Dane on-chain pokazują, że delegowane uprawnienia portfeli powiązały dwa ethereumowe konta oznaczone jako Binance w podejrzanym incydencie bezpieczeństwa. Kod zainstalowany na jednym z portfeli umożliwił zewnętrznemu adresowi przeniesienie aktywów z tego portfela oraz z drugiego inteligentnego portfela. Oznaczenia „Binance” pochodzą z systemu tagowania Etherscan i same w sobie nie stanowią potwierdzenia ze strony giełdy. Dane potwierdzają sekwencję transferów, ale nie pokazują, czy ruchy były autoryzowane ani czy Binance lub jej klienci ponieśli straty. The Defiant opisał tę sekwencję w relacji dotyczącej podejrzanego incydentu.

Binance poinformowało, że prowadzi dochodzenie w sprawie podejrzanego incydentu, a wypłaty zostaną wznowione po rozwiązaniu problemu.

Delegacja zainstalowana, portfel opróżniony w ciągu kilku minut

Konto Ethereum oznaczone przez Etherscan jako „Binance 14” przetransferowało około 167,464 ETH i 1.615 miliarda USDT 29 października. Na koncie zainstalowano delegację EIP-7702, a wywołanie, które przeniosło aktywa, zostało przesłane przez inny adres.

Transakcja autoryzacyjna zainstalowała delegację o 4:20:59 p.m. ET. Trzy minuty i 24 sekundy później, o 4:24:23 p.m. ET, zewnętrzny adres wywołał funkcję opróżniania portfela. W tej transakcji odnotowano 63 transfery ERC-20 obok transferu ETH, w tym USDT.

Opróżniono drugi inteligentny portfel

Ten sam nadawca ponownie wywołał delegowany portfel o 4:41:23 p.m. ET. Wywołanie spowodowało transfer 780 milionów USDC z oddzielnego inteligentnego portfela oznaczonego jako Binance do tego samego odbiorcy. Whale Alert oznaczył ten ruch jako transfer z Binance do nieznanego portfela.

Źródłem tokenów był kontrakt oznaczony jako „Binance: Hot Wallet 34”, a nie Binance 14. Interfejs kontraktu Etherscan w trybie tylko do odczytu wskazuje Binance 14 jako właściciela inteligentnego portfela, a ślad wykonania pokazuje, że Binance 14 wywołał inteligentny portfel, który następnie wywołał kontrakt USDC w celu przetransferowania tokenów. Dane łączą zatem oba ruchy poprzez wspólnego wywołującego i odbiorcę, ale nie rozstrzygają kwestii autoryzacji ani ewentualnych strat.

Adres, który przesłał wywołania, utworzył również kontrakt delegata. Wcześniej otrzymał około 0.0983 ETH z puli Tornado Cash 28 października. Źródło podaje szczegóły tej transakcji, ale nie ustala, kto kontrolował adres ani dlaczego otrzymał środki.

Co umożliwiła delegacja

EIP-7702 pozwala zwykłemu portfelowi Ethereum kontrolowanemu za pomocą klucza wykonywać kod przechowywany pod innym adresem. Funkcja została uruchomiona w sieci głównej Ethereum w ramach aktualizacji Pectra w maju 2025 roku. Instalacja delegacji wymaga podpisu kluczem portfela, a jej zamierzone zastosowania obejmują łączenie operacji w pakiety oraz umożliwienie innej osobie opłacania opłat transakcyjnych.

Po zainstalowaniu delegacja pozostaje aktywna także po zakończeniu transakcji, która ją ustanowiła. Późniejsi wywołujący mogą uruchamiać działania dozwolone przez delegowany kod bez konieczności uzyskania kolejnego podpisu kluczem portfela. Założyciel Phylax Systems, Odysseus, opisał tę sekwencję w wątku: „Delegacja pozostaje aktywna; ten kod może autoryzować późniejsze transfery bez kolejnego podpisu z portfela”.

EIP ostrzega, że delegowany kod ma „nieograniczony dostęp do konta”, i wskazuje, że portfele muszą go dokładnie audytować. Delegację można zastąpić lub usunąć za pomocą nowej autoryzacji podpisanej kluczem, a protokół pozwala ją wyczyścić poprzez autoryzację zerowego adresu.

Powiązane informacje o bezpieczeństwie

W odrębnych materiałach dotyczących kradzieży kryptowalut analizowano inny rodzaj awarii bezpieczeństwa: relacja Bitget dotycząca kradzieży zero-day opisuje nieautoryzowane wypłaty powiązane z luką w produktach bezpieczeństwa firm trzecich. Inny przypadek pokazuje, jak wynik sprawy może zależeć od dowodów — południowokoreański sąd uniewinnił influencera kryptowalutowego, uznając, że prokuratura nie udowodniła, w jaki sposób jego działania wpłynęły na token. Raporty te dotyczą innych wydarzeń. Kwestie ubezpieczenia po włamaniu na Binance również mogą zależeć od warunków polisy, wyłączeń oraz sposobu, w jaki doszło do naruszenia; tamta analiza nie potwierdza ochrony ubezpieczeniowej w tym incydencie.

Do wskazanych kolejnych kroków należą dochodzenie Binance oraz jej oświadczenie dotyczące wypłat. Na tym etapie najważniejsze pozostają konkretne kwestie: czy wypłaty zostaną wznowione po ogłoszeniu przez spółkę rozwiązania problemu, czy delegacja na Binance 14 zostanie zastąpiona lub usunięta za pomocą nowej autoryzacji podpisanej kluczem oraz czy kolejne ruchy obejmą oznaczone konta. Dostępne dane transakcyjne wyjaśniają, w jaki sposób delegowany kod uzyskał dostęp do aktywów na drugim koncie, ale nie rozstrzygają, kto autoryzował te działania ani czy doszło do utraty środków klientów.