Penyerangan Bursa Kripto Binance
Penyerang Binance menghabiskan waktu setidaknya 36 jam untuk mempersiapkan pembobolan bursa kripto senilai $6,36 miliar, yang dimulai dengan pengurasan $296 juta dalam XRP. Menurut penyelidikan TRM Labs pada 29 Oktober, penyerang mulai mempersiapkan operasi pada 28 Oktober sebelum melaksanakan transfer terkoordinasi di 10 blockchain pada malam berikutnya. Perusahaan intelijen blockchain tersebut menemukan bahwa sebagian besar dana meninggalkan dompet yang terhubung dengan Binance dalam waktu sekitar 20 menit, menjadikan insiden ini sebagai pencurian cryptocurrency terbesar yang tercatat.
Persiapan dan Pelaksanaan Serangan
TRM melacak persiapan awal hingga pagi 28 Oktober, ketika dompet yang dikendalikan penyerang menerima tiga transfer kecil dari Tornado Cash, sebuah layanan pencampuran cryptocurrency. Pada pagi hari berikutnya, penyerang menerapkan kode kontrak pintar berbahaya dan mengujinya terhadap dua dompet Ethereum yang baru dibuat. Setelah itu, penyerang menerapkan versi yang direvisi dan berlatih operasi di dompet ketiga, berhasil mentransfer dana uji sebelum mengembalikannya. Sekitar empat jam setelah latihan terakhir tersebut, serangan utama dimulai.
Rincian Transfer dan Pembagian Dana
Antara pukul 20:05 dan 20:09 UTC, lima dompet Binance di XRP Ledger mentransfer sekitar 233,46 juta XRP, senilai $296 juta, ke satu alamat yang dikendalikan penyerang. Penyelidik on-chain Wazz Crypto mencapai kesimpulan serupa, menyatakan bahwa pada pukul 20:10 UTC, transfer mencurigakan juga mulai terjadi dari dompet Binance di Solana dan Optimism. Pada pukul 20:20 UTC, dompet Bitcoin Binance mentransfer 18.270 BTC, senilai sekitar $1,47 miliar. Penyerang segera mulai membagi dana menjadi batch yang lebih kecil, yaitu 1.000 BTC dan 100 BTC. Dalam waktu dua menit, dompet Binance di Tron mentransfer 612,7 juta USDT dan 46,4 juta TRX, senilai sekitar $628 juta secara keseluruhan.
Operasi di Ethereum dan Ekspansi Serangan
Operasi di Ethereum berlangsung hampir bersamaan. Pada pukul 20:20 UTC, penyerang mengajukan 50 otorisasi EIP-7702 yang telah ditandatangani sebelumnya ke dompet panas Binance, memungkinkan untuk mendelegasikan eksekusi ke kontrak pintar berbahaya. Otorisasi tersebut mencakup jumlah transaksi berturut-turut, memastikan bahwa satu transaksi akan cocok dengan jumlah saat ini di dompet saat diproses. Tiga menit dan 24 detik kemudian, penyerang mengaktifkan fungsi penyapuan kontrak, mentransfer 167.464 ETH dan 63 token, termasuk 1,615 miliar USDT, dalam satu transaksi. Penyerang kemudian melaksanakan penyapuan tambahan pada pukul 20:41, 20:59, 21:04, 21:44, 22:39, dan 23:56 UTC saat lebih banyak aset masuk ke dompet yang terkompromi. Dompet yang didelegasikan juga menggunakan izin yang ada atas akun pintar Binance terpisah, memfasilitasi transfer 823 juta USDC lainnya.
Kesimpulan dan Analisis
Gelombang kedua sekitar pukul 23:05 UTC memperluas operasi ke dompet Binance tambahan di Avalanche dan Polygon. Pada pukul 00:30 UTC pada 30 Oktober, TRM telah melacak sekitar $6,36 miliar dalam transfer di Ethereum, Bitcoin, Tron, XRP Ledger, Solana, Arbitrum, Optimism, Base, Avalanche, dan Polygon. Meskipun penyelidik telah merekonstruksi urutan kejadian, sumber otorisasi yang diperlukan untuk memungkinkan serangan ini tetap belum terpecahkan. Peneliti Ethlabs, Derek Chiang, menyatakan bahwa penyerang bisa saja memperoleh kunci pribadi dompet atau menipu pemiliknya untuk menandatangani otorisasi berbahaya. Dia juga menekankan bahwa penyerang membutuhkan otorisasi yang valid untuk mengeksekusi operasi EIP-7702.
