Cardano-Gründer Charles Hoskinson hat vor gefährlichem Code gewarnt, der nach der Verletzung der Binance-Wallet im Umlauf ist, und eine technische Drittanbieter-Analyse des Vorfalls geteilt. Der Bericht bringt Ethereums EIP-7702-Delegationsfunktion mit der schnellen Übertragung von Assets in Verbindung, although die Börse nicht bestätigt hat, wie die Angreifer die Signaturberechtigung erlangten.

In einem X-Beitrag vom 30. Oktober warnte Hoskinson, dass „dort draußen ein wirklich gefährlicher Code im Umlauf ist“. Er teilte einen technischen Bericht von CyberSatoshi, der einen angeblich darauf ausgelegten Vertrag beschreibt, eine stark genutzte Hot Wallet einer Börse zu leeren – ein internetverbundenes Konto, auf das Börsen zur Abwicklung von Kundenauszahlungen und -einzahlungen angewiesen sind:

Careful, there is some seriously dangerous code out there. pic.twitter.com/w7wM1nn0Lz — Charles Hoskinson (@IOHK_Charles) October 30, 2026

Der durch den weiteren Angriff am 29. Oktober verursachte Verlust wurde auf 6,3 Milliarden US-Dollar laut Bloomberg beziffert. Die Ankündigung des Unternehmens vom 30. Oktober wies darauf hin, dass die Ermittler auf keine gestohlenen privaten Schlüssel gestoßen seien.

Was fand die Analyse in Binances Wallet?

Laut CyberSatoshi enthielt der Vertrag eine Funktion, die Gelder abzog und nur ein ETH zurückließ, um sicherzustellen, dass der Zahlungsprozess nicht aufgrund fehlenden Gases fehlschlug.

Diese Theorie darüber, wie die Alarme innerhalb der Börse funktionierten, wurde noch nicht verifiziert, und Binance hat die Informationen nicht bestätigt. Der Vertrag habe angeblich den Saldo jedes Tokens geprüft und sei unabhängig davon fortgefahren, ob eine einzelne Transaktion fehlschlug, was bedeutete, dass andere Tokens weiterhin verarbeitet werden konnten, selbst wenn einer eingeschränkt war.

Die Analyse identifizierte außerdem eine Execute-Funktion, die auf eine Wallet mit Token im Wert von rund 823 Millionen USDC zugriff. Diese Wallet habe angeblich die eingeschränkte Hot Wallet namens Binance 14 als autorisierten Controller erkannt. Blockchain-Experten haben die Ergebnisse diskutiert, doch es bleibt unklar, welche Auswirkungen dies hatte, und der Bericht zeigt nicht, wie der ursprüngliche Unterzeichner die Berechtigungen erlangte.

Wie funktioniert Ethereums EIP-7702-Delegation?

EIP-7702 ermöglicht jedem Konto im Ethereum-Protokoll, den Code anderer Adressen zur Delegation zu nutzen – eine Funktion, die darauf abzielt, normale Nutzerkonten mit Smart-Contract-Funktionalität auszustatten. Der Standard unterstützt Batch-Transaktionen und die Zahlung von Gebühren durch Dritte. Seine Berechtigungen bestehen aus einer Chain-Kennung, der Adresse des Delegierten, Transaktions-Nonces und Signaturen. Sobald diese Parameter verifiziert sind, wird der Code dem Konto zugewiesen.

Das bedeutet, dass der Angriff nicht allein durch EIP-7702 hätte stattfinden können: Der Angreifer muss über eine gültige Signaturberechtigung verfügt haben. Laut CyberSatoshi hatte der Angreifer entweder Zugriff auf den privaten Schlüssel oder konnte uneingeschränkte Berechtigungen erlangen. Laut Binance wurde jedoch keine solche Leakage privater Schlüssel festgestellt.

Warum wurden 50 Autorisierungen eingereicht?

Der Forscher identifizierte einen Satz von 50 Signaturen für Autorisierungen mit aufeinanderfolgenden Nonces. Eine Nonce ist ein Wert, der sich bei jeder Transaktion eines Kontos ändert. Da bekannt ist, dass Binance 14 häufige Transfers abwickelt, habe der Angreifer mehrere Datensätze erstellt, die den jeweiligen Nonces entsprachen.

Die Blockchain-Untersuchung zeigt, dass eine Autorisierung der aktuellen Nonce der Wallet entspricht und den Delegationsprozess initiiert. Ethereum führt jede Autorisierung nacheinander aus und überspringt jene, die die Validierung nicht bestehen; mehrere aufeinanderfolgende Autorisierungen können erfolgreich sein, sofern ihre Nonces zum Zeitpunkt der Verarbeitung korrekt sind. In dem fraglichen Fall gab es laut verschiedenen Quellen nur einen entsprechenden Eintrag. Die nächste delegierte Aktion übertrug große Mengen an Tokens in einer einzigen Transaktion.

Laut CyberSatoshi ließ diese Geschwindigkeit Binance kaum Zeit zu reagieren. Im Gegensatz zu Kartenzahlungen mit Chargeback-Mechanismen gibt es bei Blockchain-Transfers nach Bestätigung einer Transaktion keine eingebaute Rückabwicklung. Die Behauptung, die Bewegung hätte jedoch bereits früh durch normale Transaktionen erkannt werden können, ist fragwürdig.

Welche Sicherheitsrisiken identifiziert EIP-7702?

Laut den Ethereum-Spezifikationen kann delegierter Code ohne zusätzliche Einschränkungen auf ein Konto zugreifen, und der Standard empfiehlt Auditoren von Wallet-Entwicklern, den Vertrag zu prüfen und Replay-Angriffe zu verhindern.

Die Delegation besteht fort, selbst nachdem die Transaktion, die die Delegation einrichtet, abgeschlossen ist. Eine verarbeitete Autorisierung wird nicht einfach gelöscht, selbst wenn die Ausführung der Delegation anschließend fehlschlägt. Eine Autorisierung, die die Zero-Adresse nennt, löscht die Delegation, was bedeutet, dass delegierter Zugriff bis zu seiner ausdrücklichen Widerrufung in Kraft bleibt.

Binance hat bestätigt, dass die betroffenen Autorisierungen bereits widerrufen und die Sicherheitsmaßnahmen erhöht wurden. Das Unternehmen hat Kunden versichert, dass Verluste ausgeglichen werden und ein technischer Bericht veröffentlicht wird. Wie der Signaturzugang erlangt wurde, bleibt eine offene Frage, und die Frage der Zugriffskontrolle erfordert weiterhin Untersuchung – der angekündigte technische Bericht der Börse dürfte die nächsten Antworten liefern.