O hack da Binance expôs como um atacante usou uma única autorização bem-sucedida de carteira Ethereum para assumir o controle de uma importante carteira da exchange, enquanto a Binance estima que a violação de segurança de 29 de outubro afetou aproximadamente US$ 6,3 bilhões em criptomoedas.
Resumo
- A Binance estima que o incidente de segurança de 29 de outubro afetou cerca de US$ 6,3 bilhões em criptomoedas.
- A Blockaid rastreou o ataque até 50 autorizações EIP-7702, com uma delas atingindo com sucesso a hot wallet Binance 14.
- A investigação inicial da Binance aponta para o laptop comprometido de um engenheiro DevOps, mas a exchange não encontrou evidências de vazamento de chave privada.
- A Tether e a Circle congelaram mais de US$ 2,3 bilhões em stablecoins ligadas ao ataque, enquanto a Binance relatou aproximadamente US$ 3 bilhões congelados em ativos.
- A Binance suspendeu depósitos e saques durante as verificações de segurança e prometeu cobrir as perdas por meio de seu fundo SAFU e reservas da empresa.
De acordo com a empresa de segurança blockchain Blockaid, o atacante explorou o mecanismo de autorização EIP-7702 do Ethereum para redirecionar a amplamente utilizada hot wallet Binance 14 da Binance para um contrato inteligente malicioso. O atacante enviou 50 autorizações em uma única transação, mas apenas uma correspondia ao contador de transações da carteira e ativou o contrato com sucesso.
A atualização de segurança da Binance de 30 de outubro identificou o laptop potencialmente comprometido de um engenheiro DevOps como o ponto de entrada inicial. A exchange afirmou que aproximadamente US$ 3 bilhões em ativos afetados haviam sido congelados e prometeu cobrir as perdas dos clientes.
Hack da Binance usou 50 autorizações para assumir o controle da hot wallet
A investigação da Blockaid identificou uma transação Ethereum enviada às 20:20:59 UTC de 29 de outubro, contendo 50 autorizações EIP-7702 direcionadas à Binance 14.
O EIP-7702 permite que uma carteira Ethereum comum delegue a execução de transações a código de contrato inteligente. Cada autorização deve corresponder ao nonce atual da carteira, um contador de transações que muda à medida que a conta processa transações.
Como a Binance 14 estava processando saques ativamente, o atacante não podia prever seu nonce de forma confiável. As autorizações enviadas cobriam valores consecutivos entre 18.914.775 e 18.914.824, aumentando a chance de que uma correspondesse quando o Ethereum processasse a transação.
Apenas uma autorização teve sucesso. Ela direcionou a carteira para um contrato não verificado que permitia a um endereço controlado pelo atacante executar uma função chamada sweep(), transferindo ETH e tokens ERC-20 enquanto retinha 1 ETH para taxas de transação.
A delegação maliciosa poderia ter exposto depósitos subsequentes até que a Binance a removesse. A exchange confirmou posteriormente que havia revogado a autorização afetada.
Ataques anteriores à carteira EIP-7702 já haviam demonstrado riscos semelhantes, incluindo um incidente em 14 de outubro no qual uma conta Ethereum comprometida perdeu aproximadamente US$ 22.770 em ETH.
Binance afirma que laptop comprometido pode ter possibilitado saques não autorizados
A investigação preliminar da Binance identificou um possível comprometimento do laptop de um engenheiro de DevOps, o que pode ter dado ao atacante acesso a um contêiner de serviço interno usado para enviar transações de saque.
A exchange disse que os investigadores não encontraram evidências de que qualquer chave privada de carteira tenha vazado, embora não tenham estabelecido com precisão como o atacante obteve as autorizações necessárias para redirecionar a Binance 14.
Registros de blockchain examinados pela Blockaid mostraram preparativos começando antes do roubo principal. O atacante financiou um endereço operacional por meio de três saques do Tornado Cash e implantou o contrato malicioso várias horas antes de usá-lo contra a Binance.
Por volta das 20:24 UTC, o atacante drenou da Binance 14 criptomoedas no valor de aproximadamente US$ 2,5 bilhões. As transferências incluíram 167.464 ETH, mais de 1,6 bilhão de USDT e dezenas de outros tokens.
Transferências adicionais envolveram a Binance 16 e outra hot wallet Ethereum contendo USDC. A operação se espalhou por várias redes blockchain, incluindo Bitcoin, Tron, Arbitrum e Avalanche.
Pesquisas anteriores sobre delegações maliciosas de carteiras haviam identificado contratos automatizados projetados para transferir ativos de contas comprometidas após a atualização Pectra do Ethereum.
Tether e Circle congelam bilhões ligados ao hack da Binance
Após o ataque, emissores de criptomoedas começaram a restringir o acesso a ativos associados a endereços suspeitos.
O CEO da Tether, Paolo Ardoino, confirmou que a emissora da stablecoin congelou mais de 1,567 bilhão de USDT conectados à suspeita de violação. O CEO da Circle, Jeremy Allaire, separadamente relatou o congelamento de mais de 800 milhões de USDC enquanto coordenava com as autoridades policiais.
O executivo de stablecoin da Ripple, Jack McDonald, disse que a empresa estava trabalhando com as partes relevantes para congelar as participações afetadas de RLUSD.
Enquanto isso, o Conselho de Segurança da Arbitrum relatou a transferência de 74.559.805 ARB e 8.425 ETH de um endereço ligado ao ataque para uma carteira intermediária restrita. A organização disse que os ativos só poderiam se mover após uma nova ação do conselho ou uma decisão de governança do Arbitrum DAO.
A resposta coordenada deixou aproximadamente US$ 3 bilhões congelados entre os ativos afetados, de acordo com a estimativa mais recente da Binance.
Binance promete cobrir perdas enquanto a investigação continua
A Binance suspendeu temporariamente depósitos e saques enquanto realizava verificações de segurança e trabalhava com empresas de inteligência de blockchain e autoridades policiais.
A exchange disse que usaria seu Fundo de Ativos Seguros para Usuários (SAFU) e fundos da empresa para cobrir as perdas. Uma Prova de Reservas atualizada será publicada assim que a remediação for concluída.
O fundador da Binance, Changpeng Zhao, reconheceu publicamente a suspeita de violação, dizendo: “Os fundos dos usuários estão seguros!” Ele acrescentou que não administrava mais a exchange, mas esperava que os clientes fossem totalmente cobertos.
A afiliada americana da exchange declarou separadamente que suas operações não foram afetadas pelo incidente.
A Binance disse que os investigadores continuavam a estabelecer como o atacante acessou seus sistemas internos e obteve as autorizações da carteira. A empresa planeja publicar um post-mortem técnico detalhado após concluir sua investigação.
