הוסקינסון מזהיר מפני הסיכונים של Binance Sweeper ושל EIP-7702

מייסד קרדאנו, צ'ארלס הוסקינסון, הזהיר מפני “קוד מסוכן במיוחד” לאחר ששיתף ניתוח שלפיו תוקף השתמש בתכונת ההאצלה EIP-7702 של את'ריום כדי לתקוף ארנק חם של Binance. הניתוח, שפורסם על ידי CyberSatoshi, מתאר sweeper מותאם אישית שלפי הנטען עיבד טוקנים ויכול היה לקרוא לכספת חיצונית שהחזיקה USDC בשווי 823 מיליון דולר. הטענות האלה לא אומתו באופן עצמאי. CyberSatoshi מסרה כי הפעולה הנטענת השתמשה ב-50 הרשאות שנחתמו מראש כדי להתמודד עם ה-nonce המשתנה של עסקאות הארנק. היא גם הודתה שהתוקף היה זקוק למפתח הפרטי של הארנק או לגישה בלתי מוגבלת למערכות החתימה של Binance. EIP-7702 דורש חתימה תקפה כדי להאציל את ביצוע הפעולות בחשבון; המפרט מזהיר שקוד שהוענקה לו האצלה עשוי לקבל גישה בלתי מוגבלת לחשבון. הוסקינסון לא הצביע על פגם מסוים בפרוטוקול ולא הסביר אילו חלקים מהניתוח הוא תומך בהם. לכן, הדוח מעלה שאלות בנוגע לאבטחת ארנקים ולבקרות חתימה, אך אינו קובע כיצד הושגו פרטי הגישה ואינו מאשר את מלוא ההשפעה של המתקפה הנטענת.
Neutral
אות השוק המיידי ניטרלי, משום שהכתבה מדווחת על טענות ועל ניתוח טכני, ולא על ניצול מאומת עם נתון הפסד שאומת. היא אינה קובעת של-EIP-7702 עצמו יש פגם בפרוטוקול: המפרט מחייב הרשאה חתומה ומזהיר שקוד שהוענקה לו סמכות עשוי לקבל גישה רחבה לחשבון. השאלה המרכזית שטרם הוכרעה היא אם פרטי הגישה לארנק או הרשאות החתימה נחשפו או נפגעו. בטווח הקצר, סוחרים עשויים לעקוב אחר תגובת Binance, עדכונים על משיכות או רזרבות, וכל אישור לגבי כספים שנפגעו. אם יאומת הפסד משמעותי, החדשות עלולות לעורר הימנעות זמנית מסיכון, להפעיל לחץ על נכסים הקשורים לבורסות ולהגביר את התנודתיות בשווקי ETH וסטייבלקוינים. בהלה דומה סביב אבטחת בורסות גרמה לא פעם לתגובות חדות אך אולי זמניות; האמון והיקף ההפסדים המאומת יקבעו אם הלחץ יימשך. בטווח הארוך, חולשות מאומתות בניהול מפתחות או באמצעי ההגנה על קוד שהואצלה לו סמכות עלולות להגביר את הביקורת על שמירת נכסים בבורסות, על מימושי EIP-7702 ועל בקרות הרשאה. הדבר עשוי להעלות את עלויות האבטחה ולפגוע בסנטימנט, אך אמצעי הגנה ברורים יותר או ראיות לכך שהאירוע הוגבל לגישה שנפגעה לצורכי חתימה עשויים לצמצם את השפעות השוק הרחבות יותר. עד לאימות העובדות, על הסוחרים להבחין בין המתקפה הנטענת לבין פגיעות מוכחת בפרוטוקול Ethereum.