Uma funcionalidade introduzida no Ethereum em 2025 para facilitar o uso de carteiras de criptomoedas foi uma das ferramentas utilizadas no ataque hacker bilionário contra a Binance. Conhecida como EIP-7702, a tecnologia permitiu que os criminosos assumissem o controle de uma carteira da corretora e roubassem aproximadamente US$ 2,5 bilhões em ETH e outros tokens em menos de quatro minutos.
O valor representa apenas parte dos cerca de US$ 6,3 bilhões roubados da Binance na quinta-feira (29), no maior ataque hacker já registrado no mercado de criptomoedas. A invasão envolveu diferentes blockchains, incluindo Bitcoin, Ethereum, Solana e Tron, e levantou questionamentos sobre a segurança dos sistemas utilizados por grandes corretoras para autorizar transações.
Segundo uma investigação publicada pelo CoinDesk nesta sexta, o criminoso conseguiu utilizar uma autorização digital válida para fazer com que uma carteira da Binance executasse um contrato inteligente controlado por ele. Com isso, passou a movimentar os recursos sem precisar de uma nova aprovação da corretora para cada transferência.
O ataque explorou uma característica da EIP-7702, implementada na atualização Pectra do Ethereum, em maio de 2025. A funcionalidade foi desenvolvida para tornar as carteiras mais flexíveis e facilitar operações cotidianas, mas também pode representar um risco quando usuários ou instituições autorizam a execução de códigos maliciosos.
Como a atualização do Ethereum foi utilizada no ataque
Para entender o ataque, é preciso compreender o funcionamento da EIP-7702. Antes dessa atualização, as carteiras tradicionais do Ethereum eram controladas diretamente por chaves privadas, responsáveis por autorizar cada transação. Já as carteiras baseadas em contratos inteligentes podiam executar operações mais complexas, como estabelecer limites de gastos ou agrupar diferentes transferências.
Leia também: Binance tem fundo de US$ 1 bilhão após hack de US$ 6 bilhões; e o dinheiro dos clientes?
A EIP-7702 aproximou esses dois modelos ao permitir que carteiras tradicionais utilizem funcionalidades de contratos inteligentes sem precisar transferir seus recursos para outro endereço.
Na prática, isso significa que uma carteira pode autorizar a execução de um código externo para realizar determinadas operações. Entre as aplicações legítimas estão a possibilidade de agrupar várias transações em uma única operação e permitir que terceiros paguem as taxas de rede.
O problema é que, se o contrato autorizado for malicioso, ele também poderá movimentar os fundos da carteira. Além disso, a autorização pode continuar válida até ser substituída ou revogada, permitindo que novas transferências sejam realizadas enquanto o código permanecer ativo.
Foi justamente esse mecanismo que apareceu na investigação sobre o ataque à Binance.
De acordo com a reconstrução das transações realizada pelo CoinDesk, o criminoso preparou um contrato inteligente projetado para retirar automaticamente os recursos de uma carteira identificada como “Binance 14”.
Às 17h20 de quinta-feira, no horário de Brasília, o invasor enviou uma transação contendo 50 autorizações digitais assinadas pela própria carteira da Binance. Todas permitiam delegar o controle da carteira ao contrato malicioso.
O número elevado de autorizações tinha uma explicação técnica. Como a carteira processava um grande volume de operações, seu contador de transações, chamado nonce, mudava constantemente. O criminoso utilizou assinaturas com 50 valores consecutivos desse contador para aumentar as chances de que pelo menos uma fosse aceita pela rede.
A estratégia funcionou. Uma das autorizações foi validada pelo Ethereum, permitindo que o contrato do invasor passasse a operar por meio da carteira da corretora.
Menos de quatro minutos depois, às 17h24, foram retirados aproximadamente 167.464 ETH e outros 63 tokens, incluindo cerca de US$ 1,6 bilhão em USDT.
A invasão não terminou naquele momento. Como os sistemas da Binance continuaram direcionando depósitos para a carteira comprometida, o criminoso conseguiu retirar novos recursos em outras duas operações, realizadas às 18h04 e 18h44.
Segundo a TRM Labs, o invasor também utilizou o controle obtido sobre a Binance 14 para movimentar aproximadamente US$ 823 milhões em USDC de outra carteira da corretora, identificada como Hot Wallet 34.
A autorização maliciosa permaneceu ativa por quase quatro horas e só foi revogada na madrugada de sexta-feira.
Como o hacker conseguiu as autorizações?
Apesar de os dados registrados na blockchain mostrarem como o dinheiro foi retirado, ainda não está totalmente esclarecido como o invasor conseguiu as assinaturas necessárias para executar o ataque.
Esse é um ponto central da investigação porque a EIP-7702 exige uma autorização válida da carteira que terá seu funcionamento modificado. Portanto, o criminoso não poderia simplesmente escolher uma carteira e assumir seu controle sem obter uma assinatura reconhecida pela rede.
Richard Teng, co-CEO da Binance, afirmou nesta sexta que as primeiras investigações apontaram para o comprometimento do computador de um engenheiro de DevOps da empresa. A suspeita inicial era de que a invasão teria permitido acesso a um contêiner de serviços utilizado pela corretora.
Entretanto, a Binance informou posteriormente que descobriu outros pontos de comprometimento durante a investigação, indicando que o ataque foi mais complexo do que se imaginava inicialmente.
Segundo Teng, não foram encontradas evidências de vazamento das chaves privadas das carteiras, e ainda não foi possível determinar exatamente como os invasores conseguiram produzir as autorizações utilizadas nas diferentes blockchains.
Uma das hipóteses consideradas é que os criminosos tenham comprometido a infraestrutura responsável por assinar transações da Binance, fazendo com que os próprios sistemas da empresa produzissem autorizações aparentemente legítimas.
Essa possibilidade ganha força porque o ataque não ficou restrito ao Ethereum. Os invasores também conseguiram transferir 18.270 bitcoins, centenas de milhões de XRP e recursos de carteiras em outras redes que não utilizam a EIP-7702.
Ou seja, embora a atualização do Ethereum tenha sido explorada para retirar parte dos recursos, ela não explica sozinha a invasão bilionária.
A TRM Labs identificou características semelhantes às de ataques anteriores atribuídos a hackers da Coreia do Norte, incluindo a invasão de US$ 1,5 bilhão contra a Bybit, em fevereiro de 2025. A empresa de análise blockchain apontou elevada confiança no envolvimento do mesmo grupo criminoso, embora a autoria ainda não tenha sido confirmada pela Binance.
EIP-7702 representa um risco para usuários do Ethereum?
O episódio também reacendeu o debate sobre os riscos associados à EIP-7702, uma das principais novidades da atualização Pectra, desenvolvida para aproximar as carteiras tradicionais das funcionalidades oferecidas pelos contratos inteligentes.
A proposta, que teve o cofundador do Ethereum Vitalik Buterin entre seus autores, busca melhorar a experiência dos usuários ao permitir operações mais simples e flexíveis, reduzindo etapas necessárias para utilizar aplicações descentralizadas.
Entretanto, a própria documentação técnica da EIP-7702 reconhece os riscos associados à delegação de permissões. Isso porque um contrato autorizado pode receber amplos poderes para executar operações em nome da carteira.
O problema já havia chamado a atenção de especialistas pouco depois da implementação da atualização. Em junho de 2025, a empresa de trading Wintermute identificou que mais de 80% das delegações realizadas por meio da EIP-7702 apontavam para cópias de um mesmo contrato malicioso, projetado para transferir automaticamente fundos de carteiras comprometidas.
Isso não significa, porém, que a atualização tenha uma vulnerabilidade que permita roubar criptomoedas de qualquer usuário. O risco surge quando uma autorização válida é concedida a um código malicioso, seja por meio de golpes que induzem o usuário a assinar permissões, seja pelo comprometimento dos sistemas responsáveis por produzir essas assinaturas.
No caso da Binance, as investigações apontam para essa segunda possibilidade, embora a origem exata das autorizações ainda não tenha sido esclarecida.
O episódio evidencia que uma funcionalidade desenvolvida para facilitar o uso de criptomoedas também pode ampliar os danos de uma invasão caso os mecanismos de autorização sejam comprometidos.
Enquanto as investigações continuam, a Binance afirma que cobrirá as perdas com recursos próprios e de seu fundo de proteção aos usuários, conhecido como SAFU. A corretora também informou que aproximadamente US$ 3 bilhões dos ativos afetados já haviam sido congelados, principalmente com o auxílio de emissores de stablecoins. O congelamento, entretanto, não significa necessariamente que todos esses recursos serão recuperados.
A porta de entrada para o bitcoin, a maior criptomoeda do mundo, está no MB. É simples, seguro e transparente. Deixe de adiar um investimento com potencial gigantesco. Invista em poucos cliques!