L’hack di Binance mette sotto esame l’EIP-7702 di Ethereum e la custodia degli exchange

La ricostruzione dell’attacco secondo Binance

Il co-CEO di Binance Richard Teng afferma che il settore delle criptovalute dovrebbe studiare l’attacco descritto come l’hack di Binance da 6,3 miliardi di dollari. Intervistato martedì da CNBC, ha detto che Binance ha pubblicato un rapporto dettagliato affinché gli altri operatori del settore possano imparare da quanto accaduto. La sua ricostruzione presenta l’incidente non come una violazione improvvisa e isolata, ma come una campagna sviluppatasi nell’arco di mesi e arrivata fino al sistema che autorizza le transazioni dei wallet.

Teng ha citato un’attribuzione dell’FBI alla Corea del Nord e ha descritto una sequenza iniziata a giugno con uno strumento per sviluppatori contraffatto. A settembre, ha detto, gli aggressori hanno utilizzato falsi colloqui di selezione. La ricostruzione segue poi il loro percorso attraverso gli strumenti interni di intelligenza artificiale fino al sistema utilizzato per autorizzare le transazioni dei wallet. Questi dettagli suggeriscono che il percorso dell’attacco, secondo quanto riferito, abbia attraversato diverse aree operative di Binance prima che fosse possibile effettuare il trasferimento di criptovalute.

L’incidente mette in evidenza come una funzionalità tecnica possa essere coinvolta in un furto senza esserne necessariamente il punto d’ingresso iniziale. Teng ha dichiarato che gli aggressori si sono spostati attraverso i sistemi interni prima di sfruttare una funzionalità di Ethereum il 29 ottobre, dopo che Binance aveva sospeso i prelievi. Le informazioni disponibili non chiariscono tutti i passaggi tecnici tra l’accesso interno segnalato e la transazione del wallet, rendendo importante la revisione indipendente promessa per comprendere meglio l’accaduto.

Il ruolo di EIP-7702 nel furto

La funzionalità di Ethereum individuata dai ricercatori è EIP-7702, un aggiornamento introdotto a maggio 2025 che consente ai wallet ordinari di utilizzare temporaneamente codice di smart contract. Secondo Gizmodo, questa funzionalità è stata coinvolta nell’attacco. Blockaid, una società specializzata nella sicurezza della blockchain, ha rilevato che l’aggressore ha raggruppato 50 autorizzazioni firmate in un’unica transazione. Questo meccanismo aiuta a spiegare come sia stata utilizzata la funzionalità, ma di per sé non dimostra che l’aggiornamento contenga una falla.

Secondo quanto riportato, i fondi sono stati trasferiti rapidamente anche dopo che Binance aveva sospeso i prelievi. Teng ha dichiarato che, su Ethereum, un wallet ha perso circa 167.464 ETH e 1,6 miliardi di dollari in Tether. Un resoconto dettagliato dell’incidente ha riferito che Binance ha revocato la delega quasi quattro ore dopo. Queste cifre descrivono gli asset presenti nel wallet segnalato e i tempi della revoca; non vanno interpretate come un resoconto completo di tutte le perdite o dei fondi recuperati.

Il ricercatore di Ethlabs Derek Chiang ha sostenuto che EIP-7702 non è difettoso, pur riconoscendo che ha reso il furto più rapido ed efficiente. La distinzione è importante: una funzionalità può offrire capacità utili e, al tempo stesso, influire sul funzionamento di un exploit quando gli aggressori ottengono l’autorizzazione necessaria. La fonte non dimostra che siano stati presi di mira gli utenti comuni dell’aggiornamento, né individua un difetto nella funzionalità stessa.

Cosa rivela l’incidente sui rischi di custodia

La ricostruzione solleva una questione distinta: chi può firmare le transazioni e in che modo vengono protetti i sistemi di firma. Teng ha affermato che gli aggressori hanno raggiunto il sistema che autorizza le transazioni del wallet, mentre la valutazione di Chiang pone l’attenzione sul modo in cui è stata usata la funzionalità, piuttosto che su un difetto intrinseco. Se una revisione indipendente confermasse la compromissione dei firmatari, la questione centrale riguarderebbe la progettazione della custodia da parte dell’exchange, non la semplice presenza di EIP-7702.

Questa distinzione è rilevante per i clienti degli exchange perché i sistemi di custodia determinano come viene autorizzato il trasferimento degli asset detenuti su una piattaforma. La fonte afferma che gli utenti di wallet che supportano EIP-7702, incluso MetaMask, non devono farsi prendere dal panico, ma questa rassicurazione riflette il punto di vista di Chiang, non una conclusione della revisione indipendente promessa. Il resoconto non fornisce prove che gli utenti di quei wallet siano stati esposti allo stesso rischio del sistema di firma di Binance.

Nella descrizione di Teng, gli strumenti di IA fanno parte del percorso seguito dagli aggressori all’interno dell’ambiente interno di Binance e degli strumenti usati durante la campagna. La loro presenza aggiunge contesto alla sequenza riportata, ma la fonte non specifica esattamente come sia stata usata l’IA né afferma che abbia causato autonomamente la violazione. La lezione pratica ricavabile da questo resoconto è circoscritta: gli strumenti interni e i percorsi di accesso hanno avuto un ruolo nella ricostruzione dell’attacco e meritano un esame attento.

Interventi di recupero e questioni irrisolte

Binance afferma di aver reintegrato il 98% degli asset interessati, ricostruito il proprio sistema di wallet, sostituito i dispositivi e annullato le credenziali collegate. Queste misure indicano una risposta volta sia a ripristinare gli asset interessati, sia a modificare o rimuovere gli elementi associati all’ambiente compromesso. La fonte non spiega come sia stato calcolato il reintegro, non indica l’importo ancora interessato né fornisce una tempistica per completare tutte le attività di recupero.

La società afferma inoltre di collaborare con le forze dell’ordine e con partner del settore per rintracciare e congelare i fondi rubati. Questo lavoro è distinto dal reintegro degli asset: rintracciare e congelare i fondi richiede di individuarli e può comportare un intervento, mentre il reintegro riportato descrive un’azione di recupero intrapresa da Binance. Il resoconto disponibile non indica quanto, se del caso, della criptovaluta rubata sia stato congelato o recuperato grazie a questi sforzi congiunti.

La revisione indipendente resta un elemento chiave della vicenda ancora da chiarire. Teng ne ha promessa una e i risultati potrebbero chiarire se gli aggressori hanno compromesso un sistema di firma o se un difetto della stessa EIP-7702 abbia contribuito all’accaduto. Queste possibilità indicherebbero fonti di rischio diverse, ma qui nessuna delle due è stata accertata. Finché la revisione non fornirà ulteriori dettagli, il resoconto invita alla cautela nel trarre conclusioni che attribuiscano la colpa esclusivamente alla funzionalità di Ethereum o alla custodia dell’exchange.

Fonte: BeInCrypto