Des systèmes de signature compromis sont très probablement à l'origine du piratage de 6,3 milliards de dollars subi par Binance, et la mise à niveau EIP-7702 d'Ethereum aurait pu aider les attaquants à contourner certains contrôles de sécurité, selon la société de sécurité blockchain Blockaid.

Ido Ben-Natan, co-fondateur et PDG de Blockaid, a déclaré vendredi à Cointelegraph que les attaquants auraient pu voler les fonds même sans l'EIP-7702.

« La mise à niveau 7702 permet de faire cela en une seule opération, et constitue peut-être un moyen de contourner certains contrôles dont ils disposaient », a expliqué Ben-Natan, précisant que sans cette mise à niveau, les attaquants auraient eu besoin de plusieurs transactions.

Le plus grand piratage de l'histoire des cryptomonnaies

Binance a confirmé vendredi avoir subi un piratage de 6,3 milliards de dollars — le plus important de l'histoire des cryptomonnaies — et s'est engagée à couvrir l'intégralité des pertes de ses clients. La plateforme a indiqué avoir par la suite découvert d'autres points d'intrusion, après avoir d'abord suspecté la compromission de l'ordinateur portable de l'un de ses ingénieurs.

L'EIP-7702 soulevait des inquiétudes de sécurité avant le piratage de Binance

Ethereum a activé l'Ethereum Improvement Proposal 7702 (EIP-7702) en mai 2025 dans le cadre de sa mise à niveau Pectra. Cette proposition permet aux portefeuilles ordinaires d'accéder à des fonctionnalités de contrats intelligents telles que les transactions groupées et les frais de gaz sponsorisés. Elle fonctionne en permettant à un portefeuille de déléguer le contrôle à du code de contrat, et cette délégation reste active jusqu'à sa révocation explicite — un détail qui a alimenté une grande partie du débat de sécurité autour de cette fonctionnalité.

Les inquiétudes de sécurité sont apparues en quelques semaines. En mai 2025, la société de trading crypto Wintermute a signalé que la plupart des premières délégations EIP-7702 pointaient vers des contrats malveillants conçus pour vider automatiquement les portefeuilles compromis.

Ces risques ont refait surface en septembre 2025, lorsque des détenteurs de tokens World Liberty Financial (WLFI) ont signalé des pertes liées à des délégations EIP-7702 malveillantes.

Le membre de la communauté Ethereum VEER a évoqué des alertes de sécurité soulevées lors des discussions sur l'EIP-7702 en 2024. VEER a ensuite indiqué que l'attaque contre Binance semblait plus large qu'une simple signature malveillante, mais a noté que l'EIP-7702 offrait aux attaquants « un pratique bouton de balayage sur Ethereum ».

Des systèmes de signature compromis suspectés

Le PDG de Binance, Richard Teng, a déclaré que les enquêteurs n'avaient trouvé aucune preuve de fuite des clés privées des portefeuilles, une constatation qui oriente l'attention vers les systèmes utilisés pour approuver les retraits plutôt que vers la garde des clés elle-même.

Selon Ben-Natan, les attaquants auraient pu utiliser l'ordinateur d'un développeur compromis pour accéder à l'infrastructure de signature de portefeuille de Binance.

« Ils sont finalement parvenus à une position où ils pouvaient proposer des transactions à ce qui est très probablement un signataire très sécurisé ayant la garde de l'un des hot wallets de Binance », a-t-il déclaré. « La leçon, c'est qu'au final, le signataire a signé une transaction qu'il n'aurait pas dû signer. »

Les hot wallets sont des portefeuilles connectés à Internet que les plateformes maintiennent pour traiter les retraits des clients, ce qui fait du flux d'approbation qui les entoure l'un des points de contrôle de sécurité les plus sensibles d'une plateforme.

Ivo Georgiev, co-fondateur et PDG du fournisseur de portefeuilles Ethereum Ambire, a estimé que l'EIP-7702 a joué un rôle minime dans l'attaque, car les pirates disposaient déjà de la capacité d'autoriser des transactions. Il a indiqué que les attaquants auraient pu soutirer les fonds par d'autres moyens, tout en avertissant que les ingénieurs des plateformes pourraient négliger de révoquer une délégation EIP-7702 malveillante après avoir repris le contrôle de leurs systèmes.

« C'est un problème avec l'EIP 7702, il est tout simplement très très mal compris », a déclaré Georgiev.

Ben-Natan a averti que des attaques similaires visant les systèmes de signature menacent d'autres plateformes et a indiqué que la simulation de transactions — qui consiste à prévisualiser ce qu'une transaction proposée ferait avant sa signature — pourrait aider à détecter les requêtes malveillantes avant leur approbation.