به گزارش کوین‌تلگراف، کارشناسان امنیتی می‌گویند استاندارد EIP-7702 اتریوم عامل هک ۶.۳ میلیارد دلاری بایننس نبود، اما شاید زیان را بیشتر کرده و احتمالا به دور زدن کنترل‌های برداشت کمک کرده باشد. همه‌ی کارشناسان با این نظر موافق نیستند. این ارزیابی‌ها روز ۸ آبان ۱۴۰۵ (۳۰ اکتبر ۲۰۲۶) منتشر شد.

مهاجم چطور از EIP-7702 استفاده کرد

به گزارش دیکریپت، روز ۲۹ اکتبر حدود ۶.۴ میلیارد دلار از کیف پول‌های بایننس در ۱۰ بلاک‌چین خارج شد که بیشتر آن در حدود ۲۰ دقیقه بود. بایننس، به گزارش کوین‌تلگراف، زیان را ۶.۳ میلیارد دلار برآورد کرده و گفته همه‌ی آن را جبران می‌کند. دیکریپت به نقل از یک شرکت تحلیل بلاک‌چین نوشت مهاجم در شبکه‌ی اتریوم ۵۰ مجوز EIP-7702 را از قبل امضا کرده بود. به گفته‌ی همین شرکت، یک کیف پول عملیاتی که از تورنادو کش پول گرفته بود این مجوزها را ثبت کرد و یکی از هات‌ولت‌های بایننس را به قراردادی تبدیل کرد که در اختیار مهاجم بود. سپس با فراخوانی این کیف پول، دارایی‌هایش منتقل شد.

در ۹ شبکه‌ی دیگر، انتقال‌ها با تراکنش‌های امضاشده‌ی معمولی انجام شد. همین نشان می‌دهد مشکل اصلی نفوذ به زیرساخت امضای کیف پول‌های بایننس بوده، نه نقصی در خود اتریوم. بایننس گفته تحقیقات از لپ‌تاپ آلوده‌ی یکی از مهندسانش شروع شد و بعد نقاط نفوذ دیگری هم پیدا شد. ریچارد تنگ، مدیرعامل بایننس، گفته شواهدی از نشت کلیدهای خصوصی پیدا نشده است.

نظر کارشناسان

  • ایدو بن‌ناتان، مدیرعامل Blockaid، به کوین‌تلگراف گفت مهاجم بدون این استاندارد هم می‌توانست پول را ببرد. به نظر او EIP-7702 شاید این امکان را داد که کار یک‌جا و بدون چند تراکنش جداگانه انجام شود و احتمالا بررسی‌ها هم دور زده شود.
  • ایوو گئورگیف، مدیرعامل Ambire، معتقد است تفاوت چندانی ایجاد نکرد و هشدار داد ممکن است مهندسان فراموش کنند واگذاری مخرب را پس از بازپس‌گیری کنترل لغو کنند.

درس امنیتی برای دارندگان کیف پول اتریوم

EIP-7702 از اردیبهشت ۱۴۰۴ با ارتقای Pectra فعال شد و به کیف پول‌های معمولی اجازه می‌دهد کد یک قرارداد هوشمند را اجرا کنند. این واگذاری به کد، دسترسی کامل به همه‌ی دارایی حساب می‌دهد و تا وقتی صاحب حساب مجوز تازه‌ای امضا نکند باقی می‌ماند. طبق مشخصات این استاندارد، سایت‌ها و برنامه‌ها نباید از کاربر امضای چنین مجوزی بخواهند؛ پس هر درخواستی از این نوع باید مشکوک تلقی شود.

اگر قرار است از آدرسی ناشناس دارایی دریافت کنید، می‌توانید پیش از دریافت، ریسک آن را در بررسی ریسک کیف پول SafeON ببینید.

منبع: کوین‌تلگراف و دیکریپت