Blockchainbeveiligingsbedrijf Blockaid zegt dat gecompromitteerde signeringssystemen waarschijnlijk de diefstal van ongeveer 6,3 miljard dollar bij Binance hebben mogelijk gemaakt, terwijl de Ethereum-upgrade EIP-7702 de aanvallers mogelijk heeft geholpen bepaalde beveiligingscontroles te omzeilen.

Ido Ben-Natan, medeoprichter en CEO van Blockaid, vertelde Cointelegraph vrijdag dat de aanvallers de fondsen zelfs zonder EIP-7702 hadden kunnen stelen.

"De 7702-upgrade is een manier om dit in één keer te doen en misschien een manier om bepaalde controles die ze mogelijk hebben te omzeilen", aldus Ben-Natan, die uitlegde dat de aanvallers anders meerdere transacties nodig zouden hebben gehad.

Binance bevestigde vrijdag dat het slachtoffer was geworden van de hack van 6,3 miljard dollar — de grootste in de geschiedenis van crypto — en beloofde alle verliezen te dekken, een toezegging die ervoor zorgt dat getroffen gebruikers de verliezen niet zelf hoeven te dragen. De beurs zei later extra toegangspunten te hebben ontdekt, nadat aanvankelijk een gecompromitteerde laptop van een van haar ingenieurs werd vermoed.

Zorgvragen over EIP-7702 bestonden al vóór de Binance-hack

Ethereum introduceerde Ethereum Improvement Proposal 7702 (EIP-7702) in mei 2025 als onderdeel van de Pectra-upgrade, waarmee gewone wallets smart-contractfuncties kunnen gebruiken zoals gebundelde transacties en gesponsorde gasvergoedingen. Volgens de standaard kan een wallet de controle delegeren aan smart-contractcode, zodat één autorisatie meerdere overboekingen kan dekken in plaats van één transactie tegelijk — de "één-slag"-mogelijkheid die Ben-Natan beschreef.

Zorgvragen over de beveiliging ontstonden binnen enkele weken. In mei 2025 meldde handelsfirma Wintermute dat de meeste vroege EIP-7702-delegaties wezen naar kwaadaardige contracten die waren ontworpen om gecompromitteerde wallets automatisch te legen.

De risico's dookden in september 2025 weer op, toen houders van World Liberty Financial (WLFI)-tokens verliezen meldden die verband hielden met kwaadaardige EIP-7702-delegaties.

Ethereum-communitylid VEER wees op beveiligingswaarschuwingen die in 2024 tijdens besprekingen over EIP-7702 waren geuit. VEER zei later dat de aanval op Binance breder leek dan één kwaadaardige handtekening, maar dat EIP-7702 de aanvallers "een handige veegknop op Ethereum" gaf.

Gecompromitteerd signeringssysteem vermoed

Binance-CEO Richard Teng zei dat onderzoekers geen bewijs hadden gevonden dat de privésleutels van wallets waren gelekt.

Ben-Natan zei dat de aanvallers mogelijk een gecompromitteerde computer van een ontwikkelaar hebben gebruikt om toegang te krijgen tot de wallet-signeringsinfrastructuur van Binance.

"Uiteindelijk kwamen ze in een positie waarin ze transacties konden voorstellen aan wat zeer waarschijnlijk een zeer veilige ondertekenaar is die het beheer heeft over een van de hot wallets van Binance", aldus Ben-Natan. "De conclusie is dat de ondertekenaar uiteindelijk een transactie heeft ondertekend die niet had mogen plaatsvinden."

Cointelegraph publiceert live updates nu Binance extra toegangspunten ontdekt in de hack van 6,3 miljard dollar.

Ivo Georgiev, medeoprichter en CEO van Ethereum-walletprovider Ambire, zei dat EIP-7702 weinig verschil maakte voor de aanval, omdat de hackers al de mogelijkheid hadden om transacties te autoriseren. Hij zei dat de aanvallers de fondsen via andere methoden hadden kunnen legen, maar waarschuwde dat beursingenieurs mogelijk over het hoofd zien dat een kwaadaardige EIP-7702-delegatie moet worden ingetrokken nadat ze de controle over hun systemen hebben hersteld. In tegenstelling tot een eenmalige transactiegoedkeuring kan een delegatie van kracht blijven totdat deze expliciet wordt ingetrokken — een detail dat de opschoning na een incident gemakkelijk te missen maakt.

"Dit is een probleem met EIP 7702, het wordt gewoon heel, heel slecht begrepen", aldus Georgiev.

Ben-Natan waarschuwde dat vergelijkbare aanvallen op signeringssystemen andere beurzen bedreigen en zei dat transactiesimulatie kan helpen om kwaadaardige verzoeken op te sporen voordat ze worden goedgekeurd. De aandacht richt zich nu op twee punten die de bestuursvoorzitters aangaven: of het lopende onderzoek van Binance verdere toegangspunten aan het licht brengt, en of beurzen en walletproviders delegatie-intrekking en transactiesimulatie standaard onderdeel maken van hun beveiligingsroutines.