Binance-hyökkäys: Taustat ja valmistelut
Binance-hyökkääjä käytti vähintään 36 tuntia valmistautuakseen hyökkäykseen, joka kohdistui 6,36 miljardin dollarin arvoiseen kryptovaluuttapörssiin. Hyökkäys alkoi 296 miljoonan dollarin XRP-vetäytymisellä. TRM Labsin 29. lokakuuta tekemän tutkimuksen mukaan hyökkääjä aloitti valmistelut 28. lokakuuta ennen koordinoitujen siirtojen toteuttamista kymmenellä lohkoketjulla seuraavana iltana.
Hyökkäyksen toteutus
Lohkoketjutiedusteluyritys havaitsi, että suurin osa varoista poistui Binanceen liittyvistä lompakoista noin 20 minuutissa, mikä teki tapahtumasta historian suurimman kryptovaluuttavarkauden. TRM jäljitti aikaisimmat valmistelut 28. lokakuuta aamulle, jolloin hyökkääjän hallitsema lompakko sai kolme pientä siirtoa Tornado Cashilta, kryptovaluuttasekoituspalvelulta.
Seuraavana päivänä hyökkääjä julkaisi haitallista älysopimuskoodia ja testasi sitä kahta tuoreesti luotua Ethereum-lompakkoa vastaan. Hyökkääjä julkaisi sen jälkeen tarkistetun version ja harjoitteli operaatiota kolmannella lompakolla, siirtäen onnistuneesti testivaroja ennen niiden palauttamista. Noin neljä tuntia tämän viimeisen harjoituksen jälkeen päähyökkäys alkoi.
Siirrot ja varojen jakaminen
Aikavälillä 20:05 ja 20:09 UTC viisi Binance-lompakkoa XRP Ledgerillä siirsi noin 233,46 miljoonaa XRP:tä, arvoltaan 296 miljoonaa dollaria, yhteen hyökkääjän hallitsemaan osoitteeseen. On-chain-tutkija Wazz Crypto päätyi samankaltaiseen johtopäätökseen, todeten:
”20:10 UTC:ksi epäilyttävät siirrot olivat myös alkaneet Binance-lompakoista Solanalla ja Optimismilla.”
20:20 UTC:na Binance Bitcoin -lompakko siirsi 18 270 BTC:tä, arvoltaan noin 1,47 miljardia dollaria. Hyökkääjä alkoi heti jakaa varat pienempiin eriin, 1 000 BTC:hen ja 100 BTC:hen. Kahden minuutin sisällä Binance-lompakko Tronilla siirsi vielä 612,7 miljoonaa USDT:tä ja 46,4 miljoonaa TRX:ää, yhteisarvoltaan noin 628 miljoonaa dollaria.
Älysopimusten käyttö ja lisätoimet
Ethereum-operaatio kehittyi lähes samanaikaisesti. 20:20 UTC:na hyökkääjä toimitti 50 aiemmin allekirjoitettua EIP-7702-valtuutusta Binance-kuumalle lompakolle, mikä mahdollisti sen delegoida toteutuksen haitalliselle älysopimukselle. Valtuutukset kattoivat peräkkäiset transaktiomäärät varmistaen, että yksi niistä vastasi lompakon nykyistä määrää käsittelyn aikana.
Kolme minuuttia ja 24 sekuntia myöhemmin hyökkääjä aktivoi sopimuksen pyyhkäisytoiminnon, siirtäen 167 464 ETH:tä ja 63 tokenia, mukaan lukien 1,615 miljardia USDT:tä, yhdessä transaktiossa. Hyökkääjä suoritti sen jälkeen lisäpyyhkäisyjä 20:41, 20:59, 21:04, 21:44, 22:39 ja 23:56 UTC, kun lisää varoja saapui vaarantuneeseen lompakkoon.
Delegoitu lompakko käytti myös olemassa olevia valtuuksiaan erillisessä Binance-älytilissä, helpottaen toisen 823 miljoonan USDC:n siirtoa. Toinen aalto noin 23:05 UTC laajensi operaatiota lisä-Binance-lompakoihin Avalanchella ja Polygonilla.
Yhteenveto ja tutkimuksen haasteet
30. lokakuuta klo 00:30 UTC TRM oli jäljittänyt noin 6,36 miljardin dollarin siirtoja Ethereumissa, Bitcoinissa, Tronissa, XRP Ledgerissä, Solanassa, Arbitrumissa, Optimismissa, Base:ssa, Avalanche:ssa ja Polygonissa. Vaikka tutkijat ovat rekonstruoineet sekvenssin, hyökkäyksen mahdollistaneiden valtuutusten lähde on edelleen ratkaisematta.
Ethlabsin tutkija Derek Chiang totesi, että hyökkääjä olisi voinut hankkia lompakon yksityisen avaimen tai huijata sen omistajaa allekirjoittamaan haitallisen valtuutuksen. Hän korosti myös, että hyökkääjän tarvitsi olla voimassa oleva valtuutus EIP-7702-operaation toteuttamiseksi.
