POR QUE UMA CARTEIRA COMPROMETIDA PODE PERDER DINHEIRO DE NOVO DEPOIS DO PRIMEIRO ESVAZIAMENTO?
O relatório técnico da Blockaid sobre o incidente da Binance descreve uma combinação perigosa: assinatura não autorizada + delegação EIP-7702
Veja como funciona
PRIMEIRO: CONTROLE O PROCESSO DE ASSINATURA
Segundo a Blockaid, o invasor obteve controle sobre a infraestrutura de assinatura da Binance
Isso não significa necessariamente que uma frase-semente foi copiada. Um invasor capaz de fazer um serviço de assinatura produzir assinaturas válidas também pode autorizar ações maliciosas
A blockchain verifica a assinatura — não a intenção humana por trás dela
DEPOIS: MUDE A FORMA COMO A CARTEIRA OPERA
Uma transferência normal autoriza uma transação específica
Uma autorização EIP-7702 direciona a carteira para um código de contrato executável. Uma transação do tipo 4 registra essa delegação onchain
O código malicioso pode então ser executado no contexto da carteira e movimentar seus ativos
POR QUE O “NONCE SPRAY” É IMPORTANTE
Um nonce é o contador de transações de uma conta
A Blockaid informa que o invasor forneceu 50 autorizações assinadas, abrangendo diferentes valores de nonce, porque a carteira movimentada continuava processando saques
Isso não foi uma tentativa de adivinhar uma chave privada. Cada autorização ainda exigia uma assinatura válida
POR QUE O PRIMEIRO ESVAZIAMENTO NÃO ELIMINOU O RISCO
A delegação permanece ativa até ser substituída ou removida
Se o código malicioso continuar ativo, o invasor poderá chamá-lo novamente para retirar fundos recém-depositados sem obter outra assinatura da vítima
Trocar uma senha ou desconectar um site não remove esse estado da blockchain
A LIÇÃO DE SEGURANÇA
Proteja o serviço de assinatura, inspecione os destinos de delegação e monitore alterações no código da carteira
Remover a delegação e revogar as permissões de tokens são tarefas separadas. Se o acesso à assinatura continuar comprometido, o invasor poderá autorizar novamente
O EIP-7702 foi um dos mecanismos descritos neste incidente — não uma explicação para todas as redes afetadas
Detalhes do incidente: relatório da Blockaid; não verificado de forma independente aqui
Protocolo: especificação EIP-7702 da Ethereum
Estamos protegendo apenas o saldo ou também aquilo que a carteira está autorizada a executar?
$BTC $ETH $BNB
O relatório técnico da Blockaid sobre o incidente da Binance descreve uma combinação perigosa: assinatura não autorizada + delegação EIP-7702
Veja como funciona
PRIMEIRO: CONTROLE O PROCESSO DE ASSINATURA
Segundo a Blockaid, o invasor obteve controle sobre a infraestrutura de assinatura da Binance
Isso não significa necessariamente que uma frase-semente foi copiada. Um invasor capaz de fazer um serviço de assinatura produzir assinaturas válidas também pode autorizar ações maliciosas
A blockchain verifica a assinatura — não a intenção humana por trás dela
DEPOIS: MUDE A FORMA COMO A CARTEIRA OPERA
Uma transferência normal autoriza uma transação específica
Uma autorização EIP-7702 direciona a carteira para um código de contrato executável. Uma transação do tipo 4 registra essa delegação onchain
O código malicioso pode então ser executado no contexto da carteira e movimentar seus ativos
POR QUE O “NONCE SPRAY” É IMPORTANTE
Um nonce é o contador de transações de uma conta
A Blockaid informa que o invasor forneceu 50 autorizações assinadas, abrangendo diferentes valores de nonce, porque a carteira movimentada continuava processando saques
Isso não foi uma tentativa de adivinhar uma chave privada. Cada autorização ainda exigia uma assinatura válida
POR QUE O PRIMEIRO ESVAZIAMENTO NÃO ELIMINOU O RISCO
A delegação permanece ativa até ser substituída ou removida
Se o código malicioso continuar ativo, o invasor poderá chamá-lo novamente para retirar fundos recém-depositados sem obter outra assinatura da vítima
Trocar uma senha ou desconectar um site não remove esse estado da blockchain
A LIÇÃO DE SEGURANÇA
Proteja o serviço de assinatura, inspecione os destinos de delegação e monitore alterações no código da carteira
Remover a delegação e revogar as permissões de tokens são tarefas separadas. Se o acesso à assinatura continuar comprometido, o invasor poderá autorizar novamente
O EIP-7702 foi um dos mecanismos descritos neste incidente — não uma explicação para todas as redes afetadas
Detalhes do incidente: relatório da Blockaid; não verificado de forma independente aqui
Protocolo: especificação EIP-7702 da Ethereum
Estamos protegendo apenas o saldo ou também aquilo que a carteira está autorizada a executar?
$BTC $ETH $BNB
