Binance bestätigte am Freitag, dass Angreifer über mehrere Blockchains hinweg rund 6,3 Milliarden US-Dollar erbeutet haben – laut dem Börsenbetreiber der größte Diebstahl in der Geschichte der Kryptowährungen. Das Unternehmen hat zugesagt, alle Verluste auszugleichen.

Allein auf Ethereum wurden rund 2,5 Milliarden US-Dollar in weniger als vier Minuten mithilfe der EIP-7702-Funktion des Netzwerks aus einer Binance-Wallet abgezogen; etwa 3 Milliarden US-Dollar der betroffenen Assets wurden inzwischen eingefroren.

Der Börsenbetreiber erklärte, die erste Untersuchung deute darauf hin, dass bei dem Sicherheitsvorfall möglicherweise ein kompromittierter Laptop eine Rolle spielte, doch eine anschließende Untersuchung habe zusätzliche Angriffspunkte aufgedeckt.

Investigation update: Our initial investigation suggested that the security incident may have involved a compromised laptop, however our subsequent investigation has uncovered additional points of breach. This was a complex attack, and we are doing all we can in coordination… pic.twitter.com/FQQ3vKT6GU

— Binance (@binance) October 30, 2026

Abzug von 2,5 Milliarden Dollar in vier Minuten

Der Angreifer nutzte EIP-7702, eine Funktion, die im Mai 2025 als Teil von Ethereums Pectra-Upgrade eingeführt wurde, um am Donnerstag rund 2,5 Milliarden US-Dollar in Ether und Token in weniger als vier Minuten aus einer Binance-Wallet zu bewegen.

Die meisten Ethereum-Wallets werden von einem einzigen privaten Schlüssel kontrolliert und können Regeln wie Ausgabenlimits nicht durchsetzen. EIP-7702 ermöglicht es einer gewöhnlichen Wallet, Code von einem Smart Contract zu übernehmen, indem sie eine kurze Nachricht signiert, die als Autorisierung bezeichnet wird. Die Funktion wurde entwickelt, um Wallets das Sammeln von Zahlungen zu erleichtern und Dritten die Übernahme von Transaktionsgebühren zu ermöglichen.

Wenige Wochen nach Einführung des Upgrades stellte die Handelsfirma Wintermute fest, dass die meisten frühen Delegierungen auf „Sweeper“-Skripte verwiesen – Programme, die das Guthaben einer Wallet an einen Dieb weiterleiten. Dies war ein frühes Zeichen dafür, dass die Funktion für Diebstähle missbraucht wurde.

How the Binance hack worked: The attacker exploited EIP-7702 – an Ethereum Pectra upgrade That lets a regular wallet temporarily act as a smart contract with a valid private key signature. Hacker pre-collected 50 EIP-7702 authorizations with sequential nonces Not knowing the… pic.twitter.com/Cq5lv8Qwc7

— philarekt (@philarekt) October 29, 2026

So verlief der Angriff

Der Angreifer begann am Mittwoch, seine Haupt-Wallet über Tornado Cash, einen Krypto-Mixing-Dienst, zu finanzieren. Er testete den Plan an eigenen Wallets und setzte am Donnerstag gegen 16:00 UTC einen Sweeper-Contract ein, der so konfiguriert war, dass nur die Wallet des Angreifers ihn betreiben konnte.

Um 20:20 UTC sendete der Angreifer eine einzelne Transaktion mit 50 Autorisierungen. Jede war von einer Wallet signiert, die auf Etherscan als „Binance 14“ bezeichnet wird, und trug einen anderen Transaktionszählerwert (Nonce), sodass eine davon passen würde, während die Wallet weiterhin Abhebungen sendete. Ethereum akzeptierte die Autorisierung mit der Nummer 18.914.809 und ignorierte die anderen 49.

Um 20:24 UTC bewegte der Angreifer etwa 167.464 ETH und 63 Token, darunter rund 1,6 Milliarden USDT. Weitere Kundeneinlagen wurden um 21:04 und 21:44 UTC aus der Wallet abgeschöpft. Nach Angaben von TRM Labs nutzte der Angreifer die Wallet außerdem, um eine separate Binance-Wallet anzuweisen, 823 Millionen USDC zu senden. Die Berechtigung wurde erst um 00:10 UTC am Freitag widerrufen – fast vier Stunden nach der ersten Transaktion.

Der Diebstahl ging über Ethereum hinaus

Die Operation beschränkte sich nicht auf Ethereum. Der Angreifer bewegte außerdem 18.270 Bitcoin, Hunderte Millionen XRP sowie Mittel auf Solana und Tron. Diese Netzwerke nutzen EIP-7702 nicht, und die Mittel flossen durch gewöhnliche signierte Transfers ab, so TRM Labs.

Untersuchung deutet auf kompromittierten Laptop hin

Binance-Co-CEO Richard Teng sagte, erste Erkenntnisse hätten auf einen kompromittierten Laptop eines DevOps-Ingenieurs hingedeutet. Der Angriff sei keine einzelne „One-Click“-Aktion gewesen, und es gebe keine Hinweise darauf, dass private Schlüssel durchgesickert seien.

Binance teilte später mit, die Ermittler hätten zusätzliche Angriffspunkte gefunden; das Unternehmen nannte diese jedoch nicht und erklärte nicht, wie der Angreifer an die Signaturen gelangt sei.

Sicherheitsfirmen äußern sich

Sicherheitsfirmen sagten, das Upgrade habe den Hack nicht verursacht, möglicherweise aber den Angreifern geholfen, Kontrollen zu umgehen. Ido Ben-Natan, CEO des Sicherheitsunternehmens Blockaid, erklärte, die Angreifer hätten die Mittel auch ohne EIP-7702 stehlen können, die Funktion habe es ihnen jedoch ermöglicht, dies in einem einzigen Zug zu tun, und möglicherweise geholfen, einige Kontrollen zu umgehen. Ivo Georgiev, CEO des Wallet-Anbieters Ambire, zeichnete ein gegenteiliges Bild: Die Funktion habe kaum einen Unterschied gemacht, da die Hacker Transaktionen ohnehin bereits autorisieren konnten.

Da die Operation auch gewöhnliche signierte Transfers auf Netzwerken umfasste, die EIP-7702 nicht nutzen, lässt der Vorfall nicht den Schluss zu, dass die Ethereum-Funktion allein für den vollständigen Diebstahl verantwortlich war. Die zusätzlichen Angriffspunkte und der weiterhin unveröffentlichte Angriffsweg lassen den Umfang möglicher Sicherheitsmaßnahmen offen.

Binance sagt Ausgleich der Verluste zu

Binance teilte mit, dass etwa 3 Milliarden US-Dollar der betroffenen Assets eingefroren wurden. Der Börsenbetreiber plant, die Verluste mit seinem SAFU-Notfallfonds und eigenen Mitteln auszugleichen. Der vollständige Angriffsweg wurde noch nicht veröffentlicht. Weitere Klarheit hängt von Binances Untersuchung ab, einschließlich einer Erklärung der zusätzlichen Angriffspunkte und der Frage, wie die Signaturen erlangt wurden.