Cuộc Tấn Công Vào Binance
Kẻ tấn công Binance đã dành ít nhất 36 giờ để chuẩn bị cho cuộc tấn công nhằm vào sàn giao dịch tiền điện tử trị giá 6,36 tỷ USD, bắt đầu với việc rút 296 triệu USD XRP. Theo một cuộc điều tra vào ngày 29 tháng 10 của TRM Labs, kẻ tấn công đã bắt đầu chuẩn bị cho hoạt động này vào ngày 28 tháng 10 trước khi thực hiện các chuyển khoản phối hợp trên 10 blockchain vào tối hôm sau.
Chi Tiết Cuộc Tấn Công
Công ty tình báo blockchain phát hiện rằng hầu hết các quỹ đã rời khỏi các ví liên kết với Binance trong khoảng 20 phút, khiến sự cố này trở thành vụ trộm tiền điện tử lớn nhất trong lịch sử. TRM đã truy vết các hoạt động chuẩn bị sớm nhất vào sáng ngày 28 tháng 10, khi một ví do kẻ tấn công kiểm soát nhận ba chuyển khoản nhỏ từ Tornado Cash, một dịch vụ trộn tiền điện tử.
Sáng hôm sau, kẻ tấn công đã triển khai mã hợp đồng thông minh độc hại và thử nghiệm nó trên hai ví Ethereum mới được tạo. Sau đó, kẻ tấn công đã triển khai một phiên bản sửa đổi và diễn tập hoạt động trên một ví thứ ba, thành công trong việc chuyển các quỹ thử nghiệm trước khi trả lại chúng. Khoảng bốn giờ sau buổi diễn tập cuối cùng đó, cuộc tấn công chính thức bắt đầu.
Quá Trình Thực Hiện Cuộc Tấn Công
Giữa 20:05 và 20:09 UTC, năm ví Binance trên XRP Ledger đã chuyển khoảng 233,46 triệu XRP, trị giá 296 triệu USD, vào một địa chỉ do kẻ tấn công kiểm soát. Nhà điều tra on-chain Wazz Crypto đã đưa ra kết luận tương tự, cho biết rằng đến 20:10 UTC, các chuyển khoản đáng ngờ cũng đã bắt đầu từ các ví Binance trên Solana và Optimism.
Vào lúc 20:20 UTC, một ví Bitcoin của Binance đã chuyển 18,270 BTC, trị giá khoảng 1,47 tỷ USD. Kẻ tấn công ngay lập tức bắt đầu chia nhỏ các quỹ thành các lô nhỏ hơn 1,000 BTC và 100 BTC. Trong vòng hai phút, một ví Binance trên Tron đã chuyển thêm 612,7 triệu USDT và 46,4 triệu TRX, tổng trị giá khoảng 628 triệu USD.
Hoạt động trên Ethereum diễn ra gần như đồng thời. Vào lúc 20:20 UTC, kẻ tấn công đã gửi 50 ủy quyền EIP-7702 đã ký trước đó đến một ví nóng của Binance, cho phép nó ủy quyền thực hiện cho một hợp đồng thông minh độc hại. Các ủy quyền này bao gồm số lượng giao dịch liên tiếp, đảm bảo rằng một trong số đó sẽ khớp với số lượng hiện tại của ví khi được xử lý.
Kết Quả Cuộc Tấn Công
Ba phút và 24 giây sau đó, kẻ tấn công đã kích hoạt chức năng quét của hợp đồng, chuyển 167,464 ETH và 63 token, bao gồm 1,615 tỷ USDT, trong một giao dịch duy nhất. Kẻ tấn công sau đó đã thực hiện thêm các lần quét vào các thời điểm 20:41, 20:59, 21:04, 21:44, 22:39 và 23:56 UTC khi nhiều tài sản hơn đã vào ví bị xâm phạm.
Ví được ủy quyền cũng đã sử dụng quyền hạn hiện có của nó đối với một tài khoản thông minh Binance riêng biệt, tạo điều kiện cho việc chuyển thêm 823 triệu USDC. Một làn sóng thứ hai vào khoảng 23:05 UTC đã mở rộng hoạt động đến các ví Binance bổ sung trên Avalanche và Polygon.
Đến 00:30 UTC ngày 30 tháng 10, TRM đã truy vết khoảng 6,36 tỷ USD trong các chuyển khoản trên Ethereum, Bitcoin, Tron, XRP Ledger, Solana, Arbitrum, Optimism, Base, Avalanche và Polygon.
Những Vấn Đề Còn Bỏ Ngỏ
Trong khi các nhà điều tra đã tái tạo lại chuỗi sự kiện, nguồn gốc của các ủy quyền cần thiết cho phép cuộc tấn công vẫn chưa được làm rõ. Nhà nghiên cứu Ethlabs, Derek Chiang, cho biết kẻ tấn công có thể đã lấy được khóa riêng của ví hoặc lừa chủ sở hữu ký một ủy quyền độc hại. Ông cũng nhấn mạnh rằng kẻ tấn công cần có ủy quyền hợp lệ để thực hiện hoạt động EIP-7702.
