Атака на Binance, произошедшая 29 октября 2026 года, использовала механизм EIP-7702, чтобы превратить горячий кошелек Binance 14 в управляемый злоумышленником «смарт-кошелек». В 20:20:59 UTC была отправлена транзакция типа 4 с 50 авторизациями, подписанными для последовательных значений nonce Binance 14. Одна из них совпала с активным nonce, после чего кошелек стал указывать на вредоносный контракт. Примерно через три минуты одной транзакцией были выведены 167 464 ETH и 63 токена, включая 1,615 млрд USDT — в сумме около $2,5 млрд.
EIP-7702 был активирован в рамках обновления Pectra в мае 2025 года и позволяет внешне управляемому аккаунту (EOA) временно исполнять код смарт-контракта после подписания авторизации. Однако механизм требует действительной подписи владельца аккаунта, поэтому главный вопрос расследования — как были получены подписи Binance 14. В Binance предварительно сообщили о компрометации ноутбука DevOps-инженера и доступе к сервисному контейнеру, а затем обнаружили «дополнительные точки взлома». Утечки приватного ключа не зафиксировано.
Эпизод был частью более широкой атаки: всего с кошельков Binance в 10 блокчейнах выведено около $6,4 млрд, из которых примерно $3 млрд заморожены. Аналитики TRM Labs и Chainalysis приписывают кражу северокорейской группе TraderTraitor, стоявшей за взломом Bybit на $1,5 млрд в феврале 2025 года. В других сетях — Bitcoin, Tron и прочих — средства уходили обычными подписанными переводами, что указывает на компрометацию инфраструктуры подписания горячих кошельков, а не на уязвимость Ethereum.
Исследователи подчеркивают: EIP-7702 усилил масштаб вывода, позволив атомарно вывести многие активы, но не стал первопричиной взлома. Внимание следствия сосредоточено на среде подписания Binance и механизмах контроля доступа.
