После взлома Binance в конце 2024 года разгорелась дискуссия о роли EIP-7702 — свежего обновления Ethereum, которое расширило возможности работы со смарт-контрактами. Первые подозрения падали именно на этот апгрейд, как на критическую уязвимость, через которую атакующие получили доступ. Однако специалисты по безопасности теперь уточняют картину: EIP-7702 не был основной причиной компрометации, но сыграл вспомогательную роль.
Суть вывода экспертов проста: доступ к кошелькам Binance мог быть получен и раньше, через классические векторы атак — фишинг, социальная инженерия, компрометация ключей. Но когда деньги уже были в руках атакующих, EIP-7702 оказался удобным инструментом для обхода дополнительных защит, которые обычно срабатывают при крупных выводах со странных адресов. Проще говоря: уязвимость не вскрыла замок, но помогла пролезть мимо охраны после того, как замок был открыт.
EIP-7702 (Account Abstraction Extension) был введён в сентябре 2024 года и позволяет обычным адресам (EOA, Externally Owned Accounts) временно действовать как смарт-контракты. Это полезно для пользовательского опыта и автоматизации операций, но при определённых условиях может быть использовано для маскировки транзакций и обхода стандартных проверок безопасности. Для большинства пользователей это никогда не будет проблемой, но для целевых атак на крупные холодные кошельки — вот где приходится.Binance использует многоуровневую защиту: от тепловых и холодных хранилищ до white-list адресов для вывода и многоподписей. Если атакующему удаётся получить контроль над ключами или найти скрытый вектор доступа, EIP-7702 становится дополнительным инструментом для обхода финальных срабатываний.
Для самих разработчиков Ethereum это не повод переделывать апгрейд — EIP-7702 задуман правильно и работает по назначению. Проблема не в технологии, а в том, как она может быть использована при наличии уже скомпрометированного доступа. Это похоже на ситуацию с Web3 кошельками в целом: если ключи украдены, никакая технология не спасёт.
Для бизнеса в России, работающего с криптовалютой, вывод очевиден: внимание должно быть не к конкретному обновлению Ethereum, а к базовой гигиене безопасности — защита приватных ключей, разделение доступов, многоуровневые проверки перед крупными операциями. Если платёжная система использует Ethereum или другой блокчейн (например, через Signum/SIGNA для смарт-контрактов), риск от самого протокола минимален; риск в организационных процессах.
Инцидент хорошо иллюстрирует разницу между «уязвимостью протокола» и «уязвимостью применения». EIP-7702 уязвимостью не является, но может быть использован в цепочке атак, если всё остальное уже скомпрометировано. Хайп вокруг новых обновлений Ethereum часто опережает реальную угрозу — это нормально для рынка, но не должно отвлекать от прозаических мер безопасности.
Алексей Мартыненко
Главный редактор SPV News
История типична для крипто-инцидентов: сначала все кричат про новую уязвимость в самом протоколе, потом выясняется, что это был классический вектор компрометации, а новая технология просто облегчила реализацию уже полученного доступа. Это не снимает ответственность с разработчиков улучшать безопасность, но показывает, что огромная часть проблем решается банальной защитой ключей и процессов, а не ревью исходников Ethereum.