Взлом Binance на 6,3 млрд долларов, скорее всего, стал возможен из-за компрометации систем подписания транзакций, а обновление Ethereum EIP-7702 могло помочь злоумышленникам обойти ряд проверок безопасности, сообщает компания в области блокчейн-безопасности Blockaid.

Сооснователь и гендиректор Blockaid Идо Бен-Натан рассказал Cointelegraph в пятницу, что злоумышленники могли украсть средства даже без EIP-7702.

«Обновление 7702 — это способ сделать это одним махом и, возможно, способ обойти какие-то проверки, которые у них могли быть», — сказал Бен-Натан, пояснив, что без этого обновления злоумышленникам понадобилось бы несколько транзакций.

Крупнейший взлом в истории криптовалют

Binance подтвердила в пятницу, что подверглась взлому на 6,3 млрд долларов — крупнейшему в истории криптовалют — и пообещала возместить все потери клиентов. Биржа сообщила, что позже выявила дополнительные точки проникновения после того, как поначалу подозревала компрометацию ноутбука одного из своих инженеров.

EIP-7702 вызывал опасения по безопасности ещё до взлома Binance

Ethereum активировал предложение по улучшению Ethereum 7702 (EIP-7702) в мае 2025 года в рамках обновления Pectra. Это предложение позволяет обычным кошелькам использовать функции смарт-контрактов, такие как пакетные транзакции и спонсируемая оплата газа. Механизм работает за счёт делегирования управления кошельком коду контракта, и такое делегирование остаётся активным, пока не будет явно отозвано — деталь, во многом определившая дискуссию о безопасности этой функции.

Опасения по безопасности появились уже через несколько недель. В мае 2025 года криптотрейдинговая фирма Wintermute сообщила, что большинство ранних делегирований EIP-7702 указывали на вредоносные контракты, предназначенные для автоматического опустошения скомпрометированных кошельков.

Риски вновь проявились в сентябре 2025 года, когда держатели токенов World Liberty Financial (WLFI) сообщили о потерях, связанных с вредоносными делегированиями EIP-7702.

Участник сообщества Ethereum VEER сослался на предупреждения о безопасности, высказанные в ходе обсуждения EIP-7702 в 2024 году. Позднее VEER заявил, что атака на Binance выглядела шире, чем одна вредоносная подпись, но отметил, что EIP-7702 дал злоумышленникам «удобную кнопку для вывода средств в Ethereum».

Подозрение на компрометацию систем подписания

Гендиректор Binance Ричард Тэнг сообщил, что следователи не нашли доказательств утечки приватных ключей кошельков — вывод, который смещает внимание на системы, используемые для подтверждения вывода средств, а не на само хранение ключей.

По словам Бен-Натана, злоумышленники могли получить доступ к инфраструктуре подписания кошельковых транзакций Binance через компьютер скомпрометированного разработчика.

«В итоге они оказались в положении, когда могли предлагать транзакции подписывающему узлу, который, скорее всего, очень надёжно защищён и хранит один из горячих кошельков Binance», — сказал он. «Главный вывод в том, что в конечном счёте подписывающий узел подписал транзакцию, которой не следовало быть».

Горячие кошельки — это подключённые к интернету кошельки, которые биржи используют для обработки вывода средств клиентов, что делает процесс их подтверждения одним из самых чувствительных пунктов безопасности биржи.

Сооснователь и гендиректор провайдера Ethereum-кошельков Ambire Иво Георгиев полагает, что EIP-7702 не сыграл большой роли в атаке, поскольку хакеры уже имели возможность авторизовывать транзакции. Он сказал, что злоумышленники могли вывести средства и другими способами, но предупредил, что инженеры биржи могут не вспомнить о необходимости отозвать вредоносное делегирование EIP-7702 после восстановления контроля над своими системами.

«Это проблема EIP-7702 — его просто очень, очень плохо понимают», — сказал Георгиев.

Бен-Натан предупредил, что подобные атаки на системы подписания угрожают и другим биржам, и отметил, что симуляция транзакций — предварительный просмотр того, что сделает предлагаемая транзакция до её подписания, — может помочь выявить вредоносные запросы до их одобрения.