EIP-7702, Binance'in 6,3 milyar dolarlık hack olayının ana nedeni değil; asıl mesele imzayı nasıl ele geçirdikleri.

Pekin saatiyle 30 Ekim 2026, 04:24.

Zincir üstü kayıtlarda para 0x28C6…1d60 adresinden çıktı. Bu adres Binance 14 olarak adlandırılıyor; Binance'in en büyük Ethereum sıcak cüzdanlarından biri ve günde binlerce çekim işlemi gönderiyor. Bu işlemde 167.464 ETH, 1,615 milyar USDT ve 60'tan fazla token, o günkü fiyatlarla yaklaşık 2,5 milyar dolar değerinde transfer edildi. Cüzdanda son olarak 1 ETH kaldı.

İşlem ücreti 0,0004 ETH, yani 1 dolardan az.

Üç dakika önce, 04:21'de, biri ona bir EIP-7702 türü işlem gönderdi; içinde 50 yetkilendirme vardı ve nonce 18.914.775'ten 18.914.824'e kadar sıralanıyordu. 49'u geçersizdi, 1'i isabet etti. İsabet etmesi şu anlama geliyor: o saniyeden itibaren Binance 14'e yapılan her çağrı, saldırganın önceki gece 23:59'da konuşlandırdığı sözleşmeyi çalıştırıyor — doğrulanmamış, yalnızca bir sweep fonksiyonu olan bir süpürücü.

Böylece Binance 14 artık bir cüzdan değil. İçinde başkasının programı olan bir kabuk haline geldi.

08:06'da bu delegasyon hâlâ duruyordu. 3 saat 45 dakika boyunca kimse onu iptal etmedi.

Oysa "iptal" işlemi, aynı anahtarla bir kez daha imza atmaktan ibaretti. O sabah 06:55'te Binance hâlâ bu anahtarı kullanarak süpürülmemiş küçük token'ları kendi cüzdanına geri aktarıyordu.

EIP-7702 saldırının ana nedeni mi

EIP-7702'nin mantığı şöyle: sıradan bir adresin (EOA) bir akıllı sözleşmenin kodunu kiralayabilmesini sağlar; adres, bakiye ve özel anahtar tamamen aynı kalır. Kiralama yöntemi, bu adresin code alanına 23 bayt yazmaktır — 0xef0100 artı sözleşme adresi. Bu 23 bayt çalıştırılabilir kod değil, bir işaretçidir. Bundan sonra bu adresi kim çağırırsa, EVM işaretçinin gösterdiği kodu yükler ve bu adresin kendi bağlamında çalıştırır: address(this) yine kendisidir, bakiye yine onun bakiyesidir.

Bir hatası yok. ZeroDev kurucusu ve EIP-7702 katılımcısı Derek Chiang olay günü bunu açıkça söyledi: EIP-7702'nin kendisinde bir güvenlik açığı yok ve bu standardı destekleyen cüzdan kullanıcılarının panik yapmasına gerek yok. Ayrıca şunu ekledi: saldırganın 7702'yi kullanabilmesi için ya özel anahtarı kontrol etmesi ya da Binance'e bir 7702 yetkilendirmesi imzalatması gerekir.

Daha önce de ilk kez saldırı aracı olarak kullanılmıyordu. Ethereum Pectra yükseltmesinin ardından Wintermute, birkaç hafta içinde ana ağdaki 7702 delegasyonlarının %97'sinden fazlasının neredeyse aynı "token süpürücü" sözleşmesine işaret ettiğini tespit etti; bir araştırma yaklaşık 3,66 milyon yetkilendirme işlemini istatistiklere dahil etti ve bunların yaklaşık %63'ünün kötü niyetli sözleşmelerle ilişkili olduğunu, doğrulanan kaybın 2,3 milyon dolar olduğunu gösterdi; Blockaid, 2026'nın ilk yarısında dört 7702 olayını doğruladı, toplamda yaklaşık 1,08 milyon dolar ve yıl içinde ilk yedi haneli vakanın ortaya çıkacağını öngördü.

Sonuç on haneli rakamlarla geldi, tahminlerinden üç kat daha yüksek.

Bu da birçok kişinin Binance'in bu 5,6 milyar dolarlık, insanlık tarihinin en büyük hack saldırısının nedenini EIP-7702'ye bağlamasına yol açıyor. Ama gerçekten sorun 7702 mi?

İmzalar nasıl elde edildi

Devam etmeden önce bir şeyi netleştirmek gerekiyor: 50 yetkilendirme, 50 imza demek, peki bu 50 imza tam olarak nasıl oluşturuldu?

Eğer saldırgan tam özel anahtarı ele geçirdiyse, neden 50 nonce'u körlemesine hedeflesin? Eğer anahtar hep Binance'in elindeyse, 12 dakika içinde 11 cüzdan neden aynı anda düştü? Bunun henüz bir açıklaması yok.

Ana süpürmeden 24 saniye sonra Binance 16, 28.005,6 ETH, 55,70 milyon USDT, 25,90 milyon RLUSD, 84,5 WBTC'yi aynı alıcı adresine transfer etti.

12 dakika içinde diğer 10 Binance sıcak cüzdanı dört zincirde aynı şeyi yaptı: Optimism'deki Binance 55, 44,20 milyon OP transfer etti; Arbitrum'daki dört cüzdan 74,60 milyon ARB ve 8.426 ETH transfer etti; Avalanche'daki dört cüzdan 1,81 milyon AVAX ve 8,41 milyon USDT transfer etti.

Bu cüzdanların hiçbirinde kod yoktu, her işlem sıradan bir transferdi, cüzdanın kendi özel anahtarıyla imzalanmıştı ve günlük para çekme işlemlerinin arasına sıkıştırılmıştı.

Özel anahtarı elinde tutan birinin nonce'u körlemesine hedeflemesine gerek yok. eth_getTransactionCount'a bakmak, bir saniyelik iş.

50 adet oluşturup ardışık 50 nonce'u kapsayan birini gerektiren kişi, başka bir tür insandır: imzayı alabilen ama bu cüzdanın gerçek zamanlı durumunu alamayan; ya da yalnızca önceden hazırlanmış bir yetkilendirme grubunu tek seferde gönderip sistemin denemesini sağlayan.

Daha da dikkat çekici olan, bu 50 yetkinin tek bir işlemde bir seferde onaylanmış olmasıdır.

Güvenlik şirketi Blockaid'in bu konudaki değerlendirmesi, özel anahtarın doğrudan çıkarılması değil, "anahtarın kötüye kullanılması" yönündedir. Yuga Labs blok zinciri başkan yardımcısı Quit de bu görüşe yakındır: saldırganın eline geçen şey "yetkilendirilmiş imza"dır, özel anahtar değil; imzanın kaynağını gizlemek için röle aracılığıyla gönderim yapılmış olması muhtemeldir.

Shenyu sabahki değerlendirmesinde bir ayrıntıya değindi: 06:55'e kadar Binance hâlâ aynı özel anahtarla imza atıyor ve süpürülmemiş parça token'ları kendi cüzdanına geri gönderiyordu.

Bu, anahtarın o sabah hâlâ Binance'in kontrolünde olduğunu gösteriyor.

Az önce 10:26'da Binance ilk açıklamasını yaptı: bir DevOps mühendisinin dizüstü bilgisayarı ele geçirilmiş olabilir; saldırgan bu sayede servis konteynerine erişerek yetkisiz para çekme işlemleri göndermiş; şu ana kadar cüzdan özel anahtarının sızdığına dair bir kanıt bulunamamıştır.

Kaybedilen o saniye zincir üzerinde değil

Yani odak noktası EIP-7702 değil, imzadan önceki aşamadır.

Sıcak cüzdanlar günde binlerce işlem imzalar, bu yüzden otomasyon zorunludur; güvenli olması gerektiği için HSM, MPC, çoklu imza ve onay akışları gerekir. Böylece tüm güvenlik modeli tek bir cümleye sıkışır: Bu süreç, imzadan önce "bu işlem imzalanmamalı" kararını verebiliyor mu?

Sorun şu ki, değerlendirme kriterlerinin çoğu yalnızca iki sütundan oluşur: tutar ve adres.

7702 yetkilendirmesinde bu iki sütun da yok. Tutarı yok. Değiştirdiği şey "ne kadar transfer edileceği" değil, "bu adresin ne olduğu"dur.

Binance önlem almıyor değildi.

Olaydan üç gün önce, yani 27 Ekim'de, kayda değer bir açıklama yapmıştı: Geçtiğimiz hafta güvenlik ekibi Kuzey Kore bağlantılı çok sayıda saldırıyı engelledi. Yöntemin adı Contagious Interview: Karşı taraf işe alım uzmanı kılığına girerek mülakat, kod testi, "önce bir geliştirici aracı kur" gibi bahanelerle kişileri kötü amaçlı yazılım çalıştırmaya kandırıyor; yazılım bir kez çalıştığında anahtarlar, iç ağ ve sonraki fon transferleri için tüm giriş noktaları açılmış oluyor.

Ancak "bu işlem imzalanmalı mı" sorusuna karşı bir önlem alınamadı.

BlockBeats Resmi Topluluğuna Katılın:

Telegram Abonelik Grubu: https://t.me/theblockbeats

Telegram Sohbet Grubu: https://t.me/BlockBeats_App

Twitter Resmi Hesabı: https://twitter.com/BlockBeatsAsia