Se ha planteado la posibilidad de que el hackeo de Binance fuera un ataque que explotó el sistema de firma utilizado en el proceso de aprobación de transacciones, en lugar de robar directamente las claves privadas.
Ido Ben-Natan, CEO de la empresa de seguridad blockchain Blockaid, analizó que el atacante pudo haber manipulado el sistema que utiliza las claves privadas de Binance para que generara firmas válidas para transacciones maliciosas, en vez de obtener directamente las claves privadas del exchange.
El atacante incluyó 50 solicitudes de autorización EIP-7702 en una sola transacción. De ellas, una se procesó correctamente porque coincidía con el nonce que tenía la billetera de Binance en ese momento. EIP-7702 permite que una billetera común de Ethereum delegue, mediante una firma, la autoridad para ejecutar transacciones a un programa específico. Si se explotan las firmas de autorización, es posible mover los activos de una billetera sin extraer directamente la clave privada.
Ben-Natan señaló que este método era similar al utilizado en el hackeo de Bybit de 2025, en el que se indujo a las víctimas a firmar una transacción maliciosa mediante una pantalla que parecía mostrar una transacción normal. Añadió que también se parecía a técnicas utilizadas por grupos de hackers vinculados a Corea del Norte. Sin embargo, la vía concreta de intrusión y la posible participación de Corea del Norte aún no han sido confirmadas.