Am 29. und 30. Oktober 2026 erlebte Binance einen ungewöhnlich großen Sicherheitsvorfall, dessen Auswirkungen jedoch letztlich erheblich eingedämmt werden konnten. Die wesentlichen Fakten: Mehrere Hot Wallets wurden innerhalb kürzester Zeit in ungewöhnlicher Weise „geleert“. Die abgeflossenen Beträge wurden zeitweise auf mehrere Milliarden US-Dollar beziffert, doch die wichtigsten Stablecoin-Emittenten froren rasch den Großteil der betroffenen Gelder ein. Der tatsächliche Nettoverlust belief sich laut CZ auf etwas mehr als eine Milliarde US-Dollar; Binance sagte zu, ihn vollständig zu decken.
Ungewöhnliche Abflüsse: Mehrere Hot Wallets wurden in Folge „geleert“
Der Ausgangspunkt des Vorfalls war etwa 4:24 Uhr am 30. Oktober nach Taipeh-Zeit (20:24 Uhr UTC am 29. Oktober): Die von Binance als „Binance 14“ gekennzeichnete Hot Wallet löste eine Sweep-Transaktion aus und transferierte auf einmal etwa 167.464 ETH sowie 63 ERC-20-Token, darunter etwa 1,615 Milliarden USDT, die damals auf rund 2,5 Milliarden US-Dollar geschätzt wurden.
Unmittelbar danach hörten die ungewöhnlichen Aktivitäten nicht auf:
· Nur 24 Sekunden später transferierte eine weitere Hot Wallet, „Binance 16“, rund 28.005 ETH sowie Vermögenswerte im Wert von etwa 55,74 Millionen USDT, 25,94 Millionen RLUSD und weitere Token an dieselbe Empfängeradresse.
· Rund 17 Minuten später (um 4:41 Uhr) transferierte „Hot Wallet 34“ weitere 780 Millionen USDC an dieselbe Adresse. Später folgte ein weiterer Transfer von 43 Millionen US-Dollar in USDC.
Da innerhalb kurzer Zeit Gelder aus mehreren unabhängigen Hot Wallets gebündelt an eine an diesem Tag neu erstellte Adresse flossen, konnten On-Chain-Alarmmeldungen zunächst nicht einmal ausschließen, dass es sich um eine routinemäßige operative Umbuchung handelte. Die neu erstellte Empfängeradresse, die rasche Weiterleitung der Vermögenswerte und die Verwendung der Sweep-Funktion ließen den Markt jedoch bald zu dem Schluss kommen, dass es sich um einen Angriff handelte.
Angriffsmethode: Das Problem lag nicht beim privaten Schlüssel, sondern bei der „Signaturautorisierung“
Das technische Besondere an diesem Vorfall ist, dass der Angreifer offenbar nicht direkt die privaten Schlüssel der Binance-Wallets gestohlen hat.
Die On-Chain-Analyse deutet auf einen Missbrauch des EIP-7702-Mechanismus von Ethereum hin. Dieser Mechanismus ermöglicht es einem externen Konto, die Ausführungsrechte per „Signaturautorisierung“ an bestimmten Code zu delegieren. Der Angreifer hat sich mutmaßlich durch Phishing oder ähnliche Methoden eine solche Signaturautorisierung verschafft und damit auf mit Binance verbundenen Wallets schadhaften Code mit einer „Sweep“-Funktion installiert. Anschließend rief er die Sweep-Funktion auf, um Vermögenswerte gebündelt abzuziehen. Sicherheitsanalysten weisen darauf hin, dass ein Angreifer mit den privaten Schlüsseln keine Relayer und keinen Autorisierungsprozess benötigt hätte, sondern Vermögenswerte direkt per atomarer Transaktion hätte transferieren können. Die plausiblere Erklärung ist daher, dass er lediglich eine EIP-7702-Autorisierungssignatur erlangt hat.
Das bedeutet, dass die Angriffsschwelle deutlich gesunken ist: Man muss keine privaten Schlüssel knacken. Es reicht, jemanden zu einer einzigen Signaturautorisierung zu verleiten, um eine Adresse in einen Zustand zu versetzen, in dem ihre Vermögenswerte „abgeschöpft“ werden können. Dass später nach dem ersten Sweep erneut Vermögenswerte aus derselben Wallet abgezogen werden konnten, bestätigt zudem, dass die Autorisierung eine Zeit lang nach dem Vorfall noch gültig war.
Einfrieren und Einordnung: von „wird untersucht“ zu „es war tatsächlich ein Angriff“
Nach dem Vorfall änderte sich die öffentliche Kommunikation von Binance spürbar. In der ersten Stellungnahme hieß es lediglich, man untersuche ein „potenzielles Sicherheitsproblem“ und es sei „noch nicht bestätigt“, dass Nutzergelder betroffen seien. Innerhalb von etwa zehn bis zwanzig Minuten wurde die Stellungnahme mehrfach überarbeitet. In der endgültigen Version hieß es dann, „die Nutzergelder sind vollständig sicher“; als „Diebstahl“ oder „Hackerangriff“ wurde der Vorfall zu diesem Zeitpunkt jedoch noch nicht offiziell bezeichnet.
Die Wende kam mit einer Äußerung von CZ (Changpeng Zhao). Er sagte ausdrücklich: „Das sieht tatsächlich nach einem Hackerangriff auf Binance aus.“ Zugleich betonte er, dass die Nutzergelder sicher seien, und dankte Tether und Circle für ihre raschen Maßnahmen zum Einfrieren der Gelder. CZ erklärte außerdem, dass er Binance nicht mehr im Tagesgeschäft führe, als Anteilseigner jedoch davon ausgehe, dass alle Nutzergelder vollständig gedeckt würden.
Parallel zu dieser Einordnung froren die Stablecoin-Emittenten Vermögenswerte ein:
· Tether fror mehr als 1,567 Milliarden USDT ein (anderen Berichten zufolge etwa 971 Millionen US-Dollar);
· Circle fror rund 823 Millionen USDC ein.
Zusammen froren beide Unternehmen Vermögenswerte im Wert von rund 2,39 Milliarden US-Dollar ein. Das ist der entscheidende Grund für die große Differenz zwischen den später gemeldeten „Abflüssen auf dem Papier“ und den „tatsächlichen Verlusten“.
Zahlen auf dem Papier und tatsächliche Verluste: Warum aus mehreren Milliarden „etwas mehr als eine Milliarde“ wurden
Da der Angriff mehrere Wallets, verschiedene Blockchains und Dutzende Token betraf, waren die Schätzungen der abgeflossenen Gesamtbeträge zunächst sehr uneinheitlich: Sie reichten von frühen Angaben von rund 2,5 beziehungsweise 2,8 Milliarden US-Dollar über spätere Schätzungen von rund 3,3 Milliarden bis hin zu Schätzungen einiger Monitoring-Dienste von mehr als 5,8 Milliarden US-Dollar.
Dabei handelte es sich jedoch hauptsächlich um transferierte Beträge und nicht um endgültige, nicht rückholbare Nettoverluste. Die Schätzung von 0xngmi, dem Gründer von DefiLlama, bietet eine klarere Perspektive: Nachdem große Mengen USDT und USDC eingefroren worden waren, belief sich der Gesamtverlust durch den Vorfall auf rund eine Milliarde US-Dollar. Das entspricht lediglich 0,69 % der von Binance verwahrten Vermögenswerte in Höhe von etwa 144 Milliarden US-Dollar und wäre durch die Bilanz des Unternehmens problemlos gedeckt. CZ teilte diese Schätzung und ergänzte: „Der Verlust könnte etwas höher liegen, aber er wird vollständig gedeckt.“
Die Zahlen stehen folgendermaßen zueinander: Von den Vermögenswerten, die der Angreifer transferierte, froren die Emittenten rund 2,4 Milliarden US-Dollar in Stablecoins ein. Der Betrag, der sich tatsächlich der Kontrolle von Binance entzog und kurzfristig nicht eingefroren wurde, belief sich letztlich auf rund eine Milliarde US-Dollar. Binance musste daher einen gedeckten Nettoverlust verkraften und nicht den vollständigen Verlust mehrerer Milliarden.
Aussetzung von Auszahlungen und konkrete Auswirkungen auf die Nutzer
Während der Sicherheitsüberprüfung setzte Binance Auszahlungen aus. Zunächst erklärte das Unternehmen, dass bei einigen Nutzern Auszahlungen aufgrund eines „technischen Fehlers“ nicht möglich seien. Später stellte es klar: „Auszahlungen werden wieder aufgenommen, sobald das Sicherheitsproblem vollständig behoben ist“, und bekräftigte, dass die Nutzergelder sicher seien. Für gewöhnliche Nutzer bestand die unmittelbare Auswirkung des Vorfalls somit vor allem in einer kurzfristigen Unterbrechung der Auszahlungen und nicht darin, dass ihre Kontostände auf null sanken. Die Aussagen von CZ und Binance stimmten überein: Die Nutzergelder seien „vollständig sicher“, und die Plattform werde den Verlust decken.
Insgesamt ergibt sich folgendes Bild des Vorfalls: Ein groß angelegter unbefugter Sweep gegen Binance-Hot-Wallets nutzte den EIP-7702-Autorisierungsmechanismus. Die auf dem Papier ausgewiesenen Abflüsse beliefen sich zeitweise auf mehrere Milliarden US-Dollar. Durch das Einfrieren der Stablecoins und den finanziellen Puffer der Plattformbilanz wurde der tatsächliche Nettoverlust jedoch auf rund eine Milliarde US-Dollar begrenzt. Nutzergelder erlitten keinen direkten Verlust, und die Auszahlungen wurden nach der Sicherheitsprüfung wieder aufgenommen. Die Identität des Angreifers und der konkrete Weg, auf dem er die Autorisierung erlangte, wurden bislang nicht bekannt gegeben. Die Ermittlungen und die Rückverfolgung der Gelder dauern an.