オンチェーン記録によると、あるウォレットにインストールされたコードが外部アドレスに資産の移動を可能にした結果、委任されたウォレット権限が疑いのあるセキュリティ事故において2つのBinanceラベル付きイーサリアムアカウントを結び付け、さらに2つ目のスマートウォレットからも資産が移動されました。「Binance」のラベルはEtherscanのタグ付けシステムによるものであり、それ自体は取引所による確認を意味しません。記録は移送の順序を示していますが、移送が承認されたものか、Binanceやその顧客に損失が発生したかは示していません。The Defiantがこの疑いのある事故の経緯を報じています。

Binanceは疑いのある事故を調査中であり、問題が解決され次第出金を再開すると述べました。

委任のインストール後、数分でウォレットが引き出される

Etherscanが「Binance 14」とラベル付けしたイーサリアムアカウントは、10月29日に約167,464 ETHと16.15億USDTを移転しました。このアカウントにはEIP-7702デリゲーションがインストールされており、資産を移動させた呼び出しは別のアドレスが送信しました。

承認トランザクションによりデリゲーションがインストールされたのは東部夏時間午後4時20分59秒でした。その3分24秒後、午後4時24分23秒に外部アドレスがウォレットのスイープ機能を呼び出しました。このトランザクションではETH移動に加えて、USDTを含む63件のERC-20転送が1回の呼び出しにまとめて記録されました。

2つ目のスマートウォレットも流出

同じ送信者が午後4時41分23秒に再び委任ウォレットを呼び出しました。この呼び出しにより、別のBinanceラベル付きスマートウォレットから同じ受取人へ7.8億USDCが移動しました。Whale Alertはこの移動をBinanceから未知のウォレットへの転送として通知しました。

トークンの送信元は「Binance: Hot Wallet 34」とラベルされたコントラクトであり、Binance 14ではありません。Etherscanの読み取り専用コントラクトインターフェースは、Binance 14をそのスマートウォレットの所有者として識別しており、実行トレースではBinance 14がスマートウォレットを呼び出し、そのスマートウォレットがUSDCコントラクトを呼び出してトークンを転送しています。したがって、記録は共通の呼び出し元と受取人を通じて2つの移動を結び付けていますが、承認の有無と損失の発生は未解決のままです。

呼び出しを送信したアドレスは、デリゲートコントラクトの作成も行っていました。このアドレスは10月28日にTornado Cashプールから約0.0983 ETHを受け取っていました。ソースはこのトランザクションの詳細を報じていますが、誰がこのアドレスを管理していたのか、なぜ資金を受け取ったのかは確定していません。

デリゲーションで可能になったこと

EIP-7702は、通常の鍵で管理されるイーサリアムウォレットが、別のアドレスに格納されたコードを実行できるようにするものです。この機能は2025年5月のPectraアップグレードの一環としてイーサリアムメインネットで有効化されました。デリゲーションのインストールにはウォレットの鍵による署名が必要で、想定される用途には操作の一括実行や、他人によるトランザクション手数料の支払いなどが含まれます。

一度インストールされると、デリゲーションは設定時のトランザクションを超えて持続します。後の呼び出し元は、委任コードが許可するアクションを、ウォレットの鍵による新たな署名を必ずしも得ずに実行できます。Phylax Systemsの創設者Odysseusはスレッドでこの一連の流れを次のように説明しました。「デリゲーションは持続します。そのコードはウォレットからの追加署名なしに、後の転送を承認できます」。

このEIPは、委任コードが「アカウントへの無制限のアクセス」を持つと警告し、ウォレットはそれを厳密に監査しなければならないとしています。デリゲーションは新しい署名付き承認によって置換または解除でき、プロトコルはゼロアドレスを承認することによる解除を特にサポートしています。

関連セキュリティ報道

暗号資産窃盗に関する別の報道では、異なるセキュリティ事故が取り上げられています。Bitgetによるゼロデイ窃盗の説明では、サードパーティ製セキュリティ製品の欠陥に起因する不正出金が述べられています。別の事例では、結果が証拠次第で左右されうることが示されています。韓国の裁判所は、検察が被告の行為がトークンに与えた影響を証明していないとして、暗号資産インフルエンサーに無罪判決を下しました。これらの報道はそれぞれ異なる事件に関するものです。Binanceハッキング後の保険適用に関する疑問も、保険約款の条件、免責事項、侵害の発生方法に左右されうるものであり、その分析は本件への適用を確定するものではありません。

Binanceの調査と出金に関する声明が、現時点で示された次のステップです。今後注目すべき具体的な点は限定的です。会社が問題の解決を発表した後に出金が再開されるか、Binance 14のデリゲーションが新しい署名付き承認によって置換または解除されるか、さらにラベル付きアカウントに資産移動が発生するかどうかです。入手可能なトランザクション記録は、委任コードがどのように2つ目のアカウントの資産に到達したかを説明していますが、誰がこの活動を承認したのか、顧客資金に損失が発生したのかは確定していません。