Firma zajmująca się bezpieczeństwem blockchainów, Blockaid, informuje, że skompromitowane systemy podpisywania transakcji prawdopodobnie umożliwiły kradzież około 6,3 miliarda dolarów z Binance, a aktualizacja EIP-7702 w Ethereum mogła pomóc atakującym ominąć niektóre kontrole bezpieczeństwa.

Ido Ben-Natan, współzałożyciel i CEO Blockaidu, powiedział Cointelegraph w piątek, że atakujący mogli ukraść środki nawet bez EIP-7702.

„Aktualizacja 7702 to sposób, aby zrobić to jednym ruchem i być może sposób na ominięcie jakichś kontroli, jakie mogą mieć” — powiedział Ben-Natan, wyjaśniając, że w przeciwnym razie atakujący potrzebowaliby wielu transakcji.

Binance potwierdził w piątek, że padł ofiarą hacku o wartości 6,3 miliarda dolarów — największego w historii kryptowalut — i zobowiązał się pokryć wszystkie straty, co oznacza, że poszkodowani użytkownicy nie poniosą strat. Giełda poinformowała, że po początkowym podejrzeniu o skompromitowany laptop jednego ze swoich inżynierów odkryła później dodatkowe punkty włamania.

Obawy dotyczące bezpieczeństwa EIP-7702 poprzedzają hack na Binance

Ethereum wprowadziło Ethereum Improvement Proposal 7702 (EIP-7702) w maju 2025 roku w ramach aktualizacji Pectra, pozwalając zwykłym portfelom korzystać z funkcji inteligentnych kontraktów, takich jak transakcje pakietowe i sponsorowane opłaty gas. Zgodnie ze standardem portfel może przekazać kontrolę kodowi inteligentnego kontraktu, dzięki czemu pojedyncza autoryzacja może obejmować wiele transferów, a nie jedną transakcję na raz — to właśnie tę możliwość „jednego ruchu” opisał Ben-Natan.

Obawy dotyczące bezpieczeństwa pojawiły się w ciągu kilku tygodni. W maju 2025 roku firma zajmująca się handlem kryptowalutami Wintermute poinformowała, że większość wczesnych delegacji EIP-7702 wskazywała na złośliwe kontrakty zaprojektowane tak, aby automatycznie opróżniać skompromitowane portfele.

Ryzyko powróciło we wrześniu 2025 roku, gdy posiadacze tokenów World Liberty Financial (WLFI) zgłosili straty związane ze złośliwymi delegacjami EIP-7702.

Członek społeczności Ethereum VEER przywołał ostrzeżenia dotyczące bezpieczeństwa zgłoszone podczas dyskusji nad EIP-7702 w 2024 roku. VEER stwierdził później, że atak na Binance wydawał się szerszy niż pojedynczy złośliwy podpis, ale EIP-7702 dało atakującym „wygodny przycisk opróżniania w Ethereum”.

Podejrzenie kompromitacji systemu podpisywania

CEO Binance Richard Teng powiedział, że śledczy nie znaleźli dowodów na wyciek kluczy prywatnych portfeli.

Ben-Natan powiedział, że atakujący mogli użyć skompromitowanego komputera dewelopera, aby uzyskać dostęp do infrastruktury podpisywania portfeli Binance.

„Ostatecznie doszli do punktu, w którym mogli proponować transakcje temu, co jest najprawdopodobniej bardzo bezpiecznym podpisującym, mającym pieczę nad jednym z portfeli gorących Binance” — powiedział. „Wniosek jest taki, że ostatecznie podpisujący podpisał transakcję, której nie powinien był podpisać”.

Cointelegraph publikuje informacje na bieżąco, gdy Binance odkrywa kolejne punkty włamania w hacku o wartości 6,3 miliarda dolarów.

Ivo Georgiev, współzałożyciel i CEO dostawcy portfeli Ethereum Ambire, powiedział, że EIP-7702 nie miało większego znaczenia dla ataku, ponieważ hakerzy mieli już możliwość autoryzacji transakcji. Stwierdził, że atakujący mogli opróżnić środki innymi metodami, ale ostrzegł, że inżynierowie giełdowi mogą przeoczyć konieczność odwołania złośliwej delegacji EIP-7702 po odzyskaniu kontroli nad swoimi systemami. W przeciwieństwie do pojedynczej autoryzacji transakcji, delegacja może pozostawać aktywna, dopóki nie zostanie wyraźnie odwołana — szczegół, który sprawia, że łatwo go przeoczyć podczas działań naprawczych po incydencie.

„To jest problem z EIP 7702 — jest po prostu bardzo, bardzo słabo zrozumiałe” — powiedział Georgiev.

Ben-Natan ostrzegł, że podobne ataki na systemy podpisywania zagrażają innym giełdom, i powiedział, że symulacja transakcji może pomóc wykryć złośliwe żądania, zanim zostaną zatwierdzone. Uwaga koncentruje się teraz na dwóch kwestiach wskazanych przez kierowników: czy trwające dochodzenie Binance ujawni kolejne punkty włamania oraz czy giełdy i dostawcy portfeli uczynią odwoływanie delegacji i symulację transakcji standardowymi elementami swoich procedur bezpieczeństwa.