Binance-Hack: EIP-7702-Signaturen beweisen nicht, dass die Schlüssel sicher sind
Ein neuer forensischer Bericht von GCSA zum Binance-Hack kommt zu dem Schluss, dass 50 verifizierte EIP-7702-Autorisierungssignaturen die Fähigkeit zum Signieren belegen, jedoch weder feststellen können, ob ein privater Schlüssel gestohlen wurde, noch wer die Anfragen ausgelöst hat. Der Bericht untersuchte 18 Transaktionen, verfolgte Autorisierungen und Vermögensbewegungen und prüfte eine Widerrufssignatur. Er betont, dass gültige EIP-7702-Signaturen kein Beweis dafür sind, dass die Schlüssel von Binance sicher waren: Anhand von On-Chain-Daten allein lässt sich nicht unterscheiden, ob ein Schlüssel gestohlen, ein Signierdienst missbraucht oder Genehmigungen kompromittiert wurden.
GCSA stellte außerdem fest, dass bei drei mit MetaMask Gas Station verknüpften Transaktionen die Beträge für die Finanzierung und das Gasbudget übereinstimmten. Das ist ein überprüfbarer Ansatzpunkt für weitere Ermittlungen, aber kein Beweis für die Identität oder IP-Adresse eines Betreibers. Der Bericht bestätigt weder unabhängig Binances Darstellung, der Laptop eines Ingenieurs sei kompromittiert worden, noch die externe Zuschreibung an nordkoreanische Akteure.
Zum Zeitpunkt der Momentaufnahme des Berichts stand eine Zieladresse mit rund 175 Millionen USDT weiterhin auf der schwarzen Liste. Eine widerrufene Autorisierung oder eingefrorene Gelder bedeuten nicht, dass die Vermögenswerte zurückgegeben wurden. Die Ergebnisse konzentrieren sich auf Ethereum und stellen keine vollständige Prüfung aller betroffenen Chains dar. Für Trader schafft der Bericht Klarheit über die Beweislage, klärt aber weder die Ursache des Sicherheitsvorfalls noch die endgültigen Verluste.
Neutral
Der Bericht enthält wichtige Sicherheitsbefunde, kündigt jedoch keinen neuen Exploit an, bestätigt nicht die Ursache des Einbruchs und legt auch nicht die endgültige Höhe der noch nicht wiedererlangten Verluste fest. Seine zentrale Schlussfolgerung lautet, dass 50 gültige EIP-7702-Signaturen nicht belegen, ob private Schlüssel gestohlen wurden. Diese Unterscheidung verbessert das öffentliche Verständnis des Vorfalls, lässt die wichtigsten operativen Fragen jedoch unbeantwortet.
Kurzfristig könnten Händler weiterhin Auszahlungen mit Bezug zu Binance, Mitteilungen der Börse, Entwicklungen bei der Einfrierung von Stablecoins und weitere Hinweise auf kompromittierte Signatursysteme beobachten. Der gemeldete Bestand von 175 Millionen USDT, der sich noch auf einer auf die schwarze Liste gesetzten Adresse befindet, könnte ebenfalls das Interesse an den Aussichten auf eine Rückgewinnung wachhalten. Eine Einfrierung bedeutet jedoch nicht, dass die Gelder zurückgegeben wurden, und der Bericht selbst enthält keine neue Bestätigung einer Rückgewinnung. Der Artikel liefert daher nur begrenzte direkte Belege für eine unmittelbare marktweite Bewegung; etwaige Kursreaktionen dürften eher stimmungsgetrieben sein und sich auf Risiken bei Börsen und Stablecoins konzentrieren.
Langfristig könnten die Erkenntnisse die Prüfung von Wallet-Infrastruktur, Genehmigungskontrollen, Endpunktsicherheit und Drittanbieterdiensten verstärken – und nicht nur die Verwahrung privater Schlüssel. Ähnliche Hackerangriffe auf Börsen haben häufig kurzfristige Volatilität und vermehrte Auszahlungen ausgelöst. Dauerhafte Marktauswirkungen hingen dagegen davon ab, ob Kundengelder, die Solvenz der Börse und die Abhilfemaßnahmen glaubwürdig behandelt wurden. Da der Bericht weder ein umfassenderes Solvenzproblem bestätigt noch die Zuordnung der Verantwortung und die Rückgewinnung klärt, ist eine neutrale Markteinstufung am angemessensten.