Pag-atake sa Binance: Isang Detalyadong Pagsusuri
Ang umaatake sa Binance ay gumugol ng hindi bababa sa 36 na oras sa paghahanda para sa $6.36 bilyong pag-hack ng crypto exchange na nagsimula sa $296 milyong XRP. Ayon sa isang imbestigasyon ng TRM Labs noong Oktubre 29, nagsimula ang umaatake sa paghahanda ng operasyon noong Oktubre 28 bago isagawa ang mga naka-koordina na paglilipat sa 10 blockchain sa sumunod na gabi.
Natuklasan ng blockchain intelligence firm na karamihan sa mga pondo ay umalis sa mga wallet na konektado sa Binance sa loob ng humigit-kumulang 20 minuto, na ginawang pinakamalaking pagnanakaw ng cryptocurrency sa kasaysayan.
Mga Hakbang ng Umaatake
Sinubaybayan ng TRM ang mga unang paghahanda sa umaga ng Oktubre 28, nang ang isang wallet na kontrolado ng umaatake ay tumanggap ng tatlong maliliit na paglilipat mula sa Tornado Cash, isang serbisyo ng paghahalo ng cryptocurrency. Sa maagang bahagi ng sumunod na araw, inilunsad ng umaatake ang nakakapinsalang smart-contract code at sinubukan ito laban sa dalawang bagong nilikhang Ethereum wallets.
Pagkatapos, inilunsad ng umaatake ang isang binagong bersyon at sinanay ang operasyon sa isang pangatlong wallet, matagumpay na nailipat ang mga test funds bago ito ibalik. Humigit-kumulang apat na oras pagkatapos ng huling pagsasanay, nagsimula ang pangunahing pag-atake.
Ang Pangunahing Pag-atake
Sa pagitan ng 20:05 at 20:09 UTC, limang Binance wallets sa XRP Ledger ang naglipat ng humigit-kumulang 233.46 milyong XRP, na nagkakahalaga ng $296 milyon, sa isang solong address na kontrolado ng umaatake. Nakamit ng on-chain investigator na si Wazz Crypto ang katulad na konklusyon, na nagsasabing:
“Sa 20:10 UTC, nagsimula rin ang mga kahina-hinalang paglilipat mula sa mga Binance wallets sa Solana at Optimism.”
Sa 20:20 UTC, isang Binance Bitcoin wallet ang naglipat ng 18,270 BTC na nagkakahalaga ng humigit-kumulang $1.47 bilyon. Agad na sinimulan ng umaatake ang paghahati-hati ng mga pondo sa mas maliliit na batch ng 1,000 BTC at 100 BTC.
Sa loob ng dalawang minuto, isang Binance wallet sa Tron ang naglipat ng isa pang 612.7 milyong USDT at 46.4 milyong TRX, na nagkakahalaga ng humigit-kumulang $628 milyon sa kabuuan. Ang operasyon sa Ethereum ay naganap halos sabay-sabay.
Pag-activate ng Smart Contract
Sa 20:20 UTC, ang umaatake ay nagsumite ng 50 na naunang nilagdaang EIP-7702 na mga awtorisasyon sa isang Binance hot wallet, na nagpapahintulot dito na i-delegate ang pagpapatupad sa isang nakakapinsalang smart contract. Ang mga awtorisasyon ay sumasaklaw sa sunud-sunod na bilang ng transaksyon, na tinitiyak na ang isa ay tumutugma sa kasalukuyang bilang ng wallet kapag naiproseso.
Tatlong minuto at 24 na segundo mamaya, inactivate ng umaatake ang sweeping function ng kontrata, na naglipat ng 167,464 ETH at 63 token, kabilang ang 1.615 bilyong USDT, sa isang solong transaksyon. Pagkatapos, nagsagawa ang umaatake ng karagdagang sweeps sa 20:41, 20:59, 21:04, 21:44, 22:39 at 23:56 UTC habang mas maraming asset ang pumasok sa nakompromisong wallet.
Mga Resulta at Imbestigasyon
Ang delegated wallet ay nag-ehersisyo din ng umiiral na mga pahintulot nito sa isang hiwalay na Binance smart account, na nagpapadali sa paglilipat ng isa pang 823 milyong USDC. Ang pangalawang alon sa paligid ng 23:05 UTC ay nagpalawak ng operasyon sa karagdagang mga Binance wallets sa Avalanche at Polygon.
Sa 00:30 UTC noong Oktubre 30, nasubaybayan ng TRM ang humigit-kumulang $6.36 bilyon sa mga paglilipat sa Ethereum, Bitcoin, Tron, XRP Ledger, Solana, Arbitrum, Optimism, Base, Avalanche at Polygon. Habang ang mga imbestigador ay muling itinayo ang pagkakasunod-sunod, ang pinagmulan ng mga kinakailangang awtorisasyon na nagbigay-daan sa pag-atake ay nananatiling hindi nalutas.
Sinabi ng mananaliksik ng Ethlabs na si Derek Chiang na maaaring nakuha ng umaatake ang pribadong susi ng wallet o niloko ang may-ari nito na pumirma ng isang nakakapinsalang awtorisasyon. Binibigyang-diin din niya na kinakailangan ng umaatake ang wastong awtorisasyon upang maisagawa ang operasyon ng EIP-7702.
