Puntos clave de la noticia:
- Binance 14 fue delegada a código controlado por el atacante mediante EIP-7702, permitiendo barrer $2,5 mil millones en ETH y tokens en una transacción.
- El atacante utilizó 50 autorizaciones válidas para nonces consecutivos. EIP-7702 requería firmas de Binance 14, por lo que el origen de las firmas es central.
- Los investigadores sostienen que EIP-7702 pudo amplificar el drenaje, pero no causó la brecha, que afectó varias redes mediante distintos mecanismos.
Una función de Ethereum activada en 2025 fue utilizada para convertir una hot wallet de Binance en un smart account controlado por el atacante, permitiendo mover $2,5 mil millones en ETH y tokens en una sola transacción. Una reconstrucción onchain muestra que el atacante instaló una delegación EIP-7702 en Binance 14 usando autorizaciones firmadas válidas. El episodio afecta a la seguridad de las cuentas de Ethereum, pero no demuestra una vulnerabilidad en Ethereum.
EIP-7702 amplificó el drenaje de Binance, pero no causó el compromiso inicial
EIP-7702, activado con Pectra en mayo de 2025, permite que una cuenta externa ejecute temporalmente código de smart contracts tras firmar una autorización. El mecanismo exige una autorización válida de la cuenta delegada, por lo que la incógnita es cómo obtuvo el atacante las firmas de Binance 14. El incidente muestra las implicaciones de las capacidades de smart wallets introducidas con Pectra sin demostrar que EIP-7702 originara el compromiso.
A las 20:20:59 UTC, el atacante envió una transacción tipo 4 con 50 autorizaciones firmadas para nonces consecutivos de Binance 14. Una coincidía con el nonce activo, haciendo que la wallet apuntara al contrato del atacante. Tres minutos después, un sweep trasladó 167.464 ETH y 63 tokens, incluidos 1.615 millones de USDT, en una transacción. La dirección del atacante recibió fondos para gas y desplegado el contrato malicioso.
La técnica de Ethereum representó solo una parte del incidente. EIP-7702 se utilizó contra Binance 14, mientras otras wallets afectadas firmaron transferencias salientes, con actividad en Bitcoin, Tron y otras redes. Binance indicó que el portátil comprometido de un ingeniero DevOps pudo facilitar acceso a un contenedor de servicio, sin evidencia de filtración de private keys. El exchange pausó los retiros durante verificaciones de seguridad.
Los investigadores distinguen entre la vía de acceso inicial y el mecanismo de ejecución en Ethereum. EIP-7702 pudo amplificar el daño al permitir barrer múltiples activos de forma atómica, pero requería firmas válidas y un atacante con capacidad de firma podría mover fondos con otras transacciones. Binance situó el impacto cerca de $6,3 mil millones, con $3 mil millones congelados. Los bloqueos de stablecoins utilizados durante la respuesta muestran controles distintos según el activo. La clave es que EIP-7702 cambió lo que una cuenta firmante puede ejecutar, no quién puede autorizarla. La investigación se centra en el entorno de firma y los controles de Binance.
