Binanceの大規模ハッキング事件
Binanceの攻撃者は、296百万ドル相当のXRPを皮切りに、63.6億ドル規模の暗号通貨取引所ハッキングを実行するために、少なくとも36時間を準備に費やしました。TRM Labsによる10月29日の調査によれば、攻撃者は10月28日に作戦の準備を開始し、翌晩には10のブロックチェーンを横断する調整された送金を実行しました。
このブロックチェーンインテリジェンス企業は、ほとんどの資金が約20分以内にBinance関連のウォレットから移動したことを発見し、この事件が記録上最大の暗号通貨盗難であることを示しています。
攻撃の準備と実行
TRMは、攻撃者が制御するウォレットが、暗号通貨ミキシングサービスであるTornado Cashから3回の小さな送金を受け取った10月28日の朝に、最初の準備が行われたことを追跡しました。翌日早く、攻撃者は悪意のあるスマートコントラクトコードを展開し、2つの新しく作成されたEthereumウォレットに対してテストを行いました。
その後、攻撃者は修正されたバージョンを展開し、3つ目のウォレットで作戦をリハーサルし、テスト資金を成功裏に転送した後、元に戻しました。その最終リハーサルから約4時間後、主要な攻撃が開始されました。
資金の移動と影響
20:05から20:09 UTCの間に、5つのBinanceウォレットが約233.46百万XRP（296百万ドル相当）を単一の攻撃者制御アドレスに転送しました。オンチェーン調査者のWazz Cryptoも同様の結論に達し、20:10 UTCまでにBinanceウォレットからSolanaおよびOptimismへの疑わしい送金が始まったと述べました。
20:20 UTCには、Binanceのビットコインウォレットが約14.7億ドル相当の18,270 BTCを転送しました。攻撃者はすぐに資金を1,000 BTCと100 BTCの小さなバッチに分割し始めました。2分以内に、Tron上のBinanceウォレットがさらに612.7百万USDTと46.4百万TRX（合計約6.28億ドル相当）を転送しました。
攻撃の詳細とその後の展開
Ethereumの操作はほぼ同時に展開されました。20:20 UTCに、攻撃者はBinanceホットウォレットに50の事前に署名されたEIP-7702の承認を提出し、悪意のあるスマートコントラクトへの実行を委任できるようにしました。承認は連続した取引数をカバーし、処理される際に1つがウォレットの現在のカウントと一致することを保証しました。
3分24秒後、攻撃者は契約のスイーピング機能を起動し、167,464 ETHと1.615億USDTを含む63トークンを単一の取引で転送しました。その後、攻撃者は20:41、20:59、21:04、21:44、22:39、23:56 UTCに追加のスイープを実行し、より多くの資産が侵害されたウォレットに入ってきました。
委任されたウォレットは、別のBinanceスマートアカウントに対する既存の権限も行使し、さらに823百万USDCの転送を促進しました。23:05 UTC頃の第2波は、AvalancheおよびPolygon上の追加のBinanceウォレットに操作を拡大しました。
調査結果と今後の課題
10月30日00:30 UTCまでに、TRMはEthereum、Bitcoin、Tron、XRP Ledger、Solana、Arbitrum、Optimism、Base、Avalanche、Polygonを横断する約63.6億ドルの送金を追跡しました。調査者たちはそのシーケンスを再構築しましたが、攻撃を可能にした必要な承認の出所は未解決のままです。
Ethlabsの研究者Derek Chiangは、攻撃者がウォレットの秘密鍵を取得したか、所有者を騙して悪意のある承認に署名させた可能性があると述べました。彼はまた、攻撃者がEIP-7702操作を実行するためには有効な承認が必要であることを強調しました。
