Gecompromitteerde ondertekeningssystemen zijn waarschijnlijk wat de hack van 6,3 miljard dollar bij Binance mogelijk heeft gemaakt, en de EIP-7702-upgrade van Ethereum kan de aanvallenden hebben geholpen bepaalde beveiligingscontroles te omzeilen, aldus het blockchainbeveiligingsbedrijf Blockaid.

Ido Ben-Natan, medeoprichter en ceo van Blockaid, vertelde vrijdag aan Cointelegraph dat de aanvallenden de fondsen zelfs zonder EIP-7702 hadden kunnen stelen.

“De 7702-upgrade is een manier om dit in één keer te doen en misschien een manier om bepaalde controles te omzeilen die ze mogelijk hebben,” zei Ben-Natan, en legde uit dat de aanvallenden zonder de upgrade meerdere transacties nodig zouden hebben gehad.

Grootste Hack in de Geschiedenis van Crypto

Binance bevestigde vrijdag dat het slachtoffer was geworden van een hack van 6,3 miljard dollar — de grootste in de geschiedenis van crypto — en beloofde alle klantverliezen te dekken. De beurs zei later extra inbreukpunten te hebben ontdekt, nadat aanvankelijk werd vermoed dat de laptop van een van haar ingenieurs was gecompromitteerd.

EIP-7702 Riep Vóór de Binance Hack Al Zorgelijkheden Over de Beveiliging Op

Ethereum activeerde Ethereum Improvement Proposal 7702 (EIP-7702) in mei 2025 als onderdeel van de Pectra-upgrade. Het voorstel stelt gewone wallets in staat gebruik te maken van smart-contractfuncties zoals gebundelde transacties en gesponsorde gaskosten. Het werkt doordat een wallet de controle delegeert aan contractcode, en die delegatie actief blijft totdat deze expliciet wordt ingetrokken — een detail dat veel van het beveiligingsdebat rond deze functie heeft bepaald.

Zorgelijkheden over de beveiliging kwamen binnen enkele weken naar boven. In mei 2025 meldde het crypto-handelsbedrijf Wintermute dat de meeste vroege EIP-7702-delegaties wezen naar kwaadaardige contracten die waren ontworpen om gecompromitteerde wallets automatisch leeg te rakelen.

De risico's dookden in september 2025 weer op, toen houders van World Liberty Financial-tokens (WLFI) verliezen meldden die verband hielden met kwaadaardige EIP-7702-delegaties.

Ethereum-gemeenschapslid VEER verwees naar beveiligingswaarschuwingen die in 2024 waren geuit tijdens discussies over EIP-7702. VEER zei later dat de aanval op Binance breder leek dan één kwaadaardige handtekening, maar merkte op dat EIP-7702 de aanvallenden “een handige veegknop op Ethereum” gaf.

Gecompromitteerde Ondertekeningssystemen Vermoed

Binance-ceo Richard Teng zei dat onderzoekers geen bewijs hadden gevonden dat de privésleutels van wallets waren gelekt — een bevinding die de aandacht richt op de systemen die worden gebruikt om opnames goed te keuren, in plaats van op het beheer van de sleutels zelf.

Volgens Ben-Natan hebben de aanvallenden mogelijk een gecompromitteerde computer van een ontwikkelaar gebruikt om toegang te krijgen tot de wallet-ondertekeningsinfrastructuur van Binance.

“Uiteindelijk kwamen ze in een positie waarin ze transacties konden voorstellen aan wat zeer waarschijnlijk een zeer veilige ondertekenaar is die het beheer heeft over een van de hot wallets van Binance,” zei hij. “De conclusie is dat de ondertekenaar uiteindelijk een transactie heeft ondertekend die niet had mogen plaatsvinden.”

Hot wallets zijn met internet verbonden wallets die beurzen aanhouden om klantopnames te verwerken, waardoor de goedkeuringsworkflow eromheen een van de meest gevoelige beveiligingscontrolepunten van een beurs is.

Ivo Georgiev, medeoprichter en ceo van Ethereum-walletaanbieder Ambire, betoogde dat EIP-7702 weinig verschil maakte in de aanval, omdat de hackers al de mogelijkheid hadden om transacties te autoriseren. Hij zei dat de aanvallenden de fondsen via andere methoden hadden kunnen stelen, maar waarschuwde dat ingenieurs van beurzen mogelijk over het hoofd zien dat een kwaadaardige EIP-7702-delegatie moet worden ingetrokken nadat ze weer de controle over hun systemen hebben herkregen.

“Dit is een probleem met EIP 7702, het wordt gewoon heel erg slecht begrepen,” zei Georgiev.

Ben-Natan waarschuwde dat vergelijkbare aanvallen op ondertekeningssystemen een bedreiging vormen voor andere beurzen en zei dat transactiesimulatie — een vooruitblik op wat een voorgestelde transactie zou doen voordat deze wordt ondertekend — kan helpen om kwaadaardige verzoeken op te sporen voordat ze worden goedgekeurd.