EIP-7702, Binance’ın 6,3 milyar dolarlık hırsızlığının ana nedeni değil; imzanın nasıl elde edildiği bu.

Pekin saatiyle 30 Ekim 2026, 04:24.

Zincirüstü kayıtlar, paranın 0x28C6…1d60 adresinden çıktığını gösteriyor. Bu adres, Binance’ın en büyük Ethereum sıcak cüzdanlarından biri olan 'Binance 14' olarak biliniyor ve günde binlerce çekim gerçekleştiriyor. Bu işlem, 167.464 ETH, 1,615 milyar dolar değerinde USDT ve 60’tan fazla tokeni — toplamda o anki değeriyle yaklaşık 2,5 milyar dolar — aktarmıştır. Cüzdanın geriye yalnızca 1 ETH kalmıştır.

İşlem ücreti (gas) 0,0004 ETH, yani 1 dolardan az.

Üç dakika önce, saat 04:21’de biri, bu adrese 50 yetkilendirme içeren bir EIP-7702 tipi işlem gönderdi; nonceler 18.914.775 ile 18.914.824 arasıydı. Bunlardan 49’u geçersiz, 1’i geçerliydi. Geçerli olmak: bu andan itibaren Binance 14’e yapılan her çağrı, saldırganın bir önceki gece 23:59’da dağıttığı, tek bir süpürme fonksiyonu bulunan doğrulanmamış bir süpürme sözleşmesini çalıştırır.

Dolayısıyla Binance 14 artık bir cüzdan değil. Başkasının programını barındıran bir kabuk haline geldi.

Saat 08:06’ya kadar bu yetkilendirme devam etti. 3 saat 45 dakika boyunca kimse iptal etmedi.

Bu yetkilendirmeyi iptal etmek için aynı anahtarla yalnızca bir kez daha imza atmak yeterlidir. O sabah saat 06:55’te Binance, henüz süpürülmemiş parçalanmış tokenleri kendi cüzdanına geri aktarmak için bu anahtarı kullanmaya devam ediyordu.

EIP-7702 saldırının ana nedeni mi?

EIP-7702 mantığı şudur: Normal bir adresi (EOA), adresi, bakiyesi ve özel anahtarı değişmeden bir akıllı sözleşme kodunu 'kiralayabilir' hale getirmek. Kiralama yöntemi, bu adresin kod alanına 23 bayt yazmaktır: 0xef0100 + sözleşme adresi. Bu 23 bayt çalıştırılabilir kod değil; bir işaretçi. Bundan sonra bu adrese yapılan her çağrıda EVM, işaretçi tarafından belirtilen kodu yükler ve bu adresin kendi bağlamında çalıştırır: address(this) hâlâ kendisidir, bakiye de hâlâ onunkidir.

Herhangi bir hatası yoktur. ZeroDev kurucusu ve EIP-7702 katılımcısı Derek Chiang, olay günü yaptığı açıklamada açıkça belirtti: EIP-7702’nin kendisinde bir güvenlik açığı yoktur; bu standardı destekleyen cüzdan kullanıcıları endişelenmeye gerek duymaz. Ayrıca şöyle ekledi: Saldırganın 7702’yi kullanabilmesi için ya özel anahtarı ele geçirmesi ya da Binance’ı bir 7702 yetkilendirme imzası vermeye ikna etmesi gerekir.

Bu, saldırı aracı olarak ilk kez kullanılan teknik değil. Ethereum’un Pectra yükseltmesinden sonra Wintermute, haftalar içinde ana ağdaki 7702 yetkilendirmelerinin %97’sinden fazlasının neredeyse aynı 'süpürme' sözleşmesine işaret ettiğini tespit etti; araştırmalara göre yaklaşık 3,66 milyon yetkilendirme işlemi gerçekleşmiş, bunların %63’ü kötü amaçlı sözleşmelerle ilişkiliydi ve doğrulanmış kayıplar 2,3 milyon dolardı; Blockaid, 2026’nın ilk yarısında dört adet 7702 saldırısı doğruladı ve toplam zarar yaklaşık 1,08 milyon dolar oldu; ayrıca yıl içinde ilk 7 haneli vak’anın yaşanacağını öngördü.

Sonuç, tahminlerinden üç basamak yukarıda, on haneli bir rakam oldu.

Bu durum, birçok kişinin insanlık tarihindeki en büyük hack olayı olan Binance’ın 5,6 milyar dolarlık hack’ini EIP-7702’e bağlamasına yol açtı. Ama gerçekten bir 7702 sorunu mu?

İmzalar Nasıl Elde Edildi?

Daha ileri gitmeden önce netleştirilmesi gereken bir şey var: 50 yetkilendirme, 50 imza demektir — peki bu 50 imza tam olarak nasıl üretildi?

Eğer saldırgan tam özel anahtarları ele geçirmiş olsaydı, neden 50 nonce’u kör bir şekilde denemeye gerek duyacaktı? Eğer anahtarlar her zaman Binance’ın elindeyse, neden 12 dakika içinde 11 cüzdan aynı anda çöküyordu? Hâlâ bir açıklama yok.

Ana taramadan 24 saniye sonra Binance 16, 28.005,6 ETH, 55,7 milyon ABD Doları değerinde USDT, 25,9 milyon ABD Doları değerinde RLUSD ve 84,5 WBTC’yi aynı alıcı adrese aktardı.

12 dakika içinde başka 10 Binance sıcak cüzdanı, dört blokzincir üzerinde aynı işlemi yaptı: Optimism üzerindeki Binance 55, 44,2 milyon ABD Doları değerinde OP aktardı; Arbitrum üzerindeki dört cüzdan 74,6 milyon ABD Doları değerinde ARB ve 8.426 ETH aktardı; Avalanche üzerindeki dört cüzdan 1,81 milyon AVAX ve 8,41 milyon ABD Doları değerinde USDT aktardı.

Bu cüzdanların hiçbiri herhangi bir kod içermiyordu. Tüm işlemler, cüzdanın kendi özel anahtarıyla imzalanmış sıradan aktarmalardı ve rutin çekimler arasında yer alıyordu.

Özel anahtarına sahip olan birinin nonce’ları körleştirmeden (blind-snipe) hedeflemesi gerekmez. eth_getTransactionCount sorgusu bir saniye sürer.

50 ardışık nonce için tek seferde 50 yetkilendirme oluşturan kişi ise farklı biridir: ya imzaları elde edebilir ama cüzdanın gerçek zamanlı durumuna erişemez; ya da yalnızca önceden hazırlanmış yetkilendirme paketini tek seferde gönderebilir ve sistemin bunları denemesini sağlayabilir.

Daha da dikkat çekici olan, bu 50 yetkilendirmenin tek bir işlemle aynı anda onaylanmasıdır.

Güvenlik firması Blockaid’in değerlendirmesine göre, anahtar «kötüye kullanılmış», doğrudan özel anahtarın ele geçirilmesi söz konusu değildir. Yuga Labs Blockchain Başkan Yardımcısı Quit da bu yorumu destekliyor: saldırganın elde ettiği «yetkili imzalar»dır, özel anahtar değil; imzaların kaynağını gizlemek amacıyla relayer kullanılması muhtemelen bu yüzden olmuştur.

Shenyu sabah özeti sırasında şu detayı belirtti: Saat 06:55’e kadar Binance, süpürülmemiş parça token’ları kendi cüzdanına geri aktarmak için hâlâ aynı özel anahtarı kullanmaya devam etti.

Bu durum, anahtarın o sabah hâlâ Binance kontrolünde olduğunu gösteriyor.

Az önce saat 10:26’da Binance ön raporunu yayınladı: Bir DevOps mühendisinin bilgisayarı ihlal edilmiş olabilir; saldırgan bu yolla servis konteynerlerine erişmiş ve yetkisiz para çekim işlemleri başlatmıştır; şu ana kadar cüzdan özel anahtarının sızdırıldığına dair bir kanıt bulunmamaktadır.

Kayboluş Anı Zincir Üzerinde Değildi

Dolayısıyla temel sorun EIP-7702 değil, imzalama öncesindeki aşama.

Bir sıcak cüzdan günde binlerce işlem imzalar, dolayısıyla otomatikleştirilmelidir; güvenli olmalıdır, bu nedenle HSM’ler, MPC, çoklu imza ve onay akışlarına ihtiyaç duyar. Böylece tüm güvenlik modeli tek bir cümleye daralır: «Bu işlem imzalanmamalı mı?» sorusunu imzalama öncesinde cevaplayabilir miyiz?

Sorun, çoğu değerlendirme kriterinin yalnızca iki alanı—tutar ve adres—içermesidir.

7702 yetkilendirmesinin ikisi de yoktur. Hiçbir tutar belirtmez. Değiştirdiği şey «ne kadar transfer edileceği» değil, «bu adresin ne olduğu»dur.

Yani Binance savunmasız kalmamıştır.

Olaydan üç gün önce, 27 Ekim’de Binance dikkat çekici bir açıklamada bulunmuştu: Geçtiğimiz hafta güvenlik ekibi, Kuzey Kore ile ilişkili çok sayıda saldırıyı engellemişti. Yöntem «Bulaşıcı Görüşme» olarak adlandırılıyor: Saldırganlar işe alım görevlisi gibi davranarak röportaj, kodlama testi ve «önce bir geliştirici aracı yükleyin» gibi bahanelerle kişileri zararlı program çalıştırmaya ikna ediyor; bu program çalışınca anahtarlar, iç ağlar ve sonraki fon hareketleri için bir giriş noktası oluşuyor.

Ancak «bu işlem imzalanmalı mı?» sorusunu engelleyemedi.