Hoskinson cảnh báo về Binance Sweeper và các rủi ro của EIP-7702
Nhà sáng lập Cardano Charles Hoskinson cảnh báo về “mã nguy hiểm nghiêm trọng” sau khi chia sẻ một phân tích cáo buộc rằng kẻ tấn công đã dùng tính năng ủy quyền EIP-7702 của Ethereum để nhắm vào một ví nóng của Binance. Bản phân tích do CyberSatoshi công bố mô tả một công cụ rút tiền được thiết kế riêng, được cho là đã xử lý token và có thể gọi đến một kho lưu trữ bên ngoài đang nắm giữ 823 triệu USD USDC. Những cáo buộc này chưa được xác minh độc lập.
CyberSatoshi cho biết chiến dịch bị cáo buộc đã sử dụng 50 ủy quyền được ký trước để tính đến việc nonce giao dịch của ví thay đổi. Nguồn này cũng thừa nhận kẻ tấn công hẳn phải có khóa riêng của ví hoặc quyền truy cập không hạn chế vào các hệ thống ký của Binance. EIP-7702 yêu cầu chữ ký hợp lệ để ủy quyền thực thi tài khoản; tài liệu đặc tả cảnh báo rằng mã được ủy quyền có thể có quyền truy cập không hạn chế vào tài khoản.
Hoskinson không nêu ra lỗ hổng cụ thể nào của giao thức, cũng không giải thích ông đồng tình với những phần nào trong phân tích. Vì vậy, báo cáo đặt ra câu hỏi về bảo mật ví và các biện pháp kiểm soát chữ ký, nhưng không xác định được thông tin xác thực đã bị lấy bằng cách nào, cũng không xác nhận toàn bộ tác động của vụ tấn công bị cáo buộc.
Neutral
Tín hiệu thị trường trước mắt là trung tính vì bài viết đưa tin về các cáo buộc và phân tích kỹ thuật, chứ không phải một vụ khai thác đã được xác nhận với con số thiệt hại được kiểm chứng. Bài viết không chứng minh rằng bản thân EIP-7702 có lỗi giao thức: đặc tả yêu cầu phải có ủy quyền được ký và cảnh báo rằng mã được ủy quyền có thể giành quyền truy cập rộng vào tài khoản. Vấn đề then chốt chưa được làm rõ là liệu thông tin xác thực của ví hoặc quyền ký có bị xâm phạm hay không.
Trong ngắn hạn, các nhà giao dịch có thể theo dõi phản hồi từ Binance, thông tin cập nhật về việc rút tiền hoặc dự trữ, cũng như mọi xác nhận về số tiền bị ảnh hưởng. Nếu xác nhận có tổn thất lớn, tin tức này có thể gây tâm lý ngại rủi ro trong thời gian ngắn, tạo áp lực lên các tài sản liên quan đến sàn giao dịch và làm tăng biến động trên thị trường ETH và stablecoin. Những sự cố an ninh đáng lo ngại tương tự ở các sàn giao dịch thường gây ra phản ứng mạnh nhưng có thể chỉ kéo dài tạm thời; niềm tin và quy mô tổn thất được xác nhận sẽ quyết định áp lực có tiếp diễn hay không.
Về dài hạn, nếu xác nhận có điểm yếu trong quản lý khóa hoặc biện pháp bảo vệ mã được ủy quyền, hoạt động giám sát đối với việc lưu ký tài sản của sàn, các triển khai EIP-7702 và cơ chế kiểm soát ủy quyền có thể gia tăng. Điều này có thể làm tăng chi phí bảo mật và ảnh hưởng tiêu cực đến tâm lý thị trường, nhưng các biện pháp bảo vệ rõ ràng hơn hoặc bằng chứng cho thấy sự cố chỉ giới hạn ở việc quyền truy cập ký bị xâm phạm có thể hạn chế tác động rộng hơn. Cho đến khi sự việc được xác minh, các nhà giao dịch nên phân biệt vụ tấn công bị cáo buộc với lỗ hổng đã được chứng minh của giao thức Ethereum.