Exploit da Binance vinculado à delegação EIP-7702 , perdas preliminares aumentam
Uma delegação EIP-7702 assinada está no centro do incidente de segurança da Binance, com a Fireblocks afirmando que o caminho do ataque permitiu saques de carteiras quentes em várias blockchains e a própria atualização preliminar da Binance apontando para um laptop DevOps potencialmente comprometido. O material publicado sugere uma violação rápida, com perdas ainda sendo contabilizadas e fatos-chave ainda não finalizados.
O que o material original diz
Em um relatório publicado em 2026-10-30, a Fireblocks disse que atacantes drenaram as carteiras quentes da Binance na 2026-10-29 e que as estimativas brutas de saída variam de $3.3 a $6.3 bilhões, incluindo cerca de $450 milhão em ETH e bilhões em USDT e USDC. A Fireblocks também informou que cerca de $2.8 bilhões foram congelados por emissores de stablecoins e outros, enquanto a Binance não publicou um número verificado de perda total. O relatório afirmou que a primeira varredura atingiu em minutos e a atividade continuou por mais de uma hora.
A própria atualização preliminar de incidentes da Binance, também datada de 2026-10-30, diz que a exchange está investigando um laptop DevOps potencialmente comprometido, acesso a um contêiner de serviço e submissões não autorizadas de saques. Afirma que os depósitos permanecem inalterados e promete uma autópsia técnica. A atualização não estabelece uma causa raiz definitiva.
Como o caminho do ataque foi descrito
A Fireblocks disse que a sequência relatada começou com um comprometimento de estação de trabalho que deu ao atacante acesso às capacidades de implantação e assinatura. Em seguida, descreve uma delegação EIP-7702 sendo injetada no Binance 14, um endereço principal de hot wallet, e um contrato controlado pelo atacante executado em cerca de três minutos para transferir 167,464 ETH e $1.615 bilhões em USDT. O relatório diz que 780 milhões de USDC foram então drenados de hot wallets secundárias vinculadas à Binance 14, e que a Binance 16 também foi alvo. A atividade teria se estendido por Ethereum, Arbitrum e Avalanche.
O mesmo relatório diz que o atacante preparou um contrato mais cedo naquele dia, usou o Tornado Cash para financiamento e ensaiou o processo em carteiras de teste. Também diz que um transação teve autorizações 50, então pelo menos um seria válida quando processada. O Fireblocks afirma que a delegação permitiu que um endereço controlado pelo atacante drenasse a carteira, incluindo novos depósitos, e que o acesso foi reutilizado mais de uma hora depois.
O que permanece não confirmado
A Fireblocks afirma que relatos atribuem o ataque ao grupo norte-coreano Lazarus, o mesmo ator ligado ao relatar o ataque ao 2025 Bybit. Essa atribuição permanece parte do material de origem, e não uma constatação finalizada no aviso preliminar da Binance. O material também diz que os movimentos relatados de Bitcoin e TRON não podem ser explicados apenas pela EIP-7702, ressaltando que seriam necessárias evidências separadas específicas da cadeia antes de tirar conclusões sobre essas transferências.
O material fonte também observa que relatórios da comunidade descreveram o tempo de varredura e o lote de autorizações de 50 , mas afirma que esses detalhes da transação não foram verificados independentemente em relação aos hashes completos da transação na pesquisa. Como resultado, o mecanismo relatado deve ser lido como uma explicação técnica preliminar, e não como uma autópsia final.
Por que o incidente importa
Fireblocks enquadra o evento como um risco estrutural: autoridade de assinatura acessível a partir de máquinas de engenharia privilegiadas sem um segundo limite criptográfico. Seu relatório argumenta que um único desenvolvedor ou endpoint DevOps não deveria ter autoridade unilateral para implantar ou alterar permissões de carteira, e aponta para controles como ambientes de implantação apoiados por enclave, aprovações multipartidos, acesso de privilégios mínimos, limites de balanceamento e detecção de anomalias em tempo real.
O relatório também afirma que as ferramentas de postura de segurança da Fireblocks têm como objetivo revelar configurações erradas, políticas arriscadas e permissões excessivas, e que os controles sobre assinatura bruta, limites de delegação e aplicação de políticas têm como objetivo reduzir o raio de explosão de um endpoint comprometido. Esses são controles descritos pelo fornecedor no contexto do incidente, não garantias verificadas independentemente contra ataques futuros.
Uma atualização posterior da Binance sobre 2026-10-30 diz que a exchange cobrirá perdas hackeadas com fundos da empresa, e mensagens relacionadas da Binance dizem que $6.34 bilhões estavam reservados e $5 bilhões já estavam detidos nos tokens afetados. Os detalhes de cronologia e contábeis nessas declarações são separados da causa técnica raiz do incidente, que ainda está sob investigação.