Fireblocks lie le piratage de Binance à une signature EIP-7702

La société de sécurité Fireblocks affirme que le vol record sur les hot wallets de Binance repose sur une seule autorisation EIP-7702 signée. Selon l'entreprise, cette signature a transféré le contrôle d'un hot wallet Ethereum ↗ 0.59% principal vers un contrat malveillant, qui a ensuite drainé des milliards de dollars en quelques minutes. Cette analyse apporte des détails techniques à l'explication initiale de Binance, qui pointait du doigt l'ordinateur portable compromis d'un ingénieur DevOps. La plateforme a depuis déclaré que son enquête avait révélé plus d'un point de rupture.

Comment l'attaque a fonctionné

Dans son analyse de l'exploit, Fireblocks a indiqué que les attaquants ont vidé les hot wallets de Binance sur plusieurs blockchains le 29 octobre 2026. Elle estime les sorties brutes entre 3,3 et 6,3 milliards de dollars. La société a précisé que l'attaquant n'a pas piraté un contrat EIP-7702 existant. Au lieu de cela, il a créé une nouvelle autorisation dirigeant le hot wallet nommé "Binance 14" vers un code contrôlé par l'attaquant. En trois minutes, ce code a envoyé 167 464 ETH et 1,615 milliard de dollars en Tether, puis a prélevé 780 millions de USD Coin sur des portefeuilles secondaires liés.fireblocks.com

Fireblocks a affirmé que l'attaquant avait planifié son coup. Il a déployé un contrat plus tôt dans la journée, a payé les frais de gaz avec des fonds acheminés via Tornado Cash et s'est exercé sur des portefeuilles de test. Une transaction contenait 50 autorisations afin qu'au moins une soit valide lors du traitement. La société a indiqué que l'attaque a touché Ethereum, Arbitrum ↗ 0.35% et Avalanche ↗ 3.59%, mais qu'EIP-7702 ne peut expliquer les mouvements signalés sur Bitcoin ↗ 0.36% et Tron ↘ 6.25%.fireblocks.com

La version de Binance

Le 29 octobre tard dans la soirée, Binance a déclaré sur X que l'incident "pourrait impliquer l'ordinateur portable compromis d'un ingénieur DevOps, permettant à un attaquant d'accéder à un conteneur de service et de soumettre des transactions de retrait non autorisées". Elle a ajouté n'avoir trouvé "aucune preuve de fuite de clés privées de portefeuilles", comme l'a rapporté Mashable. Le co-PDG Richard Teng a déclaré plus tard que l'attaquant avait utilisé EIP-7702 pour obtenir une approbation d'exécution sur un hot wallet et que la délégation "n'était pas passée par nos contrôles d'approbation habituels". Binance a par la suite indiqué que son enquête avait découvert "des points de rupture supplémentaires".bbc.co.uk+2

Attribution et récupération

TRM Labs a blâmé TraderTraitor, une unité de piratage nord-coréenne, et a déclaré qu'environ 6,36 milliards de dollars avaient quitté les portefeuilles de Binance sur 10 blockchains, la majeure partie en environ 20 minutes. Des émetteurs comme Circle ↘ 9.31% et Tether ont gelé environ 3 milliards de dollars. TRM a indiqué que 2,4 milliards de dollars supplémentaires avaient été déplacés "hors de portée de tout émetteur", et Binance s'est engagé à couvrir les pertes des clients.nytimes.com+1

Fireblocks a conclu que la leçon principale est qu'"aucun développeur ou machine DevOps ne devrait jamais posséder l'autorité unilatérale pour déployer ou modifier les autorisations d'un portefeuille".fireblocks.com