Злом Binance показав, як зловмисник використав одну успішну авторизацію гаманця Ethereum, щоб отримати контроль над великим гаманцем біржі, оскільки Binance оцінює, що порушення безпеки 29 жовтня торкнулося приблизно 6,3 мільярда доларів у криптовалюті.
Резюме
- Binance оцінює, що інцидент безпеки 29 жовтня торкнувся приблизно 6,3 мільярда доларів у криптовалюті.
- Blockaid простежила атаку до 50 авторизацій EIP-7702, з яких одна успішно націлилася на гарячий гаманець Binance 14.
- Початкове розслідування Binance вказує на скомпрометований ноутбук інженера DevOps, але біржа не знайшла доказів витоку приватного ключа.
- Tether і Circle заморозили понад 2,3 мільярда доларів у стейблкоїнах, пов'язаних з атакою, тоді як Binance повідомила про приблизно 3 мільярди доларів, заморожених серед активів.
- Binance призупинила депозити та зняття коштів під час перевірок безпеки та зобов'язалася покрити збитки через свій фонд SAFU і резерви компанії.
Згідно з даними фірми з блокчейн-безпеки Blockaid, зловмисник використав механізм авторизації EIP-7702 Ethereum, щоб перенаправити гарячий гаманець Binance 14, який інтенсивно використовується, на шкідливий смарт-контракт. Зловмисник подав 50 авторизацій в одній транзакції, але лише одна збіглася з лічильником транзакцій гаманця і успішно активувала контракт.
Оновлення безпеки Binance від 30 жовтня визначило потенційно скомпрометований ноутбук інженера DevOps як початкову точку входу. Біржа заявила, що приблизно 3 мільярди доларів постраждалих активів було заморожено, і зобов'язалася покрити збитки клієнтів.
Злом Binance використав 50 авторизацій, щоб взяти під контроль гарячий гаманець
Розслідування Blockaid виявило транзакцію Ethereum, подану о 20:20:59 UTC 29 жовтня, що містила 50 авторизацій EIP-7702, націлених на Binance 14.
EIP-7702 дозволяє звичайному гаманцю Ethereum делегувати виконання транзакцій коду смарт-контракту. Кожна авторизація повинна відповідати поточному nonce гаманця — лічильнику транзакцій, який змінюється в міру обробки транзакцій обліковим записом.
Оскільки Binance 14 активно обробляв зняття коштів, зловмисник не міг надійно передбачити його nonce. Подані авторизації охоплювали послідовні значення між 18 914 775 і 18 914 824, збільшуючи ймовірність того, що одна збіжиться, коли Ethereum обробить транзакцію.
Успішною була лише одна авторизація. Вона спрямувала гаманець на неперевірений контракт, який дозволив контрольованій зловмисником адресі виконати функцію під назвою sweep(), переказуючи ETH та токени ERC-20, зберігаючи 1 ETH для комісій за транзакції.
Шкідливе делегування могло б наразити на ризик подальші депозити, доки Binance його не видалила. Біржа згодом підтвердила, що відкликала постраждалу авторизацію.
Попередні атаки на гаманці EIP-7702 демонстрували подібні ризики, включаючи інцидент 14 жовтня, коли скомпрометований обліковий запис Ethereum втратив приблизно 22 770 доларів у ETH.
Binance заявляє, що скомпрометований ноутбук міг дозволити несанкціоновані виведення коштів
Попереднє розслідування Binance виявило можливу компрометацію ноутбука інженера DevOps, що могло надати зловмиснику доступ до внутрішнього сервісного контейнера, який використовується для подання транзакцій на виведення коштів.
Біржа заявила, що слідчі не знайшли жодних доказів витоку приватних ключів будь-якого гаманця, хоча вони ще не встановили точно, як зловмисник отримав авторизації, необхідні для перенаправлення Binance 14.
Записи блокчейну, досліджені Blockaid, показали, що підготовка почалася ще до основної крадіжки. Зловмисник поповнив операційну адресу через три виведення з Tornado Cash і розгорнув шкідливий контракт за кілька годин до його використання проти Binance.
Приблизно о 20:24 UTC зловмисник спустошив Binance 14 на криптовалюту вартістю близько 2,5 мільярда доларів. Перекази включали 167 464 ETH, понад 1,6 мільярда USDT та десятки інших токенів.
Додаткові перекази стосувалися Binance 16 та іншого гарячого гаманця Ethereum, що містить USDC. Операція поширилася на кілька блокчейн-мереж, включаючи Bitcoin, Tron, Arbitrum та Avalanche.
Попередні дослідження шкідливих делегувань гаманців виявили автоматизовані контракти, розроблені для переказу активів із скомпрометованих акаунтів після оновлення Pectra в Ethereum.
Tether і Circle заморожують мільярди, пов'язані зі зломом Binance
Після атаки емітенти криптовалют почали обмежувати доступ до активів, пов'язаних із підозрілими адресами.
Генеральний директор Tether Паоло Ардоіно підтвердив, що емітент стейблкоїнів заморозив понад 1,567 мільярда USDT, пов'язаних із підозрюваним зломом. Генеральний директор Circle Джеремі Аллер окремо повідомив про заморожування понад 800 мільйонів USDC, координуючи дії з правоохоронними органами.
Керівник напрямку стейблкоїнів Ripple Джек Макдональд заявив, що компанія працює з відповідними сторонами над заморожуванням постраждалих активів RLUSD.
Тим часом Рада з безпеки Arbitrum повідомила про переказ 74 559 805 ARB та 8 425 ETH з адреси, пов'язаної з атакою, до обмеженого проміжного гаманця. Організація заявила, що активи можуть бути переміщені лише після подальших дій ради або рішення управління Arbitrum DAO.
За останньою оцінкою Binance, скоординована відповідь залишила замороженими приблизно 3 мільярди доларів у постраждалих активах.
Binance обіцяє покрити збитки, поки розслідування триває
Binance тимчасово призупинила депозити та виведення коштів, проводячи перевірки безпеки та працюючи з фірмами блокчейн-аналітики й правоохоронними органами.
Біржа заявила, що використає свій Фонд безпечних активів для користувачів (SAFU) та кошти компанії для покриття збитків. Оновлений доказ резервів буде опубліковано після завершення відшкодування.
Засновник Binance Чанпен Чжао публічно визнав підозрюваний злом, заявивши: «Кошти користувачів у безпеці!» Він додав, що більше не керує біржею, але очікує, що клієнти будуть повністю захищені.
Американська дочірня компанія біржі окремо заявила, що її діяльність не постраждала від інциденту.
Binance заявила, що слідчі продовжують встановлювати, як зловмисник отримав доступ до її внутрішніх систем і отримав авторизації гаманця. Компанія планує опублікувати детальний технічний аналіз після завершення розслідування.
