Hacker übernehmen Kontrolle über Binance-Wallet für 15 $ Gebühr und ziehen 2,5 Milliarden $ ab

Bloomberg berichtete unter Berufung auf eine Untersuchung der Cybersicherheitsfirma Blockaid, dass der Angriff auf die Binance 14 Hot Wallet die Hacker etwa 15 $ an Ethereum-Netzwerkgebühren kostete. Dieser Betrag reichte aus, um die Kontrolle über die Wallet zu erlangen und Vermögenswerte im Wert von 2,5 Milliarden $ abzuheben. Binance 14 wurde für Kundenabhebungen genutzt.

Die Angreifer nutzten EIP-7702, einen Mechanismus, der mit dem Pectra-Update im Mai 2025 in Ethereum eingeführt wurde. Er ermöglicht es regulären Wallets, das Recht zur Ausführung von Operationen an Smart Contracts zu delegieren, sodass der Benutzer nicht jede Aktion einzeln signieren muss. Wenn das Speichermanagementsystem kompromittiert wird, erlaubt der Mechanismus mehrere Übertragungen ohne zusätzliche Bestätigungen.

Am 29. Oktober gegen 20:20 UTC sendeten die Angreifer eine Transaktion mit 50 EIP-7702-Berechtigungen, die von der kompromittierten Binance-Infrastruktur signiert wurden. Jede Berechtigung entsprach einer bestimmten Wallet-Operationssequenznummer. Die Adresse war ständig aktiv, sodass die Angreifer nicht wussten, welche Signatur funktionieren würde; eine erwies sich als gültig. Die Kontrolle über die Wallet wurde an den bösartigen Smart Contract übertragen, und die Hacker zahlten etwa 15 $ für die Einrichtung der Delegation. Die Operation selbst beinhaltete keine Übertragung von Geldern, gewährte jedoch Zugriff auf die Vermögenswerte von Binance 14.

Drei Minuten und 24 Sekunden später, um 20:24 UTC, aktivierten die Angreifer den Vertrag und zogen in einer einzigen Transaktion 167.464 ETH, etwa 1,615 Milliarden USDT und ungefähr 60 andere Token ab. Der Gesamtwert der gestohlenen Vermögenswerte betrug etwa 2,5 Milliarden $. Dan Caspi, CTO von Hypernative, erklärte gegenüber Bloomberg, dass EIP-7702 einen schnellen Abzug ermöglichte und die Kontrolle über die Wallet auch nach der Entdeckung des Angriffs aufrechterhielt.

Die Berechtigung war im Ethereum-Netzwerk unabhängig von den internen Systemen der Börse gültig. Da neue Gelder an die Binance 14-Adresse gesendet wurden, konnten die Angreifer sie abheben, ohne erneut Zugriff auf das Signiersystem zu erlangen. Laut der Analysefirma Elliptic bewegten die Hacker mit diesem Mechanismus etwa 3,6 Milliarden $, einschließlich der anfänglichen 2,5 Milliarden $; weitere 823 Millionen $ wurden von einer anderen Binance-Wallet abgehoben. Die letzte unautorisierte Übertragung erfolgte um 23:56 UTC am 29. Oktober, und die Delegation wurde am nächsten Tag um 00:10 UTC entfernt.

Ein Binance-Vertreter bestätigte gegenüber Bloomberg, dass EIP-7702 eine bedeutende Rolle spielte. Laut ihm widerrief die Börse die bösartigen Berechtigungen, restrukturierte die betroffene Infrastruktur, verstärkte die Kontrolle über die Transaktionssignierung und implementierte Überwachungs- und Notfallwiderrufswerkzeuge. Der Angriff stand nicht im Zusammenhang mit einem Bruch der Ethereum-Kryptographie: Gültige Berechtigungen wurden aufgrund der Kompromittierung der internen Systeme von Binance verwendet. Etwa 2,85 Milliarden $ wurden mit Hilfe von Token-Emittenten und anderen Branchenakteuren eingefroren oder abgefangen; Binance übernahm die finanziellen Konsequenzen.

Das Federal Bureau of Investigation (FBI) machte die nordkoreanische Gruppe TraderTraitor, die mit Lazarus in Verbindung steht, verantwortlich. Die nordkoreanischen Behörden wiesen die Anschuldigungen zurück. Nach der Wiederaufnahme der Swaps auf THORChain setzten Wallets, die mit dem Hack in Verbindung stehen, die Umwandlung der gestohlenen Gelder in Bitcoin fort.