Высказывается версия, что при взломе Binance была атакована система подписей, используемая в процессе одобрения транзакций, а не осуществлена непосредственная кража приватных ключей.
Генеральный директор компании по безопасности блокчейна Blockaid Идо Бен-Натан заявил, что злоумышленник мог не получать приватные ключи Binance напрямую, а манипулировать системой, использующей эти ключи, чтобы она создавала действительные подписи для вредоносных транзакций.
Злоумышленник включил в одну транзакцию 50 запросов на авторизацию EIP-7702. Как установлено, один из них был корректно обработан, поскольку совпал с nonce кошелька Binance на тот момент. EIP-7702 позволяет обычному кошельку Ethereum с помощью подписи передавать конкретной программе право выполнять транзакции. При злоупотреблении авторизационными подписями можно перемещать активы кошелька, не извлекая приватный ключ напрямую.
Бен-Натан отметил, что этот метод был похож на атаку при взломе Bybit в 2025 году, когда пользователей побуждали подписать вредоносную транзакцию через экран, выглядевший как обычная транзакция. По его словам, он также напоминает методы, которыми пользовались хакерские группировки, связанные с Северной Кореей. Однако конкретный путь проникновения и возможная причастность Северной Кореи пока не подтверждены.