バイナンスハック：EIP-7702の脆弱性を悪用し25億ドルを盗まれる
人工知能が作成しました. 英語からの自動翻訳です.
最近、バイナンスで発生したハックはEIP-7702の脆弱性を利用し、ホットウォレットから約25億ドルが失われました。攻撃者は50件の承認を送信しましたが、そのうち1件のみが悪意のあるコードを実行することに成功し、ウォレットインフラのセキュリティに対する懸念が高まっています。
攻撃の概要
バイナンスへのハックは、2025年5月に導入されたEthereumのEIP-7702に関連する重大なセキュリティ脆弱性を浮き彫りにしました。このアップデートにより、標準的なウォレットがスマートコントラクトのように機能することが可能になりました。攻撃者はこの機能を悪用し、バイナンス14ホットウォレットから約25億ドルを引き出し、複数のブロックチェーン全体で推定63億ドルの損失の一部となりました。
技術的な内訳
EIP-7702以前、Ethereumは外部所有アカウント（EOA）とコントラクトアカウントの明確な区別を維持していました。EIP-7702はこれらの境界を曖昧にし、EOAが自らの代わりに取引を実行するためにコントラクトを承認できるようにしました。これにより、悪意のあるコントラクトが承認されると、プライベートキーを直接盗むことなく、アカウント全体が危険にさらされる可能性があります。
攻撃者はバイナンス14ウォレットのために50件の承認に署名しましたが、そのうち1件のみが現在のノンスと一致し、悪意のあるコードが成功裏に実行されました。これにより、167,464 ETHと16億ドルのUSDTを含む重要な資産が、承認後すぐに移転されました。
セキュリティの影響と対応
バイナンスとセキュリティ企業Blockaidは、この侵害が不正な引き出し取引を送信できる内部サービスの侵害に起因していることを示しました。プライベートキーの直接的な盗難ではありません。バイナンスは、盗まれた資産の約30億ドルを凍結したと述べ、TRM Labsは総損失を63.6億ドルと見積もっています。
今後このようなリスクを軽減するためには、取引所が取引タイプに対する厳格な管理を実施し、コントラクトのホワイトリスト化や実行前の取引シミュレーションなどの保護措置を利用することが重要です。バイナンスは、調査が完了次第、事件の詳細なポストモーテムを約束し、他の取引所にも同様の悪用を防ぐために設定を再評価するよう促しています。