Binance erklärte am 3. November 2026, Angreifer hätten nach einer mehrstufigen Intrusion am 29. Oktober Zugriff auf einen internen Wallet-Signaturdienst erlangt. Das habe Transaktionen außerhalb des normalen Auszahlungsprozesses ermöglicht. Für die anschließend eingerichteten EIP-7702-Berechtigungen sei eine separate Reaktion nötig gewesen, teilte das Unternehmen in seiner ersten Stellungnahme mit.
Ein früherer NeoTeo-Beitrag zur On-chain-Verbindung zwischen den Binance- und Bitget-Diebstählen behandelte die Geldflüsse. Binances Darstellung ergänzt diese Spur um den beschriebenen Weg durch interne Systeme bis zur Transaktionssignatur.
Wie der Angriff bis zur EIP-7702-Delegation führte
Binance zufolge begann die Kette im Juni mit einer manipulierten Homebrew-Installation auf dem Gerät von Engineer A. Das Unternehmen habe die Auffälligkeit bemerkt, das Gerät ersetzt und zugehörige Zugangsdaten erneuert. Später seien Informationen über die Rolle von Engineer A und über Kolleginnen und Kollegen an die Angreifer gelangt.
Im September sei Engineer B über eine echte Jobplattform angesprochen worden. Nach Bewerbungsgesprächen mit Personen, die überzeugende Identitäten nutzten, habe Engineer B ein Schadcode-Repository heruntergeladen, das als Arbeitsprobe ausgegeben worden sei. Am 20. Oktober hätten die Angreifer laut Binance den kompromittierten Rechner und ein internes KI-Werkzeug genutzt, um Zugriff auf Engineer A und Wallet Software Engineer C zu erlangen.
Am 29. Oktober hätten die Angreifer sich an C’s Rechner angemeldet, Zugangsdaten von A verwendet, einen Container eingerichtet und ein schädliches Skript gestartet. So hätten sie laut Binance den internen Wallet-Signaturdienst erreicht. Dieser ermöglichte Transaktionen außerhalb der üblichen Auszahlungskontrollen.
Binance zufolge nutzten die Angreifer EIP-7702, um einem von ihnen kontrollierten Smart Contract begrenzte Ausführungsrechte für eine Hot Wallet zu übertragen. Eine Hot Wallet ist eine mit dem Internet verbundene Wallet. Mit 50 Signaturtransaktionen hätten sie die Kontononce, also den Transaktionszähler des Kontos, manipuliert und schädliche Delegationen eingerichtet.
Warum eine Auszahlungssperre nicht ausreichte
Die EIP-7702-Berechtigungen bestanden laut Binance unabhängig vom gewöhnlichen Auszahlungssystem fort. Eine Sperre der Auszahlungen beendete sie daher nicht unmittelbar. Die Hot Wallet nutzte Mehrparteienberechnung (MPC); dabei gab es Binance zufolge keinen einzelnen privaten Schlüssel, mit dem sich die Berechtigungen sofort hätten widerrufen lassen. Für die Rücknahme sei ein spezielles Verfahren nötig gewesen. Binance zufolge wurde eine letzte unbefugte Überweisung von 2.961,9 ETH am 29. Oktober um 23:56 Uhr UTC endgültig bestätigt. Die Binance14-Delegation habe das Unternehmen am 30. Oktober um 00:10 Uhr UTC aufgehoben.
Was Binance zu den betroffenen Vermögenswerten sagte
In seiner ersten Einschätzung bezifferte Binance die betroffenen digitalen Vermögenswerte auf rund 6,34 Milliarden US-Dollar. Rund 2,85 Milliarden US-Dollar seien eingefroren oder abgefangen worden; diese Schätzung unterliege noch dem Abgleich und könne sich mit den Marktpreisen ändern.
Binance teilte außerdem mit, mehr als 100 Prozent der für die Verlustdeckung erforderlichen Mittel zurückgelegt zu haben. Bis zum 31. Oktober 2026 seien 98 Prozent der betroffenen Token-Vermögenswerte wieder aufgefüllt worden. Das sind getrennte Angaben: eingefrorene oder abgefangene Vermögenswerte sind nicht dasselbe wie von Binance wieder aufgefüllte Token. Das Unternehmen bezeichnete seinen Bericht als erste Einschätzung und erklärte, die Untersuchung und eine unabhängige Prüfung liefen weiter.
Was die FBI-Zuschreibung besagt
Das FBI schrieb den Diebstahl in einer Warnmeldung vom 31. Oktober 2026 Nordkorea zu und bezeichnete die konkrete Aktivität als TraderTraitor. Binance verwies in seinem Bericht auf diese FBI-Zuschreibung, statt selbst eine separate direkte Zuordnung vorzunehmen. Die FBI-Meldung enthält die Einschätzung der Behörde.
