EIP-7702: a atualização do Ethereum que possibilitou o hack de $6,4 bi da Binance

A proposta EIP-7702, ativada em maio de 2025, permite que carteiras comuns da Ethereum executem código de contrato, recurso usado em outubro de 2026 para drenar uma hot wallet da Binance.

A atualização EIP-7702, lançada em maio de 2025, deu às carteiras padrão da Ethereum a capacidade de rodar temporariamente código de contrato inteligente, facilitando transações agrupadas e patrocínio de gas. Em outubro de 2026, esse recurso foi explorado para roubar US$6,4 bilhões de uma hot wallet da Binance, ataque atribuído à Coreia do Norte.

O que é o EIP-7702

Trata‑se de uma proposta de melhoria (EIP) que introduz o tipo de transação “set code”, permitindo que uma conta controlada por chave privada (EOA) carregue código de contrato sem mudar seu endereço.

Como funciona

Ao enviar uma transação “set code”, o usuário autoriza que seu endereço execute um conjunto de instruções definido por um contrato. Isso traz benefícios como:

Transações em lote: várias operações podem ser agrupadas em um único envio.
Patrocínio de gas: terceiros podem pagar as taxas de execução, usando tokens diferentes de ETH.
Chaves de permissão limitada: é possível criar chaves que só podem realizar certas ações, aumentando a segurança.

Entretanto, o código carregado tem acesso total aos fundos da conta, exigindo confiança no contrato usado.

Uso malicioso no hack da Binance

Analistas identificaram que os invasores aproveitaram a funcionalidade “set code” para injetar um contrato malicioso na hot wallet da Binance. O contrato autorizou a transferência de todos os ativos, contornando as proteções tradicionais de uma conta externa. O ataque resultou no maior roubo de cripto já registrado, com perdas estimadas em US$6,4 bilhões.

Implicações e lições

O caso demonstra que inovações técnicas podem abrir novas superfícies de ataque quando não há auditoria ou controle adequado. Embora o EIP-7702 ofereça recursos avançados para desenvolvedores, usuários e exchanges precisam avaliar cuidadosamente os contratos que permitem executar.

Para a comunidade Ethereum, o incidente reforça a importância de mecanismos de verificação de código e de políticas de gestão de chaves mais robustas.

Explica Noob
EOA: conta externa controlada por uma chave privada que, normalmente, só pode enviar transações, ao contrário de contas de contrato inteligente que executam código.

Fonte: decrypt.co