Il fondatore di Cardano Charles Hoskinson ha avvisato della circolazione di codice pericoloso dopo la violazione del wallet di Binance, condividendo un'analisi tecnica di terze parti dell'incidente. Il rapporto collega la funzionalità di delega EIP-7702 di Ethereum al rapido trasferimento degli asset, anche se l'exchange non ha confermato come gli attaccanti abbiano ottenuto l'autorizzazione di firma.

In un post su X del 30 ottobre, Hoskinson ha messo in guardia affermando che "there is some seriously dangerous code out there". Ha condiviso un resoconto tecnico di CyberSatoshi che descrive un contratto presumibilmente progettato per svuotare un hot wallet molto attivo di un exchange — un account connesso a Internet su cui gli exchange fanno affidamento per elaborare prelievi e depositi dei clienti:

Careful, there is some seriously dangerous code out there. pic.twitter.com/w7wM1nn0Lz — Charles Hoskinson (@IOHK_Charles) October 30, 2026

La perdita causata dal più ampio attacco del 29 ottobre è stata stimata in 6,3 miliardi di dollari, secondo Bloomberg. L'annuncio dell'azienda del 30 ottobre indicava che gli investigatori non avevano trovato alcuna chiave privata rubata.

Cosa ha trovato l'analisi nel wallet di Binance?

Secondo CyberSatoshi, il contratto conteneva una funzione che incamerava i fondi lasciando dietro solo un ETH, garantendo che il processo di pagamento non fallisse per mancanza di gas.

Questa teoria su come funzionavano gli avvisi all'interno dell'exchange non è ancora stata verificata, e Binance non ha confermato l'informazione. Il contratto avrebbe controllato il saldo di ogni token e sarebbe andato avanti indipendentemente dal fallimento di una singola transazione, il che significa che altri token potevano comunque essere elaborati anche se uno era limitato.

L'analisi ha inoltre identificato una funzione execute che accedeva a un wallet contenente circa 823 milioni di dollari in token USDC. Quel wallet avrebbe riconosciuto come controllore autorizzato l'hot wallet limitato noto come Binance 14. Gli esperti di blockchain hanno discusso i risultati, ma resta chiaro quale effetto abbia avuto, e il resoconto non mostra come il firmatario originale abbia ottenuto le autorizzazioni.

Come funziona la delega EIP-7702 di Ethereum?

L'EIP-7702 consente a qualsiasi account del protocollo Ethereum di utilizzare il codice di altri indirizzi per la delega, una capacità pensata per portare la funzionalità degli smart contract ai normali account degli utenti. Lo standard supporta le transazioni batch e il pagamento delle commissioni da parte di terzi. Le sue autorizzazioni consistono in un identificatore di catena, l'indirizzo del delegato, i nonce delle transazioni e le firme. Una volta verificati questi parametri, il codice viene assegnato all'account.

Ciò significa che l'attacco non avrebbe potuto avvenire solo tramite EIP-7702: l'attaccante doveva possedere un'autorizzazione di firma valida. Secondo CyberSatoshi, l'attaccante aveva accesso alla chiave privata oppure è riuscito a ottenere autorizzazioni senza restrizioni. Secondo Binance, tuttavia, non è stata trovata alcuna fuga di chiavi private di questo tipo.

Perché sono state inviate 50 autorizzazioni?

Il ricercatore ha identificato un insieme di 50 firme per autorizzazioni con nonce consecutivi. Un nonce è un valore che cambia ogni volta che un account effettua una transazione. Poiché Binance 14 è noto per gestire trasferimenti frequenti, l'attaccante avrebbe generato più record corrispondenti ai suoi nonce variabili.

L'indagine sulla blockchain mostra che una sola autorizzazione corrisponde al nonce attuale del wallet e avvia il processo di delega. Ethereum esegue ogni autorizzazione in sequenza saltando quelle che non superano la validazione, e più autorizzazioni consecutive possono andare a buon fine purché i loro nonce siano corretti al momento dell'elaborazione. Nel caso in questione, secondo varie fonti, c'era una sola voce corrispondente. La successiva azione delegata ha trasferito grandi quantità di token attraverso una singola transazione.

Secondo CyberSatoshi, tale velocità ha lasciato a Binance poco tempo per reagire. A differenza dei pagamenti con carta, che includono meccanismi di chargeback, i trasferimenti su blockchain non hanno alcun meccanismo integrato di reversibilità una volta confermata la transazione. Tuttavia, l'affermazione secondo cui il movimento avrebbe potuto essere rilevato in anticipo tramite transazioni normali è discutibile.

Quali rischi per la sicurezza identifica l'EIP-7702?

Secondo le specifiche di Ethereum, il codice delegato può accedere a un account senza restrizioni aggiuntive, e lo standard raccomanda ai revisori degli sviluppatori di wallet di esaminare il contratto e prevenire gli attacchi di replay.

La delega persiste anche dopo il completamento della transazione che la stabilisce. Un'autorizzazione elaborata non viene semplicemente eliminata, anche se l'esecuzione della delega fallisce successivamente. Un'autorizzazione che nomina l'indirizzo zero elimina la delega, il che significa che l'accesso delegato rimane in vigore finché non viene esplicitamente revocato.

Binance ha confermato di aver già revocato le autorizzazioni interessate e di aver rafforzato le proprie misure di sicurezza. L'azienda ha assicurato ai clienti che le perdite saranno compensate e che verrà pubblicato un rapporto tecnico. Come sia stato ottenuto l'accesso di firma resta una domanda aperta, e la questione del controllo degli accessi richiede ancora indagini — il rapporto tecnico promesso dall'exchange sarà quindi il prossimo documento da tenere d'occhio per le risposte.