Onchain-Daten zeigen, dass delegierte Wallet-Berechtigungen zwei Ethereum-Konten mit Binance-Label in einem vermuteten Sicherheitsvorfall verbanden, nachdem Code, der auf einem Wallet installiert war, einer externen Adresse ermöglichte, Assets daraus und aus einem zweiten Smart Wallet zu bewegen. Die „Binance“-Labels stammen aus dem Tagging-System von Etherscan und stellen für sich genommen keine Bestätigung durch die Börse dar. Die Daten belegen die Reihenfolge der Transfers, zeigen jedoch nicht, ob die Bewegungen autorisiert waren oder ob Binance oder seine Kunden einen Verlust erlitten. The Defiant berichtete über die Abfolge in seiner Darstellung des vermuteten Vorfalls.

Binance erklärte, es untersuche den vermuteten Vorfall, und die Auszahlungen würden wieder aufgenommen, sobald das Problem behoben sei.

Delegation installiert, Wallet innerhalb weniger Minuten geräumt

Ein Ethereum-Konto, das von Etherscan als „Binance 14“ gelabelt ist, überwies am 29. Oktober rund 167.464 ETH und 1,615 Milliarden USDT. Auf dem Konto war eine EIP-7702-Delegation installiert, und eine andere Adresse reichte den Aufruf ein, der die Assets bewegte.

Die Autorisierungstransaktion installierte die Delegation um 16:20:59 Uhr ET. Drei Minuten und 24 Sekunden später, um 16:24:23 Uhr ET, rief die externe Adresse die Sweeping-Funktion des Wallets auf. Diese Transaktion erfasste 63 ERC-20-Transfers neben der ETH-Bewegung, einschließlich der USDT.

Ein zweites Smart Wallet geleert

Derselbe Sender rief das delegierte Wallet erneut um 16:41:23 Uhr ET auf. Dieser Aufruf löste aus, dass 780 Millionen USDC von einem separaten Smart Wallet mit Binance-Label an denselben Empfänger bewegt wurden. Whale Alert kennzeichnete die Bewegung als Transfer von Binance an ein unbekanntes Wallet.

Die Token-Quelle war der als „Binance: Hot Wallet 34“ gelabelte Vertrag, nicht Binance 14. Etherscans schreibgeschützte Vertragsschnittstelle identifiziert Binance 14 als Eigentümer des Smart Wallets, und der Ausführungs-Trace zeigt, dass Binance 14 das Smart Wallet aufrief, das anschließend den USDC-Vertrag aufrief, um die Token zu transferieren. Die Daten verbinden die beiden Bewegungen somit über einen gemeinsamen Caller und Empfänger, lassen jedoch die Frage der Autorisierung und etwaiger Verluste offen.

Die Adresse, die die Aufrufe einreichte, erstellte auch den Delegatenvertrag. Sie hatte am 28. Oktober rund 0,0983 ETH aus einem Tornado-Cash-Pool erhalten. Die Quelle berichtet dieses Transaktionsdetail, stellt jedoch nicht fest, wer die Adresse kontrollierte oder warum sie die Mittel erhielt.

Was die Delegation ermöglichte

EIP-7702 ermöglicht ein gewöhnliches, schlüsselkontrolliertes Ethereum-Wallet, Code auszuführen, der an einer anderen Adresse gespeichert ist. Die Funktion ging im Mai 2025 im Rahmen des Pectra-Upgrades auf dem Ethereum-Mainnet live. Die Installation einer Delegation erfordert eine Signatur mit dem Schlüssel des Wallets; beabsichtigte Anwendungen umfassen die Bündelung von Operationen und die Möglichkeit, dass Dritte Transaktionsgebühren übernehmen.

Nach der Installation bleibt die Delegation über die Transaktion hinaus bestehen, die sie eingerichtet hat. Spätere Caller können alle Aktionen auslösen, die der delegierte Code erlaubt, ohne notwendigerweise eine neue Signatur mit dem Schlüssel des Wallets zu erhalten. Phylax-Systems-Gründer Odysseus beschrieb die Abfolge in einem Thread: „Die Delegation besteht fort; dieser Code kann spätere Transfers ohne eine weitere Signatur des Wallets autorisieren.“

Das EIP warnt, dass delegierter Code „uneingeschränkten Zugriff auf das Konto“ hat, und sagt, dass Wallets ihn gründlich prüfen müssen. Eine Delegation kann durch eine neue signierte Autorisierung ersetzt oder gelöscht werden, und das Protokoll unterstützt ausdrücklich das Löschen durch die Autorisierung der Null-Adresse.

Verwandte Sicherheitsberichterstattung

Eine separate Berichterstattung über Krypto-Diebstähle hat einen anderen Sicherheitsausfall untersucht: Bitgets Darstellung eines Zero-Day-Diebstahls beschreibt unbefugte Abhebungen, die mit einem Fehler in Sicherheitsprodukten Dritter in Zusammenhang stehen. Ein anderer Fall zeigt, wie Ausgänge an Beweisen hängen können – ein südkoreanisches Gericht sprach einen Krypto-Influencer frei, nachdem es festgestellt hatte, dass die Staatsanwaltschaft nicht bewiesen hatte, wie seine Handlungen den Token beeinflussten. Diese Berichte betreffen unterschiedliche Ereignisse. Fragen zur Versicherungsdeckung nach einem Binance-Hack können ebenso von Vertragsbedingungen, Ausschlüssen und der Art des Angriffs abhängen; jene Analyse stellt keine Deckung für diesen Vorfall fest.

Binance-Untersuchung und die Erklärung zu Auszahlungen bleiben die genannten nächsten Schritte. Konkret gilt es künftig zu beobachten: ob Auszahlungen wieder aufgenommen werden, sobald das Unternehmen das Problem für behoben erklärt, ob die Delegation auf Binance 14 durch eine neue signierte Autorisierung ersetzt oder gelöscht wird, und ob weitere Bewegungen die gelabelten Konten betreffen. Die verfügbaren Transaktionsdaten erklären, wie delegierter Code Assets in einem zweiten Konto erreichte, sie klären jedoch nicht, wer die Aktivität autorisierte oder ob Kundengelder verloren gingen.