Muncul dugaan bahwa peretasan Binance mungkin merupakan serangan yang mengeksploitasi sistem penandatanganan yang digunakan dalam proses persetujuan transaksi, bukan mencuri kunci privat secara langsung.
Ido Ben-Natan, CEO perusahaan keamanan blockchain Blockaid, menganalisis bahwa penyerang mungkin tidak memperoleh kunci privat Binance secara langsung, melainkan memanipulasi sistem yang menggunakan kunci tersebut agar menghasilkan tanda tangan yang valid untuk transaksi berbahaya.
Penyerang memasukkan 50 permintaan otorisasi EIP-7702 dalam satu transaksi. Dari jumlah itu, satu permintaan diproses secara valid karena sesuai dengan nonce dompet Binance pada saat itu. EIP-7702 memungkinkan dompet Ethereum biasa mendelegasikan kewenangan untuk mengeksekusi transaksi kepada program tertentu melalui tanda tangan. Jika tanda tangan otorisasi dieksploitasi, aset dompet dapat dipindahkan tanpa mengambil kunci privat secara langsung.
Ben-Natan mengatakan metode tersebut serupa dengan serangan dalam peretasan Bybit pada 2025, ketika korban diarahkan untuk menandatangani transaksi berbahaya melalui tampilan yang terlihat seperti transaksi normal. Ia menambahkan bahwa metode itu juga menyerupai teknik yang pernah digunakan kelompok peretas yang terkait dengan Korea Utara. Namun, jalur intrusi spesifik dan apakah Korea Utara terlibat masih belum dikonfirmasi.