Le fondateur de Cardano, Charles Hoskinson, a averti de la circulation d'un code dangereux après la violation du portefeuille de Binance, en partageant une analyse technique tierce de l'incident. Le rapport relie la fonctionnalité de délégation EIP-7702 d'Ethereum au transfert rapide des actifs, bien que la plateforme n'ait pas confirmé comment les attaquants ont obtenu l'autorisation de signature.

Dans une publication X du 30 octobre, Hoskinson a mis en garde : « il existe du code extrêmement dangereux ». Il a partagé un compte technique de CyberSatoshi décrivant un contrat conçu, selon les allégations, pour vider un hot wallet très actif d'une plateforme d'échange — un compte connecté à Internet sur lequel les plateformes s'appuient pour traiter les retraits et dépôts des clients :

Careful, there is some seriously dangerous code out there. pic.twitter.com/w7wM1nn0Lz — Charles Hoskinson (@IOHK_Charles) October 30, 2026

Les pertes causées par l'attaque plus large du 29 octobre ont été estimées à 6,3 milliards de dollars, selon Bloomberg. L'annonce de la société le 30 octobre indiquait que les enquêteurs n'avaient découvert aucune clé privée volée.

Qu'a trouvé l'analyse dans le portefeuille de Binance ?

Selon CyberSatoshi, le contrat contenait une fonction qui aspirait les fonds en ne laissant qu'un seul ETH, afin de garantir que le processus de paiement n'échoue pas en raison d'un manque de gas.

Cette théorie sur le fonctionnement des alertes au sein de la plateforme n'a pas encore été vérifiée, et Binance n'a pas confirmé cette information. Le contrat aurait vérifié le solde de chaque token et poursuivi le processus indépendamment de l'échec d'une transaction individuelle, ce qui signifie que d'autres tokens pouvaient être traités même si l'un d'entre eux était bloqué.

L'analyse a également identifié une fonction d'exécution qui accédait à un portefeuille détenant environ 823 millions de dollars en tokens USDC. Ce portefeuille aurait reconnu le hot wallet bloqué connu sous le nom de Binance 14 comme un contrôleur autorisé. Des experts de la blockchain ont discuté de ces conclusions, mais il reste unclear quel effet cela a eu, et le compte ne montre pas comment le signataire initial a obtenu les permissions.

Comment fonctionne la délégation EIP-7702 d'Ethereum ?

EIP-7702 permet à n'importe quel compte du protocole Ethereum d'utiliser le code d'autres adresses pour la délégation, une capacité destinée à apporter la fonctionnalité des smart contracts aux comptes d'utilisateurs ordinaires. La norme prend en charge les transactions par lot et le paiement des frais par un tiers. Ses permissions se composent d'un identifiant de chaîne, de l'adresse du délégué, de nonces de transaction et de signatures. Une fois ces paramètres vérifiés, le code est assigné au compte.

Cela signifie que l'attaque n'aurait pas pu se produire par le seul biais d'EIP-7702 : l'attaquant devait détenir une permission de signature valide. Selon CyberSatoshi, l'attaquant avait soit accès à la clé privée, soit a pu obtenir des permissions illimitées. Selon Binance, toutefois, aucune fuite de clés privées de ce type n'a été constatée.

Pourquoi 50 autorisations ont-elles été soumises ?

Le chercheur a identifié un ensemble de 50 signatures pour des autorisations avec des nonces consécutives. Un nonce est une valeur qui change à chaque fois qu'un compte effectue une transaction. Comme Binance 14 est connu pour gérer des transferts fréquents, l'attaquant aurait généré plusieurs enregistrements correspondant à ses nonces variables.

L'enquête blockchain montre qu'une autorisation correspond au nonce actuel du portefeuille et lance le processus de délégation. Ethereum exécute chaque autorisation en séquence tout en ignorant celles qui échouent à la validation, et plusieurs autorisations consécutives peuvent aboutir à condition que leurs nonces soient correctes au moment du traitement. Dans le cas concerné, selon diverses sources, il n'y avait qu'une seule entrée correspondante. L'action déléguée suivante a transféré de grandes quantités de tokens en une seule transaction.

Selon CyberSatoshi, cette rapidité a laissé peu de temps à Binance pour réagir. Contrairement aux paiements par carte, qui incluent des mécanismes de rétrofacturation, les transferts blockchain ne comportent aucune inversion intégrée une fois la transaction confirmée. Cependant, l'affirmation selon laquelle le mouvement aurait pu être détecté tôt via des transactions normales est discutable.

Quels risques de sécurité EIP-7702 identifie-t-il ?

Selon les spécifications d'Ethereum, le code délégué peut accéder à un compte sans restrictions supplémentaires, et la norme recommande aux auditeurs des développeurs de portefeuilles d'examiner le contrat et de prévenir les attaques par rejeu.

La délégation persiste même après l'achèvement de la transaction qui la met en place. Une autorisation traitée n'est pas simplement supprimée, même si l'exécution de la délégation échoue ensuite. Une autorisation désignant l'adresse zéro supprime la délégation, ce qui signifie que l'accès délégué reste en vigueur jusqu'à ce qu'il soit explicitement révoqué.

Binance a confirmé qu'elle avait déjà révoqué les autorisations concernées et renforcé ses mesures de sécurité. La société a assuré aux clients que les pertes seront compensées et qu'un rapport technique sera publié. La manière dont l'accès de signature a été obtenu reste une question ouverte, et la question du contrôle d'accès nécessite encore une enquête — faisant du rapport technique promis par la plateforme le prochain document à surveiller pour obtenir des réponses.