Attacco a Binance: le firme EIP-7702 non dimostrano che le chiavi siano sicure
Un nuovo rapporto forense di GCSA sull’hack di Binance afferma che 50 firme di autorizzazione EIP-7702 verificate dimostrano la capacità di firmare, ma non consentono di stabilire se una chiave privata sia stata rubata né di identificare chi abbia avviato le richieste. Il rapporto ha esaminato 18 transazioni, tracciato le autorizzazioni e i movimenti degli asset e analizzato una firma di revoca. Sottolinea che le firme EIP-7702 valide non dimostrano che le chiavi di Binance fossero al sicuro: i soli dati on-chain non permettono di distinguere tra furto di una chiave, uso improprio di un servizio di firma o approvazioni compromesse.
GCSA ha inoltre rilevato che tre transazioni collegate a MetaMask Gas Station presentavano importi corrispondenti per il finanziamento e il budget del gas. È un indizio verificabile da approfondire, non una prova dell’identità dell’operatore o del suo indirizzo IP. Il rapporto non conferma in modo indipendente la versione di Binance secondo cui sarebbe stato compromesso il laptop di un ingegnere, né l’attribuzione esterna ad attori nordcoreani.
Al momento dell’acquisizione dei dati per il rapporto, un indirizzo destinatario risultava ancora nella blacklist e deteneva circa 175 milioni di USDT. La revoca di un’autorizzazione o il congelamento dei fondi non significano che gli asset siano stati restituiti. I risultati si concentrano su Ethereum e non costituiscono una verifica completa di tutte le blockchain coinvolte. Per i trader, il rapporto chiarisce le prove, ma non risolve la causa principale della violazione né l’ammontare definitivo delle perdite.
Neutral
Il rapporto presenta importanti risultati in materia di sicurezza, ma non annuncia un nuovo exploit, non conferma la causa principale della violazione né stabilisce l’ammontare finale delle perdite non recuperate. La sua conclusione centrale è che 50 firme EIP-7702 valide non dimostrano se le chiavi private siano state rubate. Questa distinzione migliora la comprensione pubblica dell’incidente, ma lascia irrisolte le principali questioni operative.
Nel breve termine, i trader potrebbero continuare a prestare attenzione ai prelievi collegati a Binance, alle comunicazioni degli exchange, agli sviluppi relativi al blocco delle stablecoin e a qualsiasi ulteriore prova di sistemi di firma compromessi. Anche il saldo di 175 milioni di USDT che, secondo quanto riferito, resta su un indirizzo inserito nella blacklist potrebbe mantenere alta l’attenzione sulle prospettive di recupero. Tuttavia, un blocco non equivale alla restituzione dei fondi e il rapporto stesso non offre nuove conferme di recupero. L’articolo fornisce quindi prove dirette limitate di un’immediata oscillazione generalizzata del mercato; qualsiasi reazione dei prezzi è più probabilmente legata al sentiment e concentrata sui rischi degli exchange e delle stablecoin.
Nel lungo termine, i risultati potrebbero rafforzare l’attenzione sull’infrastruttura dei wallet, sui controlli di autorizzazione, sulla sicurezza degli endpoint e sui servizi di terze parti, non soltanto sulla custodia delle chiavi private. Attacchi simili agli exchange hanno spesso innescato una volatilità di breve durata e un aumento dei prelievi, mentre gli effetti persistenti sul mercato sono dipesi dalla credibilità con cui sono stati affrontati i fondi dei clienti, la solvibilità dell’exchange e le misure correttive. Poiché questo rapporto non conferma un problema di solvibilità più ampio e non chiarisce né l’attribuzione né il recupero, la classificazione più appropriata per il mercato è neutrale.