29 октября 2026 года аналитические системы мониторинга блокчейна зафиксировали аномальный отток цифровых активов из инфраструктуры горячих кошельков криптовалютной биржи Binance. За считанные часы суммарный объем подозрительных транзакций в сетях стандарта EVM вырос с первоначальных 2,1 млрд долларов до более чем 5,7 млрд долларов США. В ответ торговая площадка временно приостановила обработку заявок на вывод средств, а эмитенты стейблкоинов предприняли скоординированные экстренные контрмеры.

Компания Tether заблокировала более 1,5 млрд USDT, а Circle внесла в черные списки смарт-контрактов около 800 млн USDC на адресах получателей, изолировав свыше 2,5 млрд долларов незаконно выведенных средств. Бывший руководитель Binance Чанпэн Чжао (CZ) публично прокомментировал инцидент, отметив, что происходящее действительно указывает на компрометацию автоматизированных систем вывода средств биржи.

Аналитики по кибербезопасности связывают ключевой вектор инцидента со стандартом EIP-7702, внедренным в рамках хардфорка Ethereum Pectra.

[Скомпрометированный узел подписания биржи]
                     │
                     ▼ (1) Отправка транзакции типа Type-4 EIP-7702
[Горячий кошелек Binance (EOA)]
  Адрес: 0x28C6...3048
  Баланс: Многомиллиардная ликвидность в токенах
                     │
                     ▼ (2) Динамическое делегирование кода смарт-контракту
[Вредоносный контракт-прокси]
  Байткод: Пакетный вывод активов и манипуляция разрешениями ERC-20
                     │
                     ▼ (3) Массовый отток средств по сетям EVM
[Адреса злоумышленников] ───> [Экстренная заморозка Tether / Circle]

Технический анализ спецификации EIP-7702

Чтобы разобраться, как автоматизированный кошелек крупного кастодиана мог быть опустошен без прямой утечки закрытых ключей холодного хранения, необходимо проанализировать архитектуру стандарта EIP-7702.

Предложенный Виталиком Бутериным, Сэмом Уилсоном, Ансгаром Дитрихсом и Мэттом Гарнеттом стандарт EIP-7702 был разработан для развития абстракции учетных записей (Account Abstraction, ERC-4337). Его цель — предоставить обычным учетным записям внешнего владения (EOA) функционал смарт-контрактов без принудительной миграции на сложные контрактные кошельки.

В рамках EIP-7702 был введен новый тип транзакции SET_CODE_TX_TYPE (код 0x04). Стандартный адрес EOA подписывает авторизационный пакет, указывающий целевой смарт-контракт. Когда транзакция включается в блок, виртуальная машина Ethereum (EVM) временно устанавливает указатель исполняемого байткода EOA на код выбранного контракта:

$$ ext{EOA}{ ext{code}} \leftarrow ext{Contract}{ ext{implementation}}$$

Такое делегирование наделяет EOA возможностями программируемого смарт-контракта:

  1. Пакетные операции (Batching): Выполнение десятков утверждений лимитов и переводов в рамках единого атомарного вызова.
  2. Спонсирование газа (Paymasters): Оплата комиссий сети сторонними доверенными сервисами.
  3. Программные политики проверки: Реализация произвольных правил верификации транзакций.

Однако данная гибкость несет в себе принципиально новую поверхность атаки. В классической архитектуре EVM учетная запись EOA не способна выполнить непредвиденный внутренний перевод без отдельной криптографической подписи под каждой операцией. В рамках EIP-7702 при компрометации очереди подписания одна-единственная подпись под пакетом делегирования передает полное управление логикой кошелька внешнему исполняемому контракту.

Механика атаки: эксплуатация очередей подписания горячего кошелька

Централизованные криптовалютные платформы распределяют средства клиентов по трехуровневой схеме:

  • Холодное хранилище (Cold Storage): Автономные аппаратные модули HSM и мультиподписные схемы (например, кворум 4 из 7), где хранится 90–95% активов.
  • Промежуточные кошельки (Warm Wallets): Узлы агрегации и балансировки внутренней ликвидности.
  • Горячие кошельки (Hot Wallets): Подключенные к сети сервисы, непрерывно обрабатывающие пользовательские заявки на вывод.

В силу колоссальной интенсивности операций обработка заявок опирается на автоматизированные сервисы, извлекающие транзакции из внутренних очередей сообщений (Redis или Apache Kafka), подписывающие их через локальные защищенные модули ключей и отправляющие через шлюзы RPC.

+-------------------------------------------------------------------------+
|                  ЦЕПОЧКА ДЕЛЕГИРОВАНИЯ ГОРЯЧЕГО КОШЕЛЬКА                |
+-------------------------------------------------------------------------+
| [Внутренняя очередь / RPC] -> [Автоматический модуль подписи]           |
|                                            │                            |
|                                            ▼                            |
|                               Подпись пакета EIP-7702                   |
|                               Цель: 0x9a8F... (Контракт атакующего)     |
+-------------------------------------------------------------------------+
                                             │
                                             ▼
+-------------------------------------------------------------------------+
|                      ИСПОЛНЕНИЕ В БЛОКЧЕЙНЕ EVM                         |
+-------------------------------------------------------------------------+
| 1. EVM назначает байткод 0x9a8F горячему кошельку EOA Binance           |
| 2. Контракт перебирает утвержденные балансы токенов стандарта ERC-20    |
| 3. Пакетные transferFrom() опустошают пулы USDT, USDC, WETH             |
| 4. Миллиарды долларов направляются на мультисиг-адреса злоумышленников  |
+-------------------------------------------------------------------------+

Данные ончейн-анализа указывают на то, что злоумышленники внедрили сформированные транзакционные пакеты в очередь автоматической обработки. В результате сервис подписи сгенерировал валидную цифровую подпись алгоритма secp256k1 для пакета авторизации EIP-7702.

После вступления в силу делегирования горячий адрес EOA немедленно исполнил пакетные инструкции контракта атакующего, инициировав вывод доступных ликвидных резервов ERC-20 в сетях Ethereum, Arbitrum и BNB Smart Chain.

Параметр инцидента Зафиксированные ончейн-данные Значение для безопасности
Время фиксации 29.10.2026 18:42 UTC Первый аномальный всплеск объема вывода
Целевой компонент Горячие кошельки EVM (EOA) Уровень автоматического вывода средств
Предполагаемый вектор Делегирование кода EIP-7702 Перехват контроля логики абстракции аккаунта
Объем оттока От 2,1 до 5,7 млрд долларов Крупнейший суточный отток в истории платформ
Замороженные активы ~1,5 млрд USDT + ~800 млн USDC Блокировка на уровне функций смарт-контрактов
Текущий статус Проводится аудит инцидента Часть оставшихся средств конвертирована в ETH/BTC

Централизованная защита стейблкоинов: заморозка $2,5 млрд

Быстрое сдерживание последствий взлома продемонстрировало фундаментальную особенность архитектуры централизованных фиатных токенов: административный контроль над перемещением активов.

В отличие от базовых монет вроде Bitcoin, токены Tether (USDT) и Circle (USDC) содержат служебные функции управления внутри смарт-контрактов стандарта ERC-20:

  • Функции freeze() и blacklist(): Модифицируют внутреннюю таблицу соответствий, запрещая скомпрометированным адресам любые переводы, подтверждения или вывод активов.
// Упрощенная логика черных списков в смарт-контрактах стейблкоинов
mapping(address => bool) internal _isBlacklisted;

function transfer(address to, uint256 amount) public returns (bool) {
    require(!_isBlacklisted[msg.sender], "Эмитент: адрес отправителя заблокирован");
    require(!_isBlacklisted[to], "Эмитент: адрес получателя заблокирован");
    _transfer(msg.sender, to, amount);
    return true;
}

В течение 90 минут после появления первых публичных алертов аналитики Tether и Circle применили экстренные вызовы мультиподписи для блокировки ключевых адресов получателей. Это сохранило активы стоимостью свыше 2,5 млрд долларов США, не позволив распределить их по пулам ликвидности децентрализованных бирж (DEX).

Уроки безопасности для биржевой инфраструктуры и пользователей

Инцидент октября 2026 года ставит ряд фундаментальных задач перед разработчиками инфраструктуры блокчейна:

1. Строгий аудит разрешений EIP-7702

Организациям, эксплуатирующим автоматические сервисы подписи для кошельков EOA, требуется ввести жесткие ограничения в логику аппаратных модулей HSM:

  • Запретить подписание транзакций типа SET_CODE_TX_TYPE (0x04) для автоматизированных кошельков, либо
  • Внедрить неизменяемый белый список хэшей байткода доверенных смарт-контрактов.

2. Сетевая изоляция узлов RPC и сервисов подписи

Сервисы формирования и подписания транзакций не должны взаимодействовать с узлами блокчейна через открытые или недоверенные сегменты сети. Внедрение узла MitM в облачную инфраструктуру позволяет искажать параметры транзакций до момента их передачи в анклав ключей.

Архитектура VPNRice решает эту проблему за счет инкапсуляции сетевых вызовов RPC в защищенные туннели 3-го уровня. Протокол RiceGuard:

  • Защищает весь внутренний трафик между модулями очередей, анклавами ключей и валидаторами шифрованием ChaCha20-Poly1305.
  • Исключает возможность перехвата пакетов и подмены ответов узлов RPC на сетевом уровне.

3. Принцип осознанного подписания (Clear-Signing) для пользователей

Индивидуальные участники Web3-экосистемы сталкиваются со схожими рисками по мере распространения EIP-7702:

  • Не подтверждайте запросы на делегирование прав учетной записи в незнакомых интерфейсах.
  • Используйте аппаратные кошельки с поддержкой Clear-Signing, отображающие реальный адрес делегируемого контракта.
  • Храните долгосрочные накопления на холодных адресах, изолированных от вызовов смарт-контрактов.

Криптографическая индустрия продолжает искать баланс между удобством абстракции аккаунтов и надежностью хранения активов. Публикация итоговых отчетов расследования Binance станет отправной точкой для пересмотра стандартов институциональной безопасности на годы вперед.