They paid $15 – took away $2,5 billion: how hackers emptied Binance in one strike

Automatically translated version. May contain inaccuracies compared to the original.

Hackers stole about $2,5 billion from Binance's hot crypto wallet in a single transaction, spending only $15 to obtain permission. To do this, they used the Ethereum EIP-7702 feature, which allows third-party programs to operate on behalf of the wallet owner.

As reported by Dilo , Bloomberg reports this.

According to the cyber security firm Blockaid, this allowed the perpetrators to move about 40% of the stolen cryptocurrency in a single transfer.

How the hackers gained access to the funds

According to Binance, the attack began with fake job offers. The criminals convinced an engineer to download malicious code, which gave them access to the company's systems.

Their target was Binance's hot wallet 14, used to process customer withdrawals. It stored Ethereum, stablecoins, and other digital assets.

To steal, the hackers used an Ethereum EIP-7702 update implemented in May 2025 year. It allows a normal crypto wallet to temporarily delegate the right to perform operations on its behalf to a third-party software.

29 October around 20:20 UTC the attackers sent appropriate instructions to the Ethereum network. They paid about $15 in fees. After three and a half minutes they used the obtained permission and transferred about $2,5 billion in a single transaction.

Among the stolen assets were 167 464 ETH and over 60 other tokens, including USDT worth about $1,6 billion.

Why Binance couldn't stop the theft immediately

“During an attack, the defender wants to slow down the attacker. EIP-7702 helped the hackers move faster and maintain control over the wallet even after Binance detected the breach,” explained Dan Kaspi, co-founder and CTO of Hypernative.

The problem was that stopping withdrawals on the exchange did not cancel the permission the hackers had obtained directly in the Ethereum network. Therefore they could continue transfers even when Binance halted hot wallet services.

According to Elliptic, the total amount moved using this permission reached about $3,6 billion.

Binance said it canceled the delegation, restored the damaged infrastructure, and tightened controls over signing and transaction monitoring. The exchange also stated that it covered the financial consequences of the incident.

The FBI attributed the attack to North Korea. The country’s authorities deny involvement.

As a reminder, on the evening of 29 October the largest crypto exchange Binance suffered a hacker attack. From users’ wallets, within minutes $6 billion disappeared across five blockchains.

Document: PDF proof of the original version of the news item "Заплатили $15 – забрали $2,5 млрд: як хакери одним ударом опустошили Binance". It records the publication content at the moment of the first scan, the preservation date and the source: Delo.ua.

Хакери викрали близько $2,5 млрд із гарячого криптогаманця Binance за одну транзакцію, витративши на отримання дозволу лише $15. Для цього вони використали функцію Ethereum EIP-7702, яка дозволяє стороннім програмам виконувати операції від імені власника гаманця.

Як пише Dilo , про це повідомляє B loomberg.

За даними компанії з кібербезпеки Blockaid, це дало змогу зловмисникам перемістити близько 40% викраденої криптовалюти одним переказом.

Як хакери отримали доступ до коштів

За версією Binance, атака почалася з фальшивих пропозицій роботи. Зловмисники переконали інженера завантажити шкідливий код, завдяки якому отримали доступ до систем компанії.

Їхньою ціллю став гарячий гаманець Binance 14, який використовують для обробки виведення коштів клієнтами. У ньому зберігалися Ethereum, стейблкоїни та інші цифрові активи.

Для крадіжки хакери скористалися оновленням Ethereum EIP-7702, яке запровадили у травні 2025 року. Воно дозволяє звичайному криптогаманцю тимчасово делегувати сторонньому програмному забезпеченню право виконувати операції від його імені.

29 жовтня приблизно о 20:20 за UTC зловмисники надіслали відповідну інструкцію в мережу Ethereum. За це вони сплатили близько $15 комісії. Через три з половиною хвилини скористалися отриманим дозволом і переказали приблизно $2,5 млрд за одну транзакцію.

Серед викрадених активів було 167 464 ETH та понад 60 інших токенів, зокрема USDT на суму близько $1,6 млрд.

Чому Binance не змогла одразу зупинити крадіжку

"Під час атаки захисник хоче уповільнити атакуючого. EIP-7702 допоміг хакерам рухатися швидше та зберігати контроль над гаманцем навіть після того, як Binance виявила порушення", — пояснив Ден Каспі, співзасновник і технічний директор Hypernative.

Проблема полягала в тому, що зупинка виведення коштів на біржі не скасовувала дозвіл, який хакери отримали безпосередньо в мережі Ethereum. Тому вони могли продовжувати перекази, навіть коли Binance зупинила роботу сервісів гарячих гаманців.

За даними Elliptic, загальна сума коштів, переміщених із використанням цього дозволу, сягнула приблизно $3,6 млрд.

У Binance повідомили, що скасували делегування, відновили роботу пошкодженої інфраструктури та посилили контроль за підписанням і моніторингом транзакцій. Біржа також заявила, що покрила фінансові наслідки інциденту.

ФБР поклало відповідальність за атаку на Північну Корею. Влада країни заперечує причетність.

Нагадаємо, увечері 29 жовтня найбільша криптобіржа Binance зазнала хакерської атаки . З гаманців користувачів за лічені хвилини зникло $6 млрд на п'яти блокчейнах.

Document: PDF proof of the original version of the news item "Заплатили $15 – забрали $2,5 млрд: як хакери одним ударом опустошили Binance". It records the publication content at the moment of the first scan, the preservation date and the source: Delo.ua.

Хакери викрали близько $2,5 млрд із гарячого криптогаманця Binance за одну транзакцію, витративши на отримання дозволу лише $15. Для цього вони використали функцію Ethereum EIP-7702, яка дозволяє стороннім програмам виконувати операції від імені власника гаманця.

Як пише Dilo , про це повідомляє B loomberg.

За даними компанії з кібербезпеки Blockaid, це дало змогу зловмисникам перемістити близько 40% викраденої криптовалюти одним переказом.

Як хакери отримали доступ до коштів

За версією Binance, атака почалася з фальшивих пропозицій роботи. Зловмисники переконали інженера завантажити шкідливий код, завдяки якому отримали доступ до систем компанії.

Їхньою ціллю став гарячий гаманець Binance 14, який використовують для обробки виведення коштів клієнтами. У ньому зберігалися Ethereum, стейблкоїни та інші цифрові активи.

Для крадіжки хакери скористалися оновленням Ethereum EIP-7702, яке запровадили у травні 2025 року. Воно дозволяє звичайному криптогаманцю тимчасово делегувати сторонньому програмному забезпеченню право виконувати операції від його імені.

29 жовтня приблизно о 20:20 за UTC зловмисники надіслали відповідну інструкцію в мережу Ethereum. За це вони сплатили близько $15 комісії. Через три з половиною хвилини скористалися отриманим дозволом і переказали приблизно $2,5 млрд за одну транзакцію.

Серед викрадених активів було 167 464 ETH та понад 60 інших токенів, зокрема USDT на суму близько $1,6 млрд.

Чому Binance не змогла одразу зупинити крадіжку

"Під час атаки захисник хоче уповільнити атакуючого. EIP-7702 допоміг хакерам рухатися швидше та зберігати контроль над гаманцем навіть після того, як Binance виявила порушення", — пояснив Ден Каспі, співзасновник і технічний директор Hypernative.

Проблема полягала в тому, що зупинка виведення коштів на біржі не скасовувала дозвіл, який хакери отримали безпосередньо в мережі Ethereum. Тому вони могли продовжувати перекази, навіть коли Binance зупинила роботу сервісів гарячих гаманців.

За даними Elliptic, загальна сума коштів, переміщених із використанням цього дозволу, сягнула приблизно $3,6 млрд.

У Binance повідомили, що скасували делегування, відновили роботу пошкодженої інфраструктури та посилили контроль за підписанням і моніторингом транзакцій. Біржа також заявила, що покрила фінансові наслідки інциденту.

ФБР поклало відповідальність за атаку на Північну Корею. Влада країни заперечує причетність.

Нагадаємо, увечері 29 жовтня найбільша криптобіржа Binance зазнала хакерської атаки . З гаманців користувачів за лічені хвилини зникло $6 млрд на п'яти блокчейнах.

Document: PDF proof of the edited version of the news item "Заплатили $15 – забрали $2,5 млрд: що відомо про атаку на Binance". It helps compare changes with the previous recorded version and confirms that the update was detected by the monitoring system. Source: Delo.ua.