3 ноября Binance опубликовала первичный отчёт об инциденте 29 октября, описав компрометацию сервиса подписи горячих кошельков и использование злоумышленниками делегаций EIP-7702. Биржа сообщила, что вредоносные разрешения в сети продолжали действовать независимо от обычного процесса вывода, поэтому одной остановки снятия средств оказалось недостаточно. Расследование на дату отчёта продолжалось, а выводы должны пройти независимую проверку.
Как развивалась атака
В опубликованной хронологии Binance указывает на серию переводов через несколько сетей, начавшуюся вечером 29 октября. Среди упомянутых операций – отправки XRP с пяти горячих кошельков, затем переводы SOL и OP, а также перевод BTC. Биржа говорит, что обнаружила крупные перемещения по внутреннему сигналу и начала расследование. Указанные суммы и маршрут приводятся по версии Binance, а не являются итоговым независимым судебно-техническим заключением.
Позже злоумышленники использовали сервис подписи для создания разрешений EIP-7702. Этот стандарт Ethereum позволяет обычному аккаунту временно делегировать часть исполнения кода смарт-контракту, не раскрывая приватный ключ. В описанном случае Binance сообщила, что контролируемый атакующими контракт получил частичные права исполнения для горячего кошелька. Это не то же самое, что простая кража seed-фразы или непосредственная публикация приватного ключа.
Binance написала, что атакующие отправили 50 транзакций для манипуляции nonce аккаунта и установки делегаций. После этого они могли выполнять дополнительные переводы вне стандартного конвейера вывода биржи. Последняя указанная несанкционированная операция на 2 961,9 ETH была подтверждена в сети в 23:56 UTC; биржа сообщила, что транзакция была отправлена раньше и некоторое время оставалась ожидающей подтверждения.
Почему остановка вывода не сразу остановила переводы
При обычном выводе биржа проверяет запрос по собственным внутренним правилам, после чего подпись и транзакция проходят через инфраструктуру платформы. Но уже записанная в блокчейн делегация EIP-7702 может выполнять действия напрямую в сети и не обязана проходить тот же интерфейс вывода. Поэтому блокировка обычных заявок не обязательно отменяет ранее созданное on-chain разрешение.
По словам Binance, горячий кошелёк использовал многосторонние вычисления (MPC), где нет единого приватного ключа, который можно просто применить для отзыва авторизации. Команде потребовалась отдельная процедура и новые транзакции, чтобы отозвать делегации. В сообщении сказано, что в 00:10 UTC 30 октября Binance отправила новую авторизацию с адреса горячего кошелька на нулевой адрес и очистила делегированный код.
Этот пример показывает, почему при оценке аккаунт-абстракции важно учитывать не только исходную подпись, но и делегированные полномочия, сроки их действия и процедуру отзыва. В обычных пользовательских сценариях EIP-7702 может поддерживать удобные функции, но безопасность зависит от того, какую реализацию утвердил аккаунт и где хранится контроль над делегированием. Практическая инструкция о том, как проверить и удалить активную делегацию, объясняет этот механизм на уровне EOA.
Что Binance сообщила о подготовке и мерах
В отчёте биржа назвала инцидент многоэтапной кампанией, в которой сочетались социальная инженерия, вредоносные загрузки, компрометация устройств и доступ к внутренним инструментам. Компания описала фальшивые собеседования и вредоносный код в тестовом задании для разработчика. В более ранней хронологии также упоминается использование скомпрометированного внутреннего AI-инструмента как одного из шагов к получению доступа. Подробности являются заявлением компании, расследование ещё не завершено.
К 3 ноября Binance сообщила, что перестроила затронутую систему кошельков в новой среде, обновила внутренний инструмент и его контроль доступа, заменила устройства, отозвала связанные учётные данные, усилила проверки устройств и мониторинг поведения. Компания также заявила о взаимодействии с правоохранительными органами и блокчейн-аналитиками, а затем объявила о планах независимого кибербезопасностного обзора.
Отдельно Binance сообщила, что инцидент затронул активы примерно на 6,34 млрд долларов, а около 2,85 млрд долларов было заморожено или перехвачено. Формулировка касается общего воздействия и оценки компании; её нельзя без уточнений выдавать за сумму окончательно потерянных клиентских средств. Биржа заявила, что покрывает финансовое влияние инцидента и сверяет остатки по Proof of Reserves. Эти цифры подлежат сверке и могут меняться с ценами активов.
Как читать этот отчёт
Документ Binance обозначен как первичные выводы, а не финальный отчёт внешнего аудитора. В нём остаются неизвестными некоторые элементы цепочки атаки, технический объём независимой проверки и точный охват внутренних прав до инцидента. Также следует различать факты в блокчейне, интерпретацию компании и меры, которые биржа только планирует выполнить.
Ранее на CryptoMic уже разбирался первоначальный материал об инциденте безопасности Binance 30 октября. Нынешняя публикация сосредоточена на новом техническом объяснении EIP-7702 и обходе внутреннего конвейера переводов, а не на повторении новости о закрытии вывода. Развитие продукта также стоит рассматривать вместе с более общими рисками делегирования кода обычному Ethereum-адресу.
Что это значит для пользователей
Пользователю биржи важно не переносить детали инцидента на собственный кошелёк без проверки его типа и разрешений. Сам факт поддержки EIP-7702 не означает, что конкретный адрес делегировал права контракту. Владелец смарт-кошелька или EOA должен проверять транзакции и активные разрешения в том обозревателе и приложении, которым пользуется. Для биржевых средств остаются важны включённая двухфакторная защита, уникальные пароли и осторожность с файлами и рабочими заданиями, даже если исходная атака направлена на сотрудников компании.
Главный технический вывод отчёта – доступ к подписи, права делегирования и процедуры отзыва должны рассматриваться как единая система контроля. Остановка стандартных выводов не всегда блокирует уже действующее разрешение внутри сети. Но детали причин и ответственности пока предварительны: Binance сообщила о внешней проверке и продолжающемся расследовании, поэтому окончательные выводы следует сверять с будущими обновлениями.
