Fireblocks, Binance hack’ini tek bir EIP-7702 imzasına bağladı

Güvenlik firması Fireblocks, Binance'in sıcak cüzdanlarından gerçekleşen rekor düzeydeki hırsızlığın tek bir imzalı EIP-7702 yetkilendirmesinden kaynaklandığını açıkladı. Firmaya göre bu imza, bir Ethereum ↗ 0.43% sıcak cüzdanının kontrolünü kötü niyetli bir sözleşmeye devretti ve bu sözleşme dakikalar içinde milyarlarca doları boşalttı. Analiz, Binance'in başlangıçta bir DevOps mühendisinin dizüstü bilgisayarının ele geçirildiğine dair açıklamasına teknik detaylar ekliyor. Borsa, o zamandan beri yaptığı incelemelerde birden fazla ihlal noktası bulduğunu belirtti.

Saldırı nasıl gerçekleşti

Saldırıyı detaylandıran Fireblocks, saldırganların 29 Ekim 2026'da Binance'in çeşitli blok zincirlerindeki sıcak cüzdanlarını boşalttığını ifade etti. Toplam çıkışın 3.3 milyar dolar ile 6.3 milyar dolar arasında olduğunu tahmin ediyor. Firma, saldırganın mevcut bir EIP-7702 sözleşmesini kırmadığını, bunun yerine "Binance 14" olarak bilinen sıcak cüzdanı saldırgan kontrolündeki koda yönlendiren yeni bir yetkilendirme oluşturduğunu belirtti. Üç dakika içinde bu kod 167,464 ETH ve 1.615 milyar dolar değerinde Tether gönderdi, ardından bağlantılı ikincil cüzdanlardan 780 milyon USD Coin çektifireblocks.com.

Fireblocks, saldırganın önceden plan yaptığını belirtti. Aynı gün bir sözleşme dağıttı, gas ücretlerini Tornado Cash üzerinden yönlendirilen fonlarla ödedi ve test cüzdanlarında denemeler yaptı. Bir işlem, işlendiğinde en az birinin geçerli olması için 50 yetkilendirme taşıyordu. Firma, saldırının Ethereum, Arbitrum ↗ 0.17% ve Avalanche ↘ 0.06% ağlarına dokunduğunu, ancak EIP-7702'nin Bitcoin ↗ 0.14% ve Tron ↘ 6.25% üzerindeki hareketleri açıklayamayacağını belirttifireblocks.com.

Binance'in açıklaması

29 Ekim gecesi Binance, X üzerinden yaptığı açıklamada olayın "bir saldırganın servis konteynerine erişim sağlamasına ve yetkisiz para çekme işlemleri göndermesine olanak tanıyan, ele geçirilmiş bir DevOps mühendisinin dizüstü bilgisayarını içerebileceğini" belirtti. Mashable'ın bildirdiğine göre, "cüzdan özel anahtar sızıntısına dair hiçbir kanıt bulunmadığını" ekledi. Eş CEO Richard Teng daha sonra saldırganın sıcak cüzdan üzerinde yürütme onayı almak için EIP-7702 kullandığını ve bu yetkilendirmenin "normal onay kontrollerimizden geçmediğini" söyledi. Binance daha sonra soruşturmasının "ek ihlal noktaları" ortaya çıkardığını belirttibbc.co.uk+2.

Sorumluluk ve kurtarma

TRM Labs, saldırıdan Kuzey Koreli bir hacker birimi olan TraderTraitor'ı sorumlu tuttu ve 10 blok zincirinde Binance cüzdanlarından yaklaşık 6.36 milyar doların çıktığını, bunun çoğunun yaklaşık 20 dakika içinde gerçekleştiğini belirtti. Circle ↘ 9.31% ve Tether gibi ihraççılar yaklaşık 3 milyar doları dondurdu. TRM, 2.4 milyar doların daha "herhangi bir ihraççının erişiminin ötesine" geçtiğini ve Binance'in müşteri kayıplarını karşılayacağını taahhüt ettiğini bildirdinytimes.com+1.

Fireblocks, ana dersin "hiçbir geliştiricinin veya DevOps makinesinin cüzdan izinlerini değiştirmek için tek taraflı yetkiye sahip olmaması gerektiği" olduğunu vurguladıfireblocks.com.