Хакерська атака на Binance привернула увагу до EIP-7702 в Ethereum і зберігання активів на біржах

Версія Binance щодо атаки

Співгенеральний директор Binance Річард Тенг заявив, що криптовалютній індустрії варто вивчити атаку, яку називають хакерською атакою на Binance на 6,3 мільярда доларів. У вівторок в інтерв’ю CNBC він сказав, що Binance опублікувала детальний звіт, аби інші учасники індустрії могли зробити висновки з того, що сталося. За його версією, це був не раптовий одиничний злам, а кампанія, що тривала місяцями й зрештою дісталася системи, яка авторизує транзакції з гаманців.

Тенг послався на атрибуцію ФБР, яке пов’язало атаку з Північною Кореєю, та описав послідовність подій, що почалася в червні з підробленого інструмента для розробників. У вересні, за його словами, зловмисники проводили фальшиві співбесіди від імені рекрутерів. Далі вони, як стверджується, просунулися через внутрішні інструменти ШІ до системи, яка авторизує транзакції з гаманців. Ці деталі свідчать, що, за повідомленнями, маршрут атаки пролягав через кілька підрозділів Binance, перш ніж стало можливим переказати криптовалюту.

Цей інцидент показує, як технічна функція може бути частиною крадіжки, не обов’язково будучи початковою точкою проникнення. Тенг сказав, що зловмисники переміщалися внутрішніми системами, перш ніж 29 жовтня скористатися функцією Ethereum, після того як Binance призупинила виведення коштів. Наявний опис не встановлює всіх технічних етапів між повідомленим доступом до внутрішніх систем і транзакцією з гаманця, тому обіцяна незалежна перевірка важлива для повнішого розуміння подій.

Як EIP-7702 фігурувала у крадіжці

Функція Ethereum, на яку вказали дослідники, — це EIP-7702, оновлення від травня 2025 року, яке дає звичайним гаманцям змогу використовувати код смартконтрактів. За даними Gizmodo, ця можливість була залучена під час атаки. Blockaid, компанія з безпеки блокчейну, з’ясувала, що зловмисник об’єднав 50 підписаних дозволів в одну транзакцію. Цей механізм допомагає зрозуміти, як було використано функцію, але сам по собі не свідчить про наявність вразливості в оновленні.

За повідомленнями, кошти вдалося швидко перемістити навіть після того, як Binance призупинила виведення. Тенг сказав, що з одного гаманця в мережі Ethereum зникло близько 167 464 ETH і 1,6 мільярда доларів у Tether. У детальному описі інциденту зазначалося, що Binance скасувала делегування майже через чотири години. Ці цифри стосуються активів у згаданому гаманці та часу скасування делегування; їх не слід сприймати як повний звіт про всі втрати чи повернення коштів.

Дослідник Ethlabs Дерек Чіанг стверджував, що EIP-7702 не зламана, водночас визнаючи, що вона зробила крадіжку швидшою та ефективнішою. Це розрізнення важливе: функція може бути корисною й водночас впливати на перебіг експлуатації вразливості, якщо зловмисники отримали необхідний дозвіл. Джерело не встановлює, що звичайні користувачі цього оновлення були ціллю атаки, і не вказує на дефект самої функції.

Що цей інцидент говорить про ризики зберігання активів

Ця розповідь порушує окреме питання про те, хто може підписувати транзакції та як захищені системи підписання. Тенг сказав, що зловмисники отримали доступ до системи, яка авторизує транзакції гаманців, тоді як оцінка Чіанга зосереджує увагу на способі використання цієї функції, а не на її вродженому недоліку. Якщо незалежна перевірка підтвердить компрометацію систем підписання, головним питанням буде модель зберігання активів на біржі, а не просто наявність EIP-7702.

Ця відмінність важлива для клієнтів біржі, оскільки системи зберігання контролюють, як авторизується переміщення активів, що зберігаються на платформі. У джерелі сказано, що користувачам гаманців із підтримкою EIP-7702, зокрема MetaMask, не варто панікувати, однак це запевнення Чанга, а не висновок обіцяної незалежної перевірки. У матеріалі немає доказів того, що користувачі цих гаманців зазнали такого самого ризику, як система підпису Binance.

За описом Тенга, інструменти ШІ були частиною маршруту зловмисників через внутрішнє середовище Binance, а також використовувалися під час атаки. Їхня присутність доповнює викладену послідовність подій, але джерело не уточнює, як саме застосовували ШІ, і не стверджує, що ШІ самостійно спричинив злам. Практичний висновок із цього опису обмежений: внутрішні інструменти й шляхи доступу фігурували в розповіді про атаку та потребують ретельної перевірки.

Заходи з відновлення та питання, що залишилися без відповіді

Binance заявляє, що відшкодувала 98% активів, яких торкнувся інцидент, перебудувала систему гаманців, замінила пристрої та скасувала пов’язані облікові дані. Ці заходи свідчать про те, що компанія прагнула і відновити постраждалі активи, і змінити або усунути елементи, пов’язані зі скомпрометованим середовищем. У джерелі не пояснюється, як було розраховано суму відшкодування, не вказано обсяг активів, що залишаються під загрозою, і не наведено строків завершення всіх робіт із відновлення.

Компанія також заявляє, що співпрацює з правоохоронними органами та партнерами з галузі, щоб відстежити й заморозити викрадені кошти. Ця робота відрізняється від відшкодування активів: відстеження й замороження залежать від виявлення коштів і можливості втрутитися, тоді як повідомлення про відшкодування описує власні дії Binance з відновлення. У доступному матеріалі не зазначено, яку суму викраденої криптовалюти, якщо така є, вдалося заморозити або повернути завдяки цим спільним зусиллям.

Незалежна перевірка залишається важливою невирішеною частиною цієї історії. Тенг пообіцяв її провести, а результати можуть прояснити, чи зловмисники скомпрометували систему підписання, чи цьому сприяв недолік у самому EIP-7702. Ці версії вказували б на різні джерела ризику, але жодна з них тут не підтверджена. Поки перевірка не надасть більше подробиць, наявна інформація закликає обережно ставитися до висновків, які звинувачують лише функцію Ethereum або лише біржове зберігання коштів.

Джерело: BeInCrypto