Das Blockchain-Sicherheitsunternehmen Blockaid zufolge haben wahrscheinlich kompromittierte Signiersysteme den Diebstahl von rund 6,3 Milliarden Dollar bei Binance ermöglicht, während Ethereums EIP-7702-Upgrade den Angreifern möglicherweise half, bestimmte Sicherheitsprüfungen zu umgehen.

Ido Ben-Natan, Mitgründer und CEO von Blockaid, sagte gegenüber Cointelegraph am Freitag, die Angreifer hätten die Gelder auch ohne EIP-7702 stehlen können.

„Das 7702-Upgrade ist ein Weg, dies in einem einzigen Durchgang zu erledigen und vielleicht bestimmte Prüfungen zu umgehen, die sie sonst hätten“, sagte Ben-Natan und erklärte, dass die Angreifer andernfalls mehrere Transaktionen benötigt hätten.

Binance bestätigte am Freitag den Hack im Wert von 6,3 Milliarden Dollar – den größten der Krypto-Geschichte – und sagte zu, alle Verluste zu übernehmen, ein Versprechen, das betroffene Nutzer vor Verlusten bewahren soll. Die Börse erklärte, sie habe später weitere Angriffspunkte entdeckt, nachdem sie anfangs einen kompromittierten Laptop eines Ingenieurs verdächtigt hatte.

Sicherheitsbedenken zu EIP-7702 bestehen schon länger als der Binance-Hack

Ethereum führte den Ethereum Improvement Proposal 7702 (EIP-7702) im Mai 2025 als Teil des Pectra-Upgrades ein, das gewöhnlichen Wallets die Nutzung von Smart-Contract-Funktionen wie gebündelten Transaktionen und gesponserten Gasgebühren ermöglicht. Nach dem Standard kann eine Wallet die Kontrolle an Smart-Contract-Code delegieren, sodass eine einzige Autorisierung mehrere Überweisungen abdecken kann statt nur einer Transaktion nach der anderen – die Fähigkeit zum „einen Durchgang“, die Ben-Natan beschrieb.

Sicherheitsbedenken traten bereits nach wenigen Wochen auf. Im Mai 2025 berichtete das Krypto-Handelsunternehmen Wintermute, dass die meisten frühen EIP-7702-Delegationen auf bösartige Contracts verwiesen, die darauf ausgelegt waren, kompromittierte Wallets automatisch zu leeren.

Die Risiken kehrten im September 2025 zurück, als Inhaber von World-Liberty-Financial-Token (WLFI) Verluste meldeten, die mit bösartigen EIP-7702-Delegationen in Verbindung standen.

Das Ethereum-Community-Mitglied VEER verwies auf Sicherheitswarnungen, die bereits 2024 während der Diskussionen über EIP-7702 geäußert worden waren. VEER sagte später, der Binance-Angriff erscheine umfassender als eine einzelne bösartige Signatur, aber EIP-7702 habe den Angreifern „einen praktischen Leeren-Knopf auf Ethereum“ gegeben.

Kompromittierung des Signiersystems vermutet

Binance-CEO Richard Teng sagte, die Ermittler hätten keine Hinweise darauf gefunden, dass private Wallet-Schlüssel geleakt worden seien.

Ben-Natan zufolge könnten die Angreifer den Computer eines kompromittierten Entwicklers genutzt haben, um Zugang zu Binances Wallet-Signier-Infrastruktur zu erhalten.

„Letztendlich gelangten sie in eine Position, in der sie Transaktionen bei einem sehr wahrscheinlich sehr sicheren Signierer einreichen konnten, der die Verwahrung einer der Hot Wallets von Binance innehat“, sagte er. „Die Erkenntnis ist, dass der Signierer am Ende eine Transaktion signiert hat, die er nicht hätte signieren dürfen.“

Cointelegraph veröffentlicht Live-Updates, während Binance weitere Angriffspunkte im Zusammenhang mit dem Hack im Wert von 6,3 Milliarden Dollar aufdeckt.

Ivo Georgiev, Mitgründer und CEO des Ethereum-Wallet-Anbieters Ambire, sagte, EIP-7702 habe bei dem Angriff kaum eine Rolle gespielt, da die Hacker bereits die Möglichkeit hatten, Transaktionen zu autorisieren. Er erklärte, die Angreifer hätten die Gelder auf anderen Wegen abziehen können, warnte jedoch, dass Börsen-Ingenieure möglicherweise übersehen könnten, eine bösartige EIP-7702-Delegation nach der Wiedererlangung der Kontrolle über ihre Systeme zu widerrufen. Anders als bei einer einzelnen Transaktionsfreigabe bleibt eine Delegation bestehen, bis sie explizit widerrufen wird – ein Detail, das die Bereinigung nach einem Vorfall leicht übersehen lässt.

„Das ist ein Problem mit EIP 7702, es wird einfach sehr, sehr schlecht verstanden“, sagte Georgiev.

Ben-Natan warnte, dass ähnliche Angriffe auf Signiersysteme auch andere Börsen bedrohen, und erklärte, dass Transaktionssimulationen helfen könnten, bösartige Anfragen zu erkennen, bevor sie genehmigt werden. Die Aufmerksamkeit richtet sich nun auf zwei von den Führungskräften genannte Punkte: ob Binances laufende Überprüfung weitere Angriffspunkte aufdeckt und ob Börsen und Wallet-Anbieter Delegationswiderrufe und Transaktionssimulationen zu Standardbestandteilen ihrer Sicherheitsabläufe machen.