A Binance suspendeu os saques. Então por que ainda havia ETH sendo transferido on-chain? A resposta está no EIP-7702
No relatório preliminar sobre o incidente de 29/10 da Binance, divulgado ontem à noite, há um trecho que muita gente não leu com atenção: mesmo após a suspensão dos saques, os ativos continuaram se movendo. A causa foi um mecanismo do Ethereum chamado EIP-7702.
Primeiro, o que é o EIP-7702?
Ele permite que um endereço comum (EOA) “delegue” parte dos seus poderes de execução a um contrato inteligente, sem precisar entregar a chave privada. A ideia original era adicionar funcionalidades às carteiras, como operações em lote e pagamento de taxas por terceiros.
Segundo o relatório da Binance, foi isso que aconteceu desta vez:
1. O invasor obteve primeiro acesso ao serviço interno de assinatura de carteiras.
2. Usou o serviço de assinatura para enviar 50 transações assinadas, manipular o nonce da conta e criar uma autorização de delegação maliciosa, permitindo que um contrato controlado pelo invasor obtivesse parte dos poderes de execução de uma carteira quente da Binance.
3. A Binance suspendeu imediatamente os saques, coordenou o congelamento com parceiros e começou a revogar as autorizações. Mas o próprio relatório afirma que suspender os saques, por si só, não impede todas as transferências não autorizadas, pois essas autorizações EIP-7702 já estavam on-chain e operavam de forma independente do sistema normal de saques da Binance.
4. Havia ainda outro problema: a carteira quente usava computação multipartidária (MPC), sem uma chave privada única que permitisse revogar a autorização imediatamente. Foi preciso desenvolver um procedimento específico, o que levou mais tempo.
5. A última transação, de 2.961,9 ETH, foi confirmada na blockchain às 23:56 de 29/10 (UTC); ela havia sido transmitida antes e ficou pendente. Às 00:10 de 30/10 (UTC), a Binance alterou a autorização da carteira quente Binance14 para apontar para o endereço zero, removendo o código delegado.
Um ponto a esclarecer: segundo o relatório, BTC, XRP, SOL e OP foram transferidos diretamente das carteiras quentes por meio do serviço de assinatura; o EIP-7702 afetou apenas a parte referente à carteira quente de Ethereum. Não interprete isso como “todas as moedas foram roubadas por meio do 7702”.
Uma verdade dolorosa: o botão que você desliga nos sistemas internos não controla as autorizações que já foram assinadas e enviadas para a blockchain.
Uma medida que usuários comuns podem adotar: verifique periodicamente, em um explorador de blocos ou na sua carteira, se há autorizações e delegações desconhecidas no seu endereço. Revogue as que não reconhecer.
Você já verificou as autorizações da sua carteira?
#以太坊 #EIP7702 #钱包安全 #科普 $ETH
No relatório preliminar sobre o incidente de 29/10 da Binance, divulgado ontem à noite, há um trecho que muita gente não leu com atenção: mesmo após a suspensão dos saques, os ativos continuaram se movendo. A causa foi um mecanismo do Ethereum chamado EIP-7702.
Primeiro, o que é o EIP-7702?
Ele permite que um endereço comum (EOA) “delegue” parte dos seus poderes de execução a um contrato inteligente, sem precisar entregar a chave privada. A ideia original era adicionar funcionalidades às carteiras, como operações em lote e pagamento de taxas por terceiros.
Segundo o relatório da Binance, foi isso que aconteceu desta vez:
1. O invasor obteve primeiro acesso ao serviço interno de assinatura de carteiras.
2. Usou o serviço de assinatura para enviar 50 transações assinadas, manipular o nonce da conta e criar uma autorização de delegação maliciosa, permitindo que um contrato controlado pelo invasor obtivesse parte dos poderes de execução de uma carteira quente da Binance.
3. A Binance suspendeu imediatamente os saques, coordenou o congelamento com parceiros e começou a revogar as autorizações. Mas o próprio relatório afirma que suspender os saques, por si só, não impede todas as transferências não autorizadas, pois essas autorizações EIP-7702 já estavam on-chain e operavam de forma independente do sistema normal de saques da Binance.
4. Havia ainda outro problema: a carteira quente usava computação multipartidária (MPC), sem uma chave privada única que permitisse revogar a autorização imediatamente. Foi preciso desenvolver um procedimento específico, o que levou mais tempo.
5. A última transação, de 2.961,9 ETH, foi confirmada na blockchain às 23:56 de 29/10 (UTC); ela havia sido transmitida antes e ficou pendente. Às 00:10 de 30/10 (UTC), a Binance alterou a autorização da carteira quente Binance14 para apontar para o endereço zero, removendo o código delegado.
Um ponto a esclarecer: segundo o relatório, BTC, XRP, SOL e OP foram transferidos diretamente das carteiras quentes por meio do serviço de assinatura; o EIP-7702 afetou apenas a parte referente à carteira quente de Ethereum. Não interprete isso como “todas as moedas foram roubadas por meio do 7702”.
Uma verdade dolorosa: o botão que você desliga nos sistemas internos não controla as autorizações que já foram assinadas e enviadas para a blockchain.
Uma medida que usuários comuns podem adotar: verifique periodicamente, em um explorador de blocos ou na sua carteira, se há autorizações e delegações desconhecidas no seu endereço. Revogue as que não reconhecer.
Você já verificou as autorizações da sua carteira?
#以太坊 #EIP7702 #钱包安全 #科普 $ETH
