Hack da Binance coloca EIP-7702 do Ethereum e custódia de corretoras sob escrutínio

O relato da Binance sobre o ataque

O co-CEO da Binance, Richard Teng, afirma que o setor de criptomoedas deve estudar o ataque descrito como o hack de US$ 6,3 bilhões da Binance. Em entrevista à CNBC na terça-feira, ele disse que a Binance publicou um relatório detalhado para que outros participantes do setor pudessem aprender com o ocorrido. Seu relato descreve o incidente não como uma violação repentina e isolada, mas como uma campanha que se desenvolveu ao longo de meses e chegou ao sistema que autoriza transações de carteiras.

Teng mencionou uma atribuição do FBI à Coreia do Norte e descreveu uma sequência que começou em junho com uma ferramenta falsa para desenvolvedores. Em setembro, disse ele, os invasores usaram entrevistas falsas de recrutamento. O relato acompanha então o avanço deles por ferramentas internas de IA até o sistema usado para autorizar transações de carteiras. Esses detalhes sugerem que o caminho relatado do ataque atravessou várias áreas das operações da Binance antes que a transferência de criptomoedas fosse viabilizada.

O incidente destaca como um recurso técnico pode fazer parte de um roubo sem necessariamente ser o ponto de entrada inicial. Teng disse que os invasores percorreram sistemas internos antes de explorar um recurso do Ethereum em 29 de outubro, depois que a Binance havia suspendido os saques. O relato disponível não estabelece todas as etapas técnicas entre o acesso interno mencionado e a transação da carteira, o que torna a revisão independente prometida importante para uma compreensão mais completa.

Como o EIP-7702 foi usado no roubo

O recurso do Ethereum identificado pelos pesquisadores é o EIP-7702, uma atualização de maio de 2025 que permite que carteiras comuns usem código de contratos inteligentes. Segundo o Gizmodo, essa capacidade esteve envolvida no ataque. A Blockaid, empresa de segurança em blockchain, constatou que o invasor agrupou 50 autorizações assinadas em uma única transação. Esse mecanismo ajuda a explicar como o recurso foi usado, mas, por si só, não demonstra que a atualização contenha uma falha.

O efeito relatado foi a rápida movimentação de fundos mesmo depois que a Binance suspendeu os saques. Teng disse que, na rede Ethereum, uma carteira perdeu cerca de 167.464 ETH e US$ 1,6 bilhão em Tether. Um relato detalhado do incidente afirmou que a Binance revogou a delegação quase quatro horas depois. Esses números descrevem os ativos da carteira mencionada e o momento dessa revogação; não devem ser confundidos com um balanço completo de todas as perdas ou dos valores recuperados.

O pesquisador da Ethlabs Derek Chiang argumentou que o EIP-7702 não está quebrado, embora tenha reconhecido que o recurso tornou o roubo mais rápido e eficiente. Essa distinção é importante: um recurso pode oferecer uma capacidade útil e, ainda assim, influenciar o funcionamento de uma exploração quando os invasores obtêm a autorização necessária. A fonte não estabelece que usuários comuns da atualização tenham sido alvos, nem identifica um defeito no próprio recurso.

O que o incidente revela sobre o risco de custódia

O relato levanta uma questão à parte: quem pode assinar transações e como esses sistemas de assinatura são protegidos. Teng afirmou que os invasores conseguiram acessar o sistema que autoriza transações de carteiras, enquanto a avaliação de Chiang concentra a atenção na forma como o recurso foi usado, e não em uma falha inerente. Se uma análise independente confirmar o comprometimento dos signatários, a principal preocupação será o modelo de custódia da exchange, e não simplesmente a presença do EIP-7702.

Essa distinção é relevante para os clientes de exchanges porque os sistemas de custódia controlam como os ativos mantidos em uma plataforma são autorizados a circular. A fonte afirma que usuários de carteiras compatíveis com EIP-7702, incluindo a MetaMask, não precisam entrar em pânico, mas essa garantia é a opinião de Chiang, não uma conclusão da análise independente prometida. O relato não apresenta evidências de que esses usuários de carteiras tenham enfrentado a mesma exposição que o sistema de assinatura da Binance.

Na descrição de Teng, as ferramentas de IA aparecem como parte do caminho percorrido pelos invasores no ambiente interno da Binance e como ferramentas usadas na campanha. A presença delas acrescenta contexto à sequência relatada, mas a fonte não especifica exatamente como a IA foi usada nem afirma que ela tenha causado a violação de forma independente. A lição prática que se pode tirar deste relato é limitada: as ferramentas internas e as vias de acesso fizeram parte da narrativa do ataque e merecem análise cuidadosa.

Medidas de recuperação e questões em aberto

A Binance afirma que recompôs 98% dos ativos afetados, reconstruiu seu sistema de carteiras, substituiu dispositivos e cancelou credenciais associadas. Essas medidas indicam uma resposta voltada tanto a restituir os ativos afetados quanto a alterar ou remover elementos associados ao ambiente comprometido. A fonte não explica como foi calculada a reposição, não identifica o montante afetado restante nem fornece um cronograma para concluir todo o trabalho de recuperação.

A empresa também afirma que está trabalhando com autoridades policiais e parceiros do setor para rastrear e congelar os fundos roubados. Esse trabalho é distinto da reposição dos ativos: o rastreamento e o congelamento dependem da localização dos fundos e de possíveis intervenções, enquanto a reposição relatada descreve uma medida de recuperação da própria Binance. O relato disponível não informa quanto da criptomoeda roubada, se é que algum montante, foi congelado ou recuperado por meio desses esforços conjuntos.

A revisão independente continua sendo uma parte importante da história ainda sem esclarecimento. Teng prometeu realizá-la, e suas conclusões podem esclarecer se os invasores comprometeram um sistema de assinatura ou se uma falha no próprio EIP-7702 contribuiu para o ocorrido. Essas possibilidades apontariam para diferentes fontes de risco, mas nenhuma delas foi confirmada. Até que a revisão forneça mais detalhes, o relato recomenda cautela com conclusões que atribuam a culpa exclusivamente ao recurso do Ethereum ou à custódia da corretora.

Fonte: BeInCrypto