Das Blockchain-Sicherheitsunternehmen Blockaid vermutet, dass das Ausmaß des 6,3-Milliarden-Dollar-Hacks bei Binance durch eine Kompromittierung der Wallet-Signaturinfrastruktur der Börse ermöglicht worden sein könnte – und nicht durch ein einfaches Abhandenkommen privater Schlüssel. In einem Interview mit Cointelegraph sagte Blockaid-Mitgründer und CEO Ido Ben-Natan außerdem, dass Ethereums Upgrade EIP-7702 den Diebstahl erleichtert haben könnte, da Angreifer damit „Sweeping“-Transaktionsmuster effizienter ausführen konnten.

Binance hat den Vorfall bestätigt und zugesagt, die Verluste der Nutzer zu erstatten. Die Börse teilte mit, sie habe später weitere Schwachstellen entdeckt, nachdem zunächst der Laptop eines ihrer Ingenieure als kompromittiert verdächtigt worden war. Vor diesem Hintergrund wirft Blockaids Einschätzung eine grundsätzliche Frage für die Branche auf: Wenn Signatursysteme durch eine operative Kompromittierung erreichbar sind, könnten Upgrades, die das Transaktionsverhalten verändern, zu einer neuen Angriffsfläche werden – sofern Delegationen und Berechtigungen nicht sorgfältig widerrufen und überwacht werden.

Die wichtigsten Erkenntnisse

• Blockaid zufolge haben die Angreifer von Binance wahrscheinlich Komponenten der Wallet-Signaturinfrastruktur der Börse kompromittiert – nicht unbedingt durch das Auslesen privater Schlüssel.

• Laut Blockaid könnte EIP-7702 den Angreifern geholfen haben, mehrere Transaktionsschritte zu umgehen oder ihren Bedarf daran zu verringern, indem gebündelte Autorisierungsabläufe ermöglicht wurden.

• Bereits 2025 wurden Vorfälle im Zusammenhang mit EIP-7702 gemeldet, darunter Fälle mit böswilligen Delegierungen, durch die Wallets geleert wurden.

• Von Cointelegraph befragte Experten warnen, dass die Risiken von EIP-7702 fortbestehen können, wenn Börsen oder Entwickler es versäumen, böswillige Delegierungen nach der Wiederherstellung der Systeme zu widerrufen.

Binance-Hack: Signaturinfrastruktur im Zentrum

Binance bestätigte am Freitag, dass das Unternehmen Opfer des 6,3-Milliarden-Dollar-Hacks wurde – der als der größte in der Geschichte der Kryptobranche bezeichnet wurde – und erklärte, alle Verluste auszugleichen. In öffentlichen Mitteilungen erklärte die Börse, nach ihrer anfänglichen Vermutung, ein mit einem ihrer Entwickler verbundener Laptop sei kompromittiert worden, weitere Einfallspunkte entdeckt zu haben.

Ben-Natan von Blockaid sagte gegenüber Cointelegraph, dass sich die Einschätzung des Unternehmens auf den Zugriff auf den Signaturprozess von Binance konzentriere. Ermittler würden möglicherweise keine direkten Beweise dafür finden, dass private Wallet-Schlüssel abgeflossen seien. Angreifer könnten dennoch Erfolg haben, wenn sie eine Position erreichten, von der aus sie einen ansonsten sicheren Signaturdienst dazu bringen könnten, eine nicht autorisierte Überweisung freizugeben.

Ben-Natans Kernaussage war, dass die Angreifer wahrscheinlich einen kompromittierten Computer eines Entwicklers nutzten, um zur Wallet-Signaturinfrastruktur von Binance vorzudringen. Seiner Darstellung zufolge kam es entscheidend darauf an, dass der Signaturdienst – der gerade zum Schutz vor unrechtmäßigen Freigaben abgesichert war – dazu gebracht wurde, eine Transaktion zu signieren, die er nicht hätte genehmigen dürfen.

Binance-CEO Richard Teng sagte, die Ermittler hätten keine Beweise dafür gefunden, dass private Wallet-Schlüssel abgeflossen seien.

Der „Sweep“-Effekt von EIP-7702 und warum er wichtig sein könnte

Ethereum führte EIP-7702 als Teil des Pectra-Upgrades ein. Ethereum.org beschreibt es als Mechanismus, der es „gewöhnlichen Wallets“ ermöglicht, Smart-Contract-Funktionen wie gebündelte Transaktionen und gesponserte Gasgebühren zu nutzen. Blockaid zufolge könnte diese Funktion den Aufwand für Angreifer verringert haben, die bereits Einfluss auf die Transaktionsautorisierung hatten.

Ben-Natan sagte gegenüber Cointelegraph, dass die Angreifer möglicherweise auch ohne EIP-7702 Gelder hätten stehlen können, das Upgrade den Vorgang aber erleichtert haben könnte. Er beschrieb EIP-7702 als Möglichkeit, Aktionen „in einem Zug“ auszuführen, wodurch Angreifer möglicherweise einige Prüfungen umgehen konnten, für die sonst mehrere Transaktionen nötig gewesen wären.

Diese Einordnung ist für Sicherheitsteams wichtig, denn sie verschiebt das Bedrohungsmodell von „Schlüsseldiebstahl“ hin zu einer „Choreografie von Transaktionen“. Lässt sich ein System dazu bringen, eine komplexe Aktion statt einer Reihe kleinerer Schritte zu autorisieren, bleibt Verteidigern weniger Zeit, den Vorgang zu erkennen und einzugreifen – insbesondere dann, wenn Simulation und Überwachung nicht eng in die Freigabeprozesse eingebunden sind.

Böswillige Delegierungen waren bereits ein bekanntes EIP-7702-Risiko

Bedenken hinsichtlich EIP-7702 kamen nicht erst nach dem Binance-Vorfall auf. Laut früherer, im Artikel zitierter Berichterstattung von Cointelegraph warnte das Handelsunternehmen Wintermute im Mai 2025, dass frühe EIP-7702-Delegierungen häufig auf böswillige Smart Contracts verwiesen, die kompromittierte Wallets automatisch leeren sollten.

Dasselbe Risiko trat später im Jahr erneut auf, als Inhaber des Tokens von World Liberty Financial (WLFI) Verluste im Zusammenhang mit böswilligen EIP-7702-Delegierungen meldeten, wie Cointelegraph im September 2025 berichtete.

Auch das Mitglied der Ethereum-Community VEER verwies auf frühere Sicherheitswarnungen, die 2024 diskutiert worden waren. VEER deutete später zwar an, dass der Angriff auf Binance umfassender gewesen zu sein schien als eine einzelne böswillige Signatur, argumentierte jedoch, EIP-7702 habe Angreifern „einen praktischen Sweep-Knopf auf Ethereum“ gegeben. Das bedeutet, dass EIP-7702 die Folgen betrieblicher Sicherheitsmängel verstärken kann – indem es „Missbrauch von Berechtigungen“ in einen schnellen, gebündelten Ausführungsweg verwandelt.

Was andere Wallet-Experten sagen: Autorisierung war bereits entscheidend

Nicht alle von Cointelegraph befragten Experten waren sich einig, dass EIP-7702 der ausschlaggebende Faktor war. Ivo Georgiev, Mitgründer und CEO von Ambire, sagte, das Upgrade habe seiner Ansicht nach kaum einen Unterschied gemacht, da die Angreifer bereits Transaktionen autorisieren konnten.

Georgiev argumentierte, der Diebstahl hätte auch über andere Mechanismen erfolgen können. Er warnte jedoch vor einer damit verbundenen betrieblichen Sicherheitslücke: Entwickler von Börsen könnten übersehen, dass eine böswillige EIP-7702-Delegierung widerrufen werden muss, sobald sie die Kontrolle über ihre Systeme zurückerlangt haben.

Seine Warnung verdeutlicht eine praktische Herausforderung für Teams, die auf Sicherheitsvorfälle reagieren. Selbst wenn Systeme wieder abgesichert sind, können bereits erteilte Berechtigungen weiterhin aktiv sein – insbesondere, wenn sie in Delegierungsmechanismen eingebettet sind –, sofern sie nicht ausdrücklich aufgehoben werden. Die Reaktion auf einen Vorfall kann daher mehr erfordern als die Wiederherstellung der Zugriffskontrollen: Es kann auch nötig sein, zu überprüfen, ob noch böswillige Autorisierungspfade auf der Blockchain bestehen.

Auch Ben-Natan warnte, dass Angriffe auf Signatursysteme nicht auf Binance beschränkt seien. Andere Börsen könnten ähnlichen Bedrohungen ausgesetzt sein, und die Simulation von Transaktionen könne helfen, böswillige Anfragen vor ihrer Freigabe zu erkennen.

Ausblick: Widerruf, Simulation und robuste Signaturprozesse

Für Anleger und Entwickler lautet die entscheidende Frage, ob Sicherheitsprogramme von Börsen der Tatsache Rechnung tragen, dass Autorisierungspfade – nicht nur private Schlüssel – ins Visier genommen werden können. Im Fokus steht nun, wie schnell Binance und andere Plattformen ihre Signaturabläufe verbessern, strengere Simulationen und Überwachungsmaßnahmen einführen und sicherstellen, dass delegierte Berechtigungen im Zusammenhang mit den Vorfalltransaktionen vollständig erfasst und widerrufen werden.

Dieser Artikel erschien ursprünglich unter dem Titel EIP-7702 Not Behind Binance Hack, but Could Have Worsened Losses auf Crypto Breaking News – Ihrer vertrauenswürdigen Quelle für Krypto- und Bitcoin-Nachrichten sowie Blockchain-Updates.