- Ataque de US$ 6,4 bilhões atingiu carteiras da Binance em dez blockchains
- Invasor usou 50 autorizações para executar código em carteira no Ethereum
- Delegação exige assinatura válida e aponta comprometimento da infraestrutura de custódia
O ataque de US$ 6,4 bilhões à Binance usou a eip-7702 para executar código malicioso em uma carteira da exchange no Ethereum. A operação, porém, exigiu assinaturas válidas da própria conta, segundo a análise da TRM Labs.
Essa exigência separa o instrumento empregado da origem do comprometimento. Nas outras nove blockchains atingidas, os criminosos movimentaram recursos por transferências assinadas convencionais, sem depender da atualização do Ethereum.
Em 29 de outubro, a maior parte dos valores saiu em aproximadamente 20 minutos. TRM Labs e Chainalysis atribuíram o roubo ao TraderTraitor, grupo norte-coreano associado ao ataque de US$ 1,5 bilhão contra a Bybit, em fevereiro de 2025.
Invasor reuniu 50 autorizações para drenar carteira
Na etapa executada no Ethereum, o invasor utilizou 50 autorizações previamente assinadas, de acordo com a TRM Labs. Elas permitiram vincular a carteira operacional da Binance a um contrato controlado pelo atacante.
Uma carteira financiada por meio do misturador Tornado Cash apresentou essas autorizações à rede, segundo a Chainalysis. Depois, o criminoso acionou a conta comprometida para transferir seus ativos a endereços sob seu controle.
O contrato funcionava como um sweeper, código destinado a esvaziar carteiras. A EIP-7702 forneceu o mecanismo de execução dentro da conta, enquanto as assinaturas deram validade às autorizações.
A Binance informou que a investigação começou com um notebook de engenheiro comprometido. Posteriormente, a empresa identificou outros pontos de invasão. A sequência integra o ataque à Binance, que alcançou dez redes.
Os elementos descritos pela TRM apontam para comprometimento da infraestrutura de assinatura das carteiras operacionais. A utilização de um recurso do protocolo não demonstra, isoladamente, uma falha no consenso ou na validação do Ethereum.
Pectra permitiu delegar código sem trocar endereço
Ativada em 7 de maio de 2025, na atualização Pectra, a EIP-7702 permite que contas controladas por chaves privadas executem código de contratos. O endereço permanece igual.
Antes, essas contas dependiam essencialmente de transações assinadas para movimentar recursos. Contas de contratos já executavam regras programáveis, como limites de gasto e mecanismos de recuperação, mas exigiam outra estrutura de carteira.
A proposta criou uma transação que transporta autorizações assinadas. Cada autorização indica o endereço do contrato cujo código a conta passará a executar. Um indicador de delegação registra esse vínculo.
Apesar da descrição frequente como capacidade temporária, a delegação não desaparece automaticamente ao fim da transação. Ela permanece até uma nova autorização substituir o contrato ou remover o vínculo.
Entre os usos previstos estão reunir aprovação e troca de tokens numa transação e permitir que aplicativos paguem taxas pelos usuários. Também há chaves subordinadas com permissões limitadas, como gastar apenas 1% do saldo diário.
Código delegado recebe acesso irrestrito à conta
A especificação da EIP-7702 alerta que o código delegado recebe acesso irrestrito à conta. Por isso, desaconselha interfaces que apresentem autorizações de delegação como solicitações comuns de aplicativos.
Há uma diferença operacional entre limitar uma chave subordinada e limitar o contrato delegado. O teto de gasto depende das regras desse contrato. Se o código for malicioso, a delegação não oferece, por si, aquele limite.
Revogar a delegação interrompe o uso futuro daquele código, mas não desfaz transferências já confirmadas. A autorização controla quem executa operações pela conta; ela não cria um mecanismo de recuperação dos ativos enviados.
Apresentada em maio de 2024, a proposta tem autoria de Vitalik Buterin, Sam Wilson, Ansgar Dietrichs e lightclient. Trata-se de uma alteração do protocolo, sem token próprio.
Buterin apontou, em fevereiro de 2026, a EIP-8141 como candidata à atualização Hegotá, planejada depois de Glamsterdam. A proposta busca ampliar a abstração de contas, incorporando funções como transações agrupadas e pagamento de taxas por terceiros.
