Atak na Binance stawia pod lupą EIP-7702 Ethereum i przechowywanie środków przez giełdy

Relacja Binance o ataku

Współdyrektor generalny Binance, Richard Teng, twierdzi, że branża kryptowalut powinna przeanalizować atak określany mianem ataku na Binance o wartości 6,3 mld dolarów. W rozmowie z CNBC we wtorek powiedział, że Binance opublikowało szczegółowy raport, aby inni uczestnicy branży mogli wyciągnąć wnioski z tego, co się wydarzyło. Z jego relacji wynika, że nie był to pojedynczy, nagły atak, lecz kampania rozwijająca się przez wiele miesięcy, która dotarła do systemu autoryzującego transakcje z portfeli.

Teng powołał się na przypisanie ataku Korei Północnej przez FBI i opisał sekwencję zdarzeń, która rozpoczęła się w czerwcu od fałszywego narzędzia dla programistów. We wrześniu, jak powiedział, napastnicy wykorzystali fałszywe rozmowy rekrutacyjne. Następnie, według tej relacji, przedostali się przez wewnętrzne narzędzia AI do systemu służącego do autoryzacji transakcji z portfeli. Szczegóły te sugerują, że opisana droga ataku przebiegała przez kilka obszarów działalności Binance, zanim umożliwiła transfer kryptowaluty.

Incydent pokazuje, że funkcja techniczna może odegrać rolę w kradzieży, nie będąc jednocześnie pierwotnym punktem wejścia. Teng powiedział, że napastnicy poruszali się po systemach wewnętrznych, zanim 29 października wykorzystali funkcję Ethereum — po tym, jak Binance wstrzymało wypłaty. Dostępny opis nie przedstawia wszystkich etapów technicznych między zgłoszonym dostępem do systemów wewnętrznych a transakcją z portfela, dlatego zapowiedziana niezależna analiza jest ważna dla pełniejszego zrozumienia sprawy.

Rola EIP-7702 w kradzieży

Wskazaną przez badaczy funkcją Ethereum jest EIP-7702 — aktualizacja z maja 2025 r., która umożliwia zwykłym portfelom korzystanie z kodu inteligentnych kontraktów. Jak podaje Gizmodo, funkcja ta odegrała rolę w ataku. Blockaid, firma zajmująca się bezpieczeństwem blockchaina, ustaliła, że napastnik zebrał 50 podpisanych autoryzacji w jednej transakcji. Ten mechanizm pomaga wyjaśnić, w jaki sposób wykorzystano tę funkcję, ale sam w sobie nie dowodzi, że aktualizacja zawiera lukę.

Zgłoszonym skutkiem było szybkie przemieszczanie środków nawet po tym, jak Binance wstrzymało wypłaty. Teng powiedział, że z jednego portfela na Ethereum wyprowadzono około 167 464 ETH i 1,6 mld dolarów w Tetherze. Szczegółowy opis incydentu informuje, że Binance cofnęło delegację prawie cztery godziny później. Liczby te dotyczą aktywów zgromadzonych w zgłoszonym portfelu oraz momentu cofnięcia delegacji; nie należy ich mylić z pełnym zestawieniem wszystkich strat ani odzyskanych środków.

Badacz Ethlabs Derek Chiang stwierdził, że EIP-7702 nie jest wadliwe, przyznając jednocześnie, że dzięki tej funkcji kradzież przebiegła szybciej i sprawniej. To rozróżnienie ma znaczenie: funkcja może zapewniać użyteczne możliwości, a zarazem wpływać na przebieg ataku, gdy napastnicy uzyskają wymagane upoważnienie. Źródło nie potwierdza, że celem ataku byli zwykli użytkownicy tej aktualizacji, ani nie wskazuje na wadę samej funkcji.

Co ten incydent mówi o ryzyku związanym z przechowywaniem aktywów

Ta relacja rodzi odrębne pytanie o to, kto może podpisywać transakcje i jak chronione są systemy służące do ich podpisywania. Teng powiedział, że napastnicy uzyskali dostęp do systemu autoryzującego transakcje z portfela, podczas gdy ocena Chianga skupia się na sposobie wykorzystania tej funkcji, a nie na jej wrodzonej wadzie. Jeśli niezależna analiza potwierdzi przejęcie kontroli nad osobami podpisującymi transakcje, głównym problemem będzie architektura przechowywania aktywów przez giełdę, a nie samo zastosowanie EIP-7702.

To rozróżnienie ma znaczenie dla klientów giełd, ponieważ systemy powiernicze określają, w jaki sposób można autoryzować transfer aktywów przechowywanych na platformie. Zgodnie z artykułem użytkownicy portfeli obsługujących EIP-7702, w tym MetaMask, nie muszą wpadać w panikę. Jest to jednak opinia Chianga, a nie wniosek z zapowiedzianego niezależnego audytu. Artykuł nie przedstawia dowodów, że użytkownicy tych portfeli byli narażeni na takie samo ryzyko jak system podpisywania transakcji Binance.

W opisie Tenga narzędzia AI pojawiają się jako element drogi, którą napastnicy przedostali się do wewnętrznego środowiska Binance, a także jako narzędzia wykorzystywane w trakcie kampanii. Ich obecność stanowi dodatkowy kontekst dla przedstawionej sekwencji wydarzeń, ale źródło nie precyzuje, jak dokładnie wykorzystano AI, ani nie twierdzi, że AI samodzielnie doprowadziła do naruszenia bezpieczeństwa. Praktyczny wniosek z tej relacji jest ograniczony: narzędzia wewnętrzne i ścieżki dostępu odegrały rolę w opisie ataku i wymagają kontroli.

Działania naprawcze i nierozstrzygnięte kwestie

Binance twierdzi, że uzupełniło 98% aktywów, których dotyczył incydent, przebudowało system portfeli, wymieniło urządzenia i unieważniło powiązane dane uwierzytelniające. Działania te wskazują, że firma dąży zarówno do przywrócenia poszkodowanym aktywów, jak i do zmiany lub usunięcia elementów związanych z naruszonym środowiskiem. Źródło nie wyjaśnia, jak obliczono wartość uzupełnionych aktywów, nie podaje kwoty pozostałych strat ani harmonogramu zakończenia wszystkich działań naprawczych.

Firma informuje również, że współpracuje z organami ścigania i partnerami z branży, aby prześledzić przepływ skradzionych środków i doprowadzić do ich zamrożenia. Działania te różnią się od uzupełnienia aktywów: śledzenie i zamrażanie środków zależą od ich zlokalizowania i ewentualnej interwencji, podczas gdy zgłoszone uzupełnienie opisuje własne działania naprawcze Binance. Dostępna relacja nie podaje, jaka kwota skradzionej kryptowaluty została zamrożona lub odzyskana dzięki wspólnym działaniom ani czy udało się odzyskać jakiekolwiek środki.

Niezależny przegląd pozostaje kluczową nierozstrzygniętą kwestią w tej sprawie. Teng obiecał go przeprowadzić, a jego wyniki mogą wyjaśnić, czy atakujący przejęli system podpisywania transakcji, czy też przyczynił się do tego błąd w samym EIP-7702. Te możliwości wskazywałyby na różne źródła ryzyka, ale żadna z nich nie została tu potwierdzona. Dopóki przegląd nie dostarczy więcej szczegółów, przedstawione informacje uzasadniają ostrożność wobec wniosków obarczających winą wyłącznie funkcję Ethereum albo wyłącznie powiernicze przechowywanie środków przez giełdę.

Źródło: BeInCrypto