Hackerský útok na kryptoměnovou burzu Binance, při kterém zmizely prostředky v hodnotě přibližně 6,3 miliardy dolarů, odhalil možná bezpečnostní rizika jedné z novějších funkcí sítě Ethereum. Útočníci využili mechanismus EIP-7702, který měl původně zjednodušit používání kryptoměnových peněženek, a během necelých čtyř minut odčerpali aktiva v hodnotě zhruba 2,5 miliardy dolarů.
Rozsáhlý hackerský útok na burzu Binance přináší nové informace o způsobu, jakým se útočníkům podařilo získat kontrolu nad kryptoměnovými prostředky. Podle analýzy blockchainových transakcí zveřejněné serverem CoinDesk sehrála při krádeži významnou roli funkce EIP-7702, která byla do sítě Ethereum zavedena v květnu 2025 prostřednictvím aktualizace Pectra.
Tato funkce umožňuje běžným ethereum peněženkám dočasně využívat možnosti chytrých kontraktů. Uživatelé díky ní mohou například spojovat více transakcí do jedné operace nebo využívat pokročilejší správu svých prostředků. Aby však peněženka mohla takový kód používat, musí nejprve podepsat příslušné oprávnění.
Právě tohoto mechanismu útočníci využili. Podle blockchainových záznamů získali celkem 50 platných autorizací podepsaných peněženkou označovanou jako Binance 14. Všechna oprávnění směřovala k podvodnému chytrému kontraktu, který útočníkům umožňoval převádět prostředky z napadené peněženky.
Důvodem tak vysokého počtu autorizací byla skutečnost, že peněženka Binance neustále zpracovávala zákaznické transakce. Každá transakce přitom využívá pořadové číslo označované jako nonce, které se postupně zvyšuje. Útočníci proto připravili 50 autorizací s navazujícími hodnotami, aby zvýšili pravděpodobnost, že alespoň jedna z nich bude v okamžiku zpracování platná.
Dne 29. října ve 20:20:59 UTC síť Ethereum přijala jednu z těchto autorizací. Útočníci tím získali možnost spouštět škodlivý kód prostřednictvím peněženky Binance 14.
Pouhé tři minuty a 24 sekund poté, ve 20:24:23 UTC, následovala transakce, při které bylo odčerpáno přibližně 167 464 ETH a dalších 63 druhů tokenů. Mezi odcizenými aktivy bylo také přibližně 1,6 miliardy USDT. Celková hodnota této části útoku dosáhla zhruba 2,5 miliardy dolarů.
Napadení však pokračovalo i po první krádeži. Interní systémy Binance totiž nadále odesílaly zákaznické vklady do kompromitované peněženky. Útočníci tak mohli další příchozí prostředky opakovaně odčerpávat. Podle blockchainových záznamů k tomu došlo například ve 21:04 a 21:44 UTC.
Analytická společnost TRM Labs navíc uvedla, že útočníci prostřednictvím kompromitované peněženky získali přístup také k další peněžence Binance označované jako Hot Wallet 34. Z ní následně převedli přibližně 823 milionů USDC.
Škodlivé oprávnění zůstalo aktivní téměř čtyři hodiny. Binance jej odstranila až 30. října v 00:10:35 UTC, kdy došlo ke zrušení delegace a odpojení útočníkova kódu.
Přestože mechanismus EIP-7702 sehrál při útoku významnou roli, samotná aktualizace Etherea podle dosavadních informací nebyla prolomena. Útočníci využili platná oprávnění, jejichž prostřednictvím mohli peněžence přidělit škodlivý kód. Zásadní otázkou proto zůstává, jakým způsobem tato oprávnění získali.
Spoluředitel Binance Richard Teng uvedl, že předběžné výsledky vyšetřování naznačují možné kompromitování notebooku jednoho z DevOps inženýrů společnosti. Útočníci se podle této teorie mohli dostat k interním službám, jejichž prostřednictvím následně zadávali neoprávněné výběry.
Teng současně zdůraznil, že nešlo o jednoduchý útok založený na jediném kliknutí nebo zneužití oprávnění jednoho zaměstnance. Podle jeho vyjádření šlo o podstatně komplexnější operaci. Binance zatím také nenašla důkazy o přímém úniku soukromých klíčů svých peněženek.
Společnost následně oznámila, že vyšetřovatelé identifikovali další možná místa průniku do jejích systémů. Jejich podrobnosti však zatím nezveřejnila.
Útok se navíc neomezoval pouze na Ethereum. Z peněženek Binance zmizelo také přibližně 18 270 bitcoinů, stovky milionů dolarů v XRP a další kryptoměny na sítích Solana, Tron a dalších blockchainech. Tyto sítě mechanismus EIP-7702 nepoužívají, což naznačuje, že útočníci získali širší přístup k autorizační infrastruktuře burzy.
Jednou z vyšetřovaných možností je, že se hackerům podařilo přimět interní podepisovací systémy Binance k vytváření platných autorizací. Přesný způsob provedení útoku však dosud nebyl potvrzen.
Incident zároveň upozornil na riziko spojené s funkcionalitou EIP-7702. Autorizace totiž neurčuje konkrétní částku ani příjemce transakce, ale umožňuje peněžence vykonávat předem určený kód. Pokud uživatel schválí škodlivý kontrakt, může tím ohrozit nejen současný zůstatek peněženky, ale také prostředky, které do ní dorazí později.
Binance celkové škody vyčíslila na přibližně 6,3 miliardy dolarů. Burza současně ujistila zákazníky, že veškeré ztráty pokryje prostřednictvím svého bezpečnostního fondu SAFU a vlastních finančních rezerv. Podle pátečního vyjádření společnosti se navíc podařilo zmrazit aktiva v hodnotě přibližně 3 miliard dolarů.
Celý incident tak představuje nejen jeden z největších hackerských útoků v historii kryptoměn, ale také zásadní upozornění na bezpečnostní rizika spojená s pokročilými funkcemi digitálních peněženek. Přestože tyto technologie přinášejí nové možnosti a pohodlnější používání kryptoměn, jejich zneužití může mít při nedostatečném zabezpečení katastrofální následky.