Binance verweist auf einen möglicherweise kompromittierten Laptop eines Ingenieurs, TRM Labs und ZachXBT deuten auf Nordkorea – eine offizielle Zuschreibung gibt es nicht

Wie der Angreifer eindringen konnte, ist weiter offen. Binance erklärte, die erste Untersuchung deute darauf hin, dass der Vorfall einen kompromittierten Laptop eines DevOps-Ingenieurs betreffen könnte, der einem Angreifer den Zugang zu einem Service-Container und das Absenden nicht autorisierter Auszahlungen ermöglicht haben könnte. Hinweise darauf, dass private Schlüssel von Wallets abgeflossen sind, habe man nicht gefunden; zugleich betonte die Börse, die Erkenntnisse seien vorläufig.

Bei der Frage, wer dahintersteckt, weisen Blockchain-Analysten in eine andere Richtung. CoinDesk berichtet, TRM Labs habe den Angriff mit hoher Sicherheit TraderTraitor, einer nordkoreanischen Hackergruppe, zugeordnet, ZachXBT habe die Lazarus Group als wahrscheinlichen Angreifer genannt, und auch Blockaid habe auf Nordkorea verwiesen. Bitcoin.com News betont, dass es keine offizielle Zuschreibung gibt. Der Bybit-Diebstahl vom Februar 2025 wurde laut AFP Hackern mit Verbindungen zu Nordkorea zugeschrieben.

Auf der technischen Seite berichtet Bitcoin.com News, die führende Erklärung betreffe EIP-7702, eine Ethereum-Funktion, mit der eine Wallet einen Smart Contract autorisieren kann, in ihrem Namen zu handeln. Eine Analyse von Blockaid fand eine Delegationstransaktion mit 50 Autorisierungen, von denen eine übereinstimmte; rund drei Minuten später wurden die Vermögenswerte der Wallet abgezogen. Die Ermittler prüfen einen gestohlenen privaten Schlüssel, einen autorisierten Unterzeichner, der dazu gebracht wurde, bösartige Anweisungen zu genehmigen, oder einen kompromittierten Teil der Signierinfrastruktur von Binance; nichts davon ist belegt.