-Transaktionen nötig, um die Autorisierungen zu widerrufen. Das Stoppen der eigenen Auszahlungsdienste hob sie nicht auf.
Kompromittierte Entwickler ermöglichten Signaturzugriff
Binances Nachbetrachtung beschrieb zwei Wege in die Systeme von Entwicklern. Ein Entwickler lud eine kompromittierte Version von Homebrew herunter, einen Open-Source-Paketmanager für Macs. Ein anderer bearbeitete im Rahmen eines gefälschten Bewerbungsgesprächs eine Software-Aufgabe, wodurch der Rechner dieses Entwicklers kompromittiert wurde.
Die Angreifer nutzten den Zugriff auf diese beiden Systeme sowie auf das System eines dritten Entwicklers, um Signaturrechte zu erlangen, also die Befugnis, Blockchain-Aktionen zu genehmigen. Sie bereiteten 50 signierte Autorisierungen vor, die auf das Wallet zielten, das Blockchain-Analysten „Binance 14“ nennen.
Die Angreifer reichten alle 50 gemeinsam ein, um den Nonce des Wallets zu bedienen, einen fortlaufenden Zähler zur Validierung von Transaktionen. Indem sie ein Fenster möglicher Zählerwerte vorbereiteten, brauchten sie nur eine einzige Autorisierung, die passte.
Dark Reading berichtete, dass das FBI den Angriff nordkoreanischen Akteuren zuschrieb, die mit TraderTraitor in Verbindung stehen. Die Behörde veröffentlichte mehr als 600 Ethereum-Adressen, 19 Bitcoin-Adressen und eine SOL-Adresse, die der Gruppe zugeordnet werden.
Avi Sambira, Vizepräsident für Nordamerika bei Sygnia, verglich das Ins-Visier-Nehmen der Entwickler mit dem ByBit-Diebstahl vom 21. Februar 2025. Sygnia stellte fest, dass Angreifer den Mac eines Safe{Wallet}-Entwicklers knapp drei Wochen vor dem Diebstahl kompromittierten und danach etwa zwei Wochen lang mit einem AWS-Token in dessen Cloud-Umgebung operierten, bevor sie die Signaturoberfläche veränderten.
Sambira sagte, Binances Offenlegung scheine mit einem ähnlichen Ablauf übereinzustimmen: von kompromittierten Endpunkten und internen Tools hin zu Zugangsdaten, Tokens oder Container-Zugriff, die die Wallet-Signierung ermöglichen. Seine weitergehende Warnung lautete, dass Entwickleridentitäten, Code-Repositories, Build- und Deployment-Pipelines für Software, Cloud-Administrationssysteme und Drittanbieter-Integrationen nur eine oder zwei Vertrauensgrenzen von der Auszahlungsbefugnis entfernt liegen können.
Eine bekannte Technik mit größeren Folgen
EIP-7702-Sweeper-Angriffe hatten bereits dokumentierte Verluste verursacht. Forschung, die im August 2026 auf dem USENIX Security vorgestellt wurde, identifizierte von Forschern der Hong Kong University of Science and Technology und zwei weiteren chinesischen Hochschulen mindestens 924 bösartige Smart Contracts, die durch den Mechanismus ermöglicht wurden, mit Verlusten von mindestens 2,3 Millionen US-Dollar.
BlockAid meldete separat Verluste von mindestens 1,1 Millionen US-Dollar über vier Vorfälle hinweg und hatte vor Ende 2026 einen Angriff in Milliardenhöhe vorhergesagt.
Experten, die Dark Reading zitierte, stellten infrage, ob Binance über ausreichende Kontrollen verfügte, um bösartige Autorisierungen zu erkennen und schnell zu deaktivieren. Die Börse betonte in ihrer Darstellung des Vorfalls Überwachung und Anomalie-Erkennung. Auf Anfragen von Dark Reading um Stellungnahme reagierte sie nicht.
Was Kryptounternehmen vorbereiten sollten
Ben-Natan empfiehlt Unternehmen, die Kryptotransaktionen abwickeln, Simulationen einzusetzen, um bösartige Regeln zu erkennen, Limits für Transaktionsbeträge und Zieladressen durchzusetzen und bei Serien großer Überweisungen Alarm auszulösen. Außerdem empfiehlt er einen vorgefertigten, getesteten Notfallschalter, der die Signierung anhält und Wallet-Auffüllungen stoppt. So wird begrenzt, was ein Sweeper abziehen kann, während Reaktionsteams dessen Befugnis widerrufen.
Sambira empfiehlt Transparenz über Identitäten und deren Berechtigungen, Infrastrukturintegrität, Verwahrung und Freigabe von Transaktionen sowie Erkennung sowohl innerhalb als auch außerhalb der Blockchain. Die reine Überwachung von Blockchain-Transaktionen erfasse den Angriff zu spät in seinem Verlauf, sagte er.
Unternehmen sollten jede Identität und jedes System erfassen, das Transaktionen initiieren, genehmigen, ändern oder ausführen kann, und sich darauf vorbereiten, diese Berechtigungen auszusetzen. Reaktionsfähigkeiten sollten den Widerruf von Identitäten und Tokens, das Anhalten von Überweisungen, die Isolierung von Wallets und die Neuerstellung kompromittierter Infrastruktur innerhalb von Minuten umfassen, wobei die Befugnis zum Handeln vorab geregelt sein sollte.
Ari Redbord, Leiter Policy für den globalen Bereich bei TRM Labs, sagte, schnelles Monitoring und Beziehungen zu relevanten Stakeholdern könnten Reaktionsteams helfen, Verluste zu begrenzen. Kryptoüberweisungen ermöglichen es Dieben, Gelder in Echtzeit zu verschieben, weshalb die Reaktionsgeschwindigkeit besonders entscheidend ist. Unternehmen sollten ihre Eindämmungsmechanismen vor einem Vorfall testen und regelmäßig üben, damit Reaktionsteams sie in den ersten Minuten eines Angriffs einsetzen können.
