Nagbabala si Hoskinson tungkol sa mga panganib ng Binance Sweeper at EIP-7702
Nagbabala si Charles Hoskinson, tagapagtatag ng Cardano, tungkol sa “lubhang mapanganib na code” matapos niyang ibahagi ang isang pagsusuring nagsasabing gumamit ang isang umaatake ng delegation feature na EIP-7702 ng Ethereum upang puntiryahin ang isang hot wallet ng Binance. Inilalarawan sa pagsusuring inilathala ng CyberSatoshi ang isang pasadyang sweeper na umano’y nagproseso ng mga token at maaaring tumawag sa isang panlabas na vault na may hawak na $823 milyon na USDC. Hindi pa nakukumpirma nang hiwalay ang mga pahayag na ito.
Ayon sa CyberSatoshi, gumamit ang hinihinalang operasyon ng 50 paunang nilagdaang awtorisasyon upang matugunan ang pabago-bagong transaction nonce ng wallet. Inamin din nito na kinailangan ng umaatake ang pribadong susi ng wallet o walang limitasyong access sa mga sistema ng paglagda ng Binance. Nangangailangan ang EIP-7702 ng wastong lagda upang maidelega ang execution ng account; nagbabala ang espesipikasyon nito na maaaring magkaroon ng walang limitasyong access sa account ang idinelegang code.
Hindi tinukoy ni Hoskinson ang anumang partikular na depekto sa protocol o ipinaliwanag kung aling mga bahagi ng pagsusuri ang sinang-ayunan niya. Kaya nagbubukas ng mga tanong ang ulat tungkol sa seguridad ng wallet at mga kontrol sa paglagda, ngunit hindi nito itinatatag kung paano nakuha ang mga kredensyal o kinukumpirma ang buong epekto ng hinihinalang pag-atake.
Neutral
Neutral ang agarang senyales ng merkado dahil mga alegasyon at teknikal na pagsusuri ang iniulat ng artikulo, hindi isang kumpirmadong pagsasamantala na may beripikadong halaga ng pagkalugi. Hindi nito pinatutunayang may depekto mismo sa protocol ang EIP-7702: nangangailangan ang espesipikasyon ng pirmadong awtorisasyon at nagbababala na maaaring magkaroon ng malawak na access sa account ang idinelugang code. Ang pangunahing hindi pa nalulutas na tanong ay kung nakompromiso ang mga kredensyal ng wallet o mga pahintulot sa pagpirma.
Sa maikling panahon, maaaring subaybayan ng mga trader ang tugon ng Binance, mga update tungkol sa pag-withdraw o reserba, at anumang kumpirmasyon kung may pondong naapektuhan. Kung mapatunayang malaki ang pagkalugi, maaaring magdulot ang balita ng panandaliang pag-iwas sa panganib, magbigay ng presyon sa mga asset na may kaugnayan sa mga exchange, at magpalala ng pagbabago-bago sa mga merkado ng ETH at stablecoin. Madalas na nagdulot ng matitinding reaksiyong maaaring panandalian lamang ang mga katulad na pangamba sa seguridad ng exchange; ang tiwala at kumpirmadong laki ng pagkalugi ang magtatakda kung magtatagal ang presyon.
Sa mas mahabang panahon, maaaring magdulot ng mas masusing pagsusuri sa pag-iingat ng mga asset ng exchange, mga implementasyon ng EIP-7702, at mga kontrol sa awtorisasyon ang mga kumpirmadong kahinaan sa pamamahala ng susi o mga pananggalang para sa idinelugang code. Maaari nitong pataasin ang gastos sa seguridad at pahinain ang damdamin ng merkado, ngunit maaaring malimitahan ang mas malawak na epekto kung magkakaroon ng mas malinaw na mga pananggalang o mapatunayang limitado ang insidente sa nakompromisong access sa pagpirma. Hangga't hindi nakukumpirma ang mga katotohanan, dapat ihiwalay ng mga trader ang sinasabing pag-atake sa napatunayang kahinaan ng Ethereum protocol.