Свежий ончейн-анализ проливает свет на то, как разворачивалась одна из крупнейших краж криптовалюты в истории вокруг системы горячих кошельков Binance. По данным компании Blockaid, атакующий отправил одну транзакцию Ethereum типа 4, содержавшую 50 авторизаций EIP-7702, каждая из которых «ставила» на свой нонс, пока одна не совпала с актуальным нонсом горячего кошелька биржи, известного как Binance 14.

The attacker didn't know Binance 14's live nonce. So they sprayed 50 EIP-7702 auths (18914775-18914824) in one type-4 tx. Only 1 of 50 was a hit. A 7702 auth is valid only for the current nonce at inclusion. The hot wallet was still firing. One nonce in that window landed.

— Blockaid (@blockaid_) October 29, 2026

Анализ компании подробно описывает, как узкое временное окно в сочетании с активностью кошелька позволили одной авторизации успешно пройти. Атакующему не нужно было заранее вычислять точный нонс: группа из 50 авторизаций создавала диапазон, в котором одна могла совпасть, пока Binance 14 продолжал проводить транзакции. Blockaid оценивает потери от более широкого инцидента не менее чем в $5,5 млрд.

50 авторизаций EIP-7702 дали один успешный результат

В 20:20:59 UTC 29 октября атакующий отправил 50 авторизаций, охватывающих нонсы с 18 914 775 по 18 914 824. Binance 14 в это время все еще обрабатывал выводы средств, из-за чего его нонс постоянно менялся. Атакующий не знал точного значения актуального нонса — лишь то, что он находится в этом диапазоне.

По данным Blockaid, из 50 авторизаций 49 оказались недействительными и только одна была принята. Успешная авторизация делегировала кошелек Binance контракту-свиперу под контролем атакующего. Поскольку авторизация EIP-7702 действительна только для текущего нонса на момент включения транзакции, стратегия зависела от активности кошелька — и пока Binance 14 продолжал отправлять транзакции, один нонс из диапазона совпал. Затем атакующий вызвал контракт-свипер и опустошил кошелек примерно через три минуты.

EIP-7702 превратил горячий кошелек в программируемый аккаунт

EIP-7702 расширяет возможности Ethereum, позволяя внешнему аккаунту временно действовать как аккаунт смарт-контракта, делегируя исполнение коду. В данном случае делегированный контракт обладал очень широким функционалом, включая возможность вывода токенов и ETH из кошелька.

В первой крупной волне, по данным Blockaid, было переведено около 167 464 ETH, 1,615 млрд USDT и десятки других токенов общей стоимостью около $2,5 млрд на момент написания. Делегирование сохранялось и после этого, что со временем могло позволить вывести дополнительные средства без новой авторизации.

Инцидент с Binance вышел за рамки одного кошелька

Похоже, атака на Binance не закончилась первым выводом средств. По данным Blockaid, другие кошельки под контролем Binance переводили средства на адреса, связанные с той же операцией, в сетях Ethereum, Optimism, Arbitrum и Avalanche. Другие публичные оценки также указывали на вывод биткоина и средств в сети Tron, связанных с атакой.

Полный масштаб ущерба станет яснее по мере развития событий, однако по последним подсчетам Blockaid общие потери составляют не менее $5,5 млрд.

Binance сообщила, что знает о «возможном нарушении безопасности» и расследует, как оно произошло, не раскрывая деталей. Биржа заявила, что средства пользователей в безопасности.

Заморожено криптовалюты более чем на $2,5 млрд

Подозрительные переводы побудили эмитентов стейблкоинов и других участников отрасли действовать быстро. По состоянию на 29 октября Binance сообщила, что более $2,54 млрд активов, связанных с инцидентом, были заморожены. Из них почти $1,57 млрд заморозила Tether, а более $800 млн — Circle. Криптокомпании, такие как Ripple, также участвовали в заморозке активов.

Инцидент вновь привлек внимание к EIP-7702, прежде всего потому, что он не требовал взлома самого Ethereum. Напротив, действительная авторизация позволила контролируемому атакующим процессу перехватить исполнение горячего кошелька.

Blockaid сообщила, что вскоре после первой волны вывода средств обнаружила вредоносное делегирование и определила механизм EIP-7702 в течение нескольких минут.