O suposto hack multibilionário da Binance pode ter envolvido invasores manipulando a assinatura de transações da exchange, em vez de roubar chaves privadas, segundo Ido Ben-Natan, cofundador e CEO da Blockaid.
Em entrevista à Cointelegraph, Ben-Natan disse que a avaliação preliminar da Blockaid apontava para um “uso indevido de chave”, no qual invasores enganam ou comprometem um sistema de assinatura para autorizar transações maliciosas sem extrair a chave privada subjacente.
“Parece ser… um comprometimento da infraestrutura de assinatura. Não acreditamos que uma chave tenha vazado”, disse ele.
Ben-Natan disse que essa era uma avaliação preliminar, baseada na experiência da equipe com ataques semelhantes e em suas observações da atividade on-chain.
A Binance não confirmou o método preciso que permitiu aos hackers roubar mais de US$ 2,5 bilhões em criptomoedas da exchange — o maior hack de criptomoedas da história.
Relacionado: Hack da Binance abala os mercados de criptomoedas enquanto o BNB cai 7% e o Bitcoin recua
Blockaid identifica delegação maliciosa de carteira
Em sua análise on-chain publicada no X, a Blockaid disse que o invasor agrupou 50 autorizações EIP-7702 em uma única transação direcionada à Binance 14. Uma autorização teria correspondido ao nonce exigido pela conta, permitindo que ela fosse aceita.
A EIP-7702 permite que uma conta delegue a execução a um código de contrato inteligente. A Blockaid disse que a conta afetada foi delegada a um contrato sweeper não verificado que permitia a um operador designado drenar tokens e Ether.
Ben-Natan disse à Cointelegraph que a operação pode ter envolvido vários dispositivos comprometidos e movimentação pela rede da exchange, embora isso ainda não esteja confirmado.
Coreia do Norte, comparação com a Bybit
Questionado se a suposta manipulação da assinatura se assemelhava ao ataque à Bybit em fevereiro de 2025, Ben-Natan descreveu os incidentes como “muito, muito semelhantes”.
Nesse caso, a atualização forense publicada pela Bybit disse que os invasores comprometeram as credenciais de um desenvolvedor da Safe, acessaram a infraestrutura do provedor da carteira e enganaram os signatários para que aprovassem uma transação maliciosa.
Assim como no caso da Bybit, Ben-Natan disse que a atividade se assemelhava a operações ligadas a ciberatacantes norte-coreanos, com base na sofisticação dos preparativos on-chain.