Pakar keamanan siber dari Blockaid dan Ambire mengungkap bahwa peningkatan protokol Ethereum Improvement Proposal 7702 (EIP-7702) memfasilitasi peretas dalam mengeksekusi pengurasan dana Binance secara masif dalam satu transaksi terpadu pada akhir Oktober 2026. Meskipun pembaruan tersebut bukan penyebab utama dari peretasan senilai $6,34 miliar yang menimpa bursa terbesar di dunia itu, mekanisme delegasi kontrak pintar yang diperkenalkan dalam hard fork Pectra terbukti dimanfaatkan pelaku untuk melewati batas kecepatan penarikan (velocity limit) dan lapisan mitigasi internal bursa.
Mekanisme Delegasi Akun EIP-7702 dan Eksekusi Batching Cepat
EIP-7702 dirancang oleh Vitalik Buterin bersama sejumlah pengembang inti Ethereum pada Mei 2024 dan resmi aktif di mainnet saat upgrade Pectra meluncur pada 7 Mei 2025. Protokol ini memperkenalkan jenis transaksi baru berupa "Set Code" dengan penanda byte 0xef, yang memungkinkan akun dompet konvensional (Externally Owned Account atau EOA) meminjam kode smart contract sementara waktu tanpa harus memindahkan kepemilikan aset ke dompet kontrak baru. Inovasi ini sejatinya bertujuan menghadirkan fitur abstraksi akun, seperti pembayaran biaya gas bersponsor dan penggabungan banyak transaksi menjadi satu paket penarikan efisien.
Namun dalam insiden Binance, para peretas yang berhasil menyusup ke mesin pengembang dan infrastruktur penandatangan hot wallet memanfaatkan izin EIP-7702 untuk mendelegasikan otoritas dompet ke kontrak jahat eksternal. Co-founder sekaligus CEO Blockaid Ido Ben-Natan menjelaskan bahwa delegasi tersebut berfungsi layaknya tombol sapu bersih yang memicu pengurasan banyak token sekaligus secara instan. Menurut Ben-Natan, peningkatan 7702 menjadi sarana penyerang untuk mengeksekusi transfer dalam satu sapuan kilat yang berhasil mengelabui sistem pemeriksaan keamanan internal bursa sebelum transaksi dapat dihentikan secara manual.
Rekam Jejak Kerentanan dari Wintermute hingga Insiden WLFI
Peringatan mengenai bahaya penyalahgunaan EIP-7702 sebenarnya telah disuarakan komunitas keamanan Web3 sejak pekan-pekan awal implementasi Pectra pada pertengahan 2025. Firma perdagangan kuantitatif Wintermute dalam risetnya sempat melaporkan bahwa lebih dari 80 persen delegasi awal EIP-7702 di mainnet mengarah ke kontrak pembersih otomatis (sweeper contracts) yang dirancang untuk merampas aset begitu dompet menerima transfer. Risiko tersebut kembali terbukti di dunia nyata pada September 2025 saat sejumlah pemegang token World Liberty Financial (WLFI) mengalami kerugian akibat delegasi tersembunyi yang tidak terdeteksi oleh dompet antarmuka pengguna.
CEO penyedia dompet Ethereum Ambire Ivo Georgiev menyoroti bahwa EIP-7702 masih sangat minim dipahami oleh sebagian besar teknisi ekosistem kripto. Georgiev mengingatkan bahwa celah paling berbahaya terletak pada sifat persisten dari delegasi tersebut, di mana otorisasi kontrak jahat tetap menempel pada akun bahkan setelah bursa berhasil mengamankan kembali server penandatanganan mereka. Apabila tim keamanan bursa tidak menerbitkan transaksi pembatalan otorisasi dengan menghapus penunjuk kontrak, pelaku masih berpotensi menyedot setiap aliran likuiditas baru yang masuk ke alamat hot wallet yang sama.
Dampak Terhadap Standar Kustodi dan Keamanan Bursa Kripto
Insiden eksploitasi yang melibatkan delegasi EIP-7702 ini kini memicu perombakan menyeluruh pada arsitektur pengawasan penarikan dana institusional di industri kripto global. CEO Binance Richard Teng sebelumnya menegaskan bahwa kunci privat utama bursa tetap aman dan serangan berakar dari penyusupan infrastruktur lokal yang menyetujui transaksi berbahaya. Para pakar keamanan menilai bahwa kelemahan mendasar bukan pada kriptografi kunci bursa, melainkan kegagalan sistem penandatangan dalam mendeteksi implikasi penandatanganan transaksi bertipe delegasi kontrak.
Sebagai langkah evaluasi, firma keamanan siber kini mendesak seluruh bursa terpusat dan penyedia kustodi digital untuk menerapkan simulasi transaksi otomatis sebelum perintah multi-tanda tangan dieksekusi. Selain itu, bursa diimbau memasukkan parameter pemblokiran delegasi EIP-7702 secara baku pada seluruh dompet operasional agar tidak dapat dialihkan menjadi kontrak pintar pihak ketiga. Pengetatan protokol verifikasi ini dipandang mendesak guna memastikan adopsi abstraksi akun Ethereum di masa depan tidak lagi menjadi bumerang bagi keamanan aset para pengguna.
