По опубликованному разбору, при атаке на Ethereum-кошелёк Binance 14 использовали подписанные разрешения EIP-7702, позволяющие кошельку делегировать исполнение кода. В транзакцию включили 50 вариантов с последовательными nonce; сеть применила тот, который совпал с актуальным счётчиком. Это показывает риск для контроля подписей, но само по себе не доказывает уязвимость Ethereum или EIP-7702.
Что даёт EIP-7702 обычному Ethereum-кошельку?
EIP-7702 позволяет аккаунту, управляемому ключом (EOA), подписать разрешение на исполнение делегированного кода в контексте своего аккаунта.
EIP-7702 появилась в обновлении Pectra и добавила специальный тип транзакции с перечнем авторизаций. Подписанная авторизация указывает, какой код может исполняться от имени EOA. Такая возможность расширяет функции обычного кошелька, но делает критически важными проверку того, что именно подписывается, и защиту систем подписи.
Важно различать протокольную функцию и способ её использования: наличие EIP-7702 не означает, что любой кошелёк можно переключить без подписи владельца.
Как авторизации EIP-7702 связали с выводом средств из Binance 14?
По данным CoinDesk, транзакция содержала 50 подписанных авторизаций для последовательных nonce кошелька Binance 14, и сеть применила вариант, совпавший с текущим nonce.
Nonce — счётчик операций аккаунта. Поскольку его значение менялось по мере отправки транзакций кошельком, подготовленные авторизации охватывали диапазон последовательных значений. Это дало атакующей транзакции возможность включить подходящую авторизацию в момент обработки.
CoinDesk сообщает, что затем через кошелёк исполнили делегированный код, который перенаправил активы. В публикации также говорится, что разрешение оставалось активным почти четыре часа, прежде чем его отозвали. Это описание конкретного Ethereum-эпизода; оно не заменяет окончательный технический отчёт Binance.
Была ли уязвимость в Ethereum или в EIP-7702?
Доступные сведения показывают использование делегирования через EIP-7702, но не подтверждают уязвимость самого протокола или ошибки в его реализации.
Спецификация предусматривает выполнение авторизации только после проверки её подписи и параметров, включая nonce. Поэтому опубликованная последовательность указывает прежде всего на то, что злоумышленник получил возможность использовать действительные разрешения, но не объясняет, как именно это произошло.
Binance сообщила, что расследование продолжается и что выявлены дополнительные точки компрометации. Компания также обозначила версию о возможной связи с ноутбуком сотрудника как первоначальное предположение, а не окончательный вывод. До публикации полной реконструкции следует отделять наблюдаемую on-chain механику от неподтверждённых версий о первичном доступе.
Что биржам стоит проверить в системах подписания?
Биржам стоит проверять не только защиту приватных ключей, но и политики подписания разрешений, делегированный код, мониторинг nonce и отзыв полномочий.
- Ограничить область подписей: применять политики, которые позволяют проверять назначение, адрес делегирования и параметры разрешения до подписи.
- Контролировать авторизации: отдельно журналировать создание, использование и отзыв делегирований, а также обнаруживать необычные последовательности подписей.
- Проверять конечное состояние: после транзакций сверять активные разрешения аккаунта и оперативно отзывать непредусмотренные.
- Разделять полномочия: ограничивать доступ к системам, которые формируют и подтверждают подписи, и рассматривать их компрометацию как отдельный сценарий риска.
Это общие меры для анализа архитектуры кошельков, а не утверждение о том, какие именно меры отсутствовали у Binance. Подробности инцидента остаются предметом расследования.
FAQ
Что такое EIP-7702 простыми словами?
Это функция Ethereum, которая позволяет аккаунту, управляемому ключом, подписать разрешение на исполнение делегированного кода в контексте аккаунта.
Почему в транзакции было 50 разрешений?
По разбору CoinDesk, авторизации имели последовательные nonce, чтобы одна из них совпала с актуальным nonce аккаунта при включении транзакции.
Доказывает ли этот случай, что EIP-7702 небезопасна?
Нет. Описанный случай показывает, как подписанное разрешение может быть использовано для делегирования кода; доступные сведения не доказывают уязвимость самой спецификации или Ethereum.
Установлено ли, как атакующий получил подписи?
Нет. Binance сообщила, что расследование продолжалось и обнаружились дополнительные точки компрометации. Доступные материалы не устанавливают полный путь получения разрешений.