Die Untersuchung von Binance zum jüngsten Sicherheitsvorfall hat die anfängliche Theorie hinter sich gelassen, ein einzelner kompromittierter Laptop habe den Vorfall ausgelöst. Co-CEO Richard Teng erklärte, die Ermittler hätten zusätzliche Angriffspunkte identifiziert und nachverfolgt, wie der Angreifer eine On-Chain-Genehmigung über eine der Hot Wallets der Börse erlangte. Er fügte hinzu, dass es keine Hinweise auf ein Leck privater Schlüssel gebe. Binance hat zugesagt, sämtliche Verluste mit Unternehmensmitteln und dem Secure Asset Fund for Users (SAFU) zu decken, dem Notfallfonds, den die Börse 2018 zur Abdeckung von Verlusten in extremen Fällen eingerichtet hat.

Angriff war komplexer als ein Ein-Klick-Durchbruch

In einem X-Beitrag erklärte Co-CEO Richard Teng, Binance habe zunächst vermutet, der Hack habe mit einem kompromittierten Laptop begonnen. Spätere Erkenntnisse brachten weitere Angriffspunkte ans Licht, wodurch der Angriff deutlich komplexer war als ein Ein-Klick-Durchbruch.

Laut Teng verschaffte sich der Angreifer Zugang zu einem Service-Container und reichte anschließend unautorisierte Abhebungstransaktionen ein. Er betonte, dass es sich bei dem Vorfall nicht um einen einzelnen Mitarbeiter handelte, der Berechtigungen missbrauchte, und Binance hat keiner Person eine Verantwortung zugeschrieben.

Die Ermittler erklärten, der Angreifer habe einen Selbstzerstörungsmechanismus eingesetzt, um Tools und Spuren zu beseitigen, was die Fortschritte des Sicherheitsteams bei der Rekonstruktion des Angriffspfads verlangsamte. Solche Löschtaktiken, in der Sicherheitsbranche üblicherweise als anti-forensische Techniken bezeichnet, sollen die Rekonstruktion nach einem Vorfall vereiteln.

Teng sagte außerdem, der Angreifer habe EIP-7702, eine Autorisierungsfunktion von Ethereum, ausgenutzt, um eine On-Chain-Ausführungsgenehmigung über eine Binance-Hot-Wallet zu erlangen. Dies ermöglichte es dem Angreifer, die üblichen Genehmigungsprüfungen von Binance zu umgehen. EIP-7702 wurde im Mai 2025 im Rahmen des Pectra-Upgrades von Ethereum eingeführt und erlaubt es normalen Nutzerkonten, vorübergehend Smart-Contract-Funktionen zu übernehmen, etwa das Bündeln mehrerer Vorgänge unter einer einzigen Autorisierung.

Die Börse hat keinen Fehler in EIP-7702 selbst gemeldet, sondern erklärt, der Angreifer habe die Funktion genutzt, um die internen Kontrollen zu umgehen. Binance erklärte, es gebe keine Hinweise darauf, dass private Wallet-Schlüssel offengelegt wurden. Die Untersuchung läuft, und die Börse plant, nach Verifikation der Erkenntnisse eine technische Post-Mortem-Analyse zu veröffentlichen.

Binance stellt 6,34 Milliarden US-Dollar zur Deckung der Verluste bereit

Teng sagte, Kundengelder seien nicht betroffen, und Binance werde die Nutzer vollständig entschädigen. Die Börse hat mehr als 6,34 Milliarden US-Dollar aus Unternehmensmitteln zurückgestellt, um die gestohlenen Assets zu decken, wie aus Tengs früherer Mitteilung hervorgeht.

Laut Teng sind etwa 5 Milliarden US-Dollar bereits in denselben Assets gehalten, die in den Vorfall verwickelt sind, darunter BTC, ETH, BNB, USDT und USDC. Binance arbeitet daran, den Restbetrag über Marktkäufe und OTC-Transaktionen zu beschaffen.

Die Börse schätzte die GesamtAuswirkungen des Vorfalls auf rund 6,3 Milliarden US-Dollar und erklärte, etwa 3 Milliarden US-Dollar seien mit Unterstützung von Blockchain-Partnern On-Chain eingefroren worden. Teng wies darauf hin, dass sich der Großteil der Kundengelder in Cold Wallets befindet und nur bei Abhebungswünschen der Nutzer in Hot Wallets verlagert wird. Cold Wallets halten private Schlüssel offline, während Hot Wallets zur Abwicklung von Nutzerabhebungen mit dem Internet verbunden sind – die Ebene, die nun im Zentrum der Untersuchung und der Behebungsmaßnahmen steht.