Компания по безопасности блокчейна Blockaid считает, что масштаб взлома Binance на 6,3 млрд долларов мог стать возможным из-за компрометации системы подписи кошельков биржи, а не простой утечки закрытого ключа. В интервью Cointelegraph сооснователь и генеральный директор Blockaid Идо Бен-Натан также заявил, что обновление EIP-7702 в Ethereum могло облегчить кражу, позволив злоумышленникам эффективнее выполнять транзакции по схеме «опустошения» кошельков.
Binance подтвердила инцидент и пообещала возместить пользователям потери. Биржа заявила, что позднее обнаружила дополнительные точки проникновения, хотя сначала подозревала, что был скомпрометирован ноутбук одного из её инженеров. На этом фоне оценка Blockaid ставит перед отраслью более широкий вопрос: если до систем подписи можно добраться посредством операционной компрометации, обновления, меняющие поведение транзакций, могут создать новую поверхность для атак — если только делегированные полномочия и разрешения не будут тщательно отзывать и отслеживать.
Ключевые выводы
По мнению Blockaid, злоумышленники, вероятно, скомпрометировали компоненты инфраструктуры биржи Binance для подписания транзакций, но это не обязательно означало утечку приватных ключей.
По данным Blockaid, EIP-7702 мог помочь злоумышленникам обходить несколько этапов транзакции или сократить их число благодаря пакетным сценариям авторизации.
О случаях злоупотребления EIP-7702 сообщалось и ранее, в 2025 году. В некоторых из них вредоносные делегирования использовались для опустошения кошельков.
Эксперты, опрошенные Cointelegraph, предупреждают: риски, связанные с EIP-7702, могут сохраняться, если биржи или инженеры не отзовут вредоносные делегирования после восстановления систем.
Взлом Binance: в центре внимания — инфраструктура для подписания транзакций
В пятницу Binance подтвердила, что подверглась взлому на 6,3 млрд долларов — крупнейшему в истории криптовалют, — и заявила, что компенсирует все потери. В публичных сообщениях биржа рассказала, что после первоначальной версии о взломанном ноутбуке одного из инженеров обнаружила дополнительные точки проникновения.
Бен-Натан из Blockaid рассказал Cointelegraph, что компания считает главным в этой истории доступ к процессу подписания транзакций Binance. По его словам, следователи могут не найти прямых доказательств утечки приватных ключей кошельков, однако злоумышленники всё равно могут добиться своего, если получат возможность заставить в остальном защищённую систему подписи одобрить несанкционированный перевод.
Основной тезис Бен-Натана заключался в том, что злоумышленники, вероятно, использовали скомпрометированный компьютер разработчика, чтобы получить доступ к инфраструктуре Binance для подписания транзакций кошельков. По его словам, решающим моментом стало то, что систему подписи — защищённую именно для предотвращения незаконного одобрения операций — побудили подписать транзакцию, которую она не должна была одобрять.
Генеральный директор Binance Ричард Тенг заявил, что следователи не обнаружили доказательств утечки приватных ключей кошельков.
Эффект «одним махом» в EIP-7702 и его возможное значение
Ethereum представила EIP-7702 в рамках обновления Pectra. На сайте Ethereum.org этот механизм описан как способ дать «обычным кошелькам» возможность использовать функции смарт-контрактов, например пакетные транзакции и оплату комиссий за газ третьей стороной. По данным Blockaid, эта возможность могла сократить объём действий, необходимых злоумышленникам, уже имевшим рычаги воздействия на авторизацию транзакций.
Бен-Натан рассказал Cointelegraph, что злоумышленники могли похитить средства и без EIP-7702, однако это обновление могло упростить процесс. Он описал EIP-7702 как возможность выполнить действия «одним махом», потенциально позволяющую злоумышленникам обходить некоторые проверки, для которых иначе потребовалось бы несколько транзакций.
Такой подход важен для специалистов по безопасности, поскольку он смещает модель угроз с «кражи ключей» на «сценарии выполнения транзакций». Если систему можно заставить одобрить одно сложное действие вместо последовательности небольших шагов, у защитников остаётся меньше времени на обнаружение угрозы и вмешательство — особенно если моделирование транзакций и мониторинг недостаточно тесно интегрированы в процессы одобрения.
Вредоносные делегирования уже считались известным риском EIP-7702
Опасения по поводу EIP-7702 возникли не только после инцидента с Binance. Согласно более раннему материалу Cointelegraph, упомянутому в статье, в мае 2025 года торговая компания Wintermute сообщила, что ранние делегирования EIP-7702 часто указывали на вредоносные контракты, предназначенные для автоматического опустошения скомпрометированных кошельков.
Позже в том же году этот риск проявился вновь: держатели токенов World Liberty Financial (WLFI) сообщили о потерях, связанных с вредоносными делегированиями EIP-7702, как писал Cointelegraph в сентябре 2025 года.
Участник сообщества Ethereum VEER также сослался на прежние предупреждения о безопасности, обсуждавшиеся в 2024 году. Хотя позднее VEER предположил, что атака на Binance, судя по всему, была масштабнее, чем использование одной вредоносной подписи, он утверждал, что EIP-7702 дал злоумышленникам «удобную кнопку для массового вывода средств в Ethereum». Это означает, что EIP-7702 может усиливать последствия операционных сбоев, превращая «злоупотребление разрешениями» в быстрый и централизованный сценарий исполнения.
Мнение других экспертов по кошелькам: авторизация и без того имела значение
Не все эксперты, опрошенные Cointelegraph, согласились с тем, что EIP-7702 был решающим фактором. Сооснователь и генеральный директор Ambire Иво Георгиев заявил, что, по его мнению, обновление мало что изменило, поскольку злоумышленники уже могли авторизовывать транзакции.
Георгиев утверждал, что кражу можно было совершить и с помощью других механизмов. Однако он предупредил о связанном с этим операционном пробеле: инженеры биржи могут забыть отозвать вредоносное делегирование EIP-7702 после восстановления контроля над системами.
Его предупреждение указывает на практическую сложность, с которой сталкиваются команды при реагировании на инциденты. Даже после защиты систем ранее выданные разрешения — особенно встроенные в схемы делегирования — могут оставаться активными, если их явно не аннулировать. Поэтому реагирование на инцидент может требовать не только восстановления контроля доступа, но и проверки того, что в блокчейне не осталось вредоносных путей авторизации.
Бен-Натан также предупредил, что атаки на системы подписания транзакций угрожают не только Binance. По его словам, с аналогичными угрозами могут столкнуться и другие биржи; он подчеркнул, что моделирование транзакций помогает выявлять вредоносные запросы до их одобрения.
Что дальше: отзыв разрешений, моделирование и устойчивость систем подписания
Для инвесторов и разработчиков главный вопрос на будущее — адаптируются ли программы безопасности бирж к тому, что целью атак могут стать не только приватные ключи, но и пути авторизации. В ближайшее время стоит следить за тем, как быстро Binance и другие платформы усилят процессы подписания транзакций, внедрят более строгие моделирование и мониторинг и обеспечат полное выявление и отзыв любых делегированных разрешений, связанных с транзакциями в рамках инцидента.
Впервые эта статья была опубликована под заголовком «EIP-7702 не стал причиной взлома Binance, но мог усугубить потери» на сайте Crypto Breaking News — вашем надёжном источнике новостей о криптовалютах, биткоине и блокчейне.