Взлом Binance показал, как злоумышленник использовал одну успешную авторизацию Ethereum-кошелька, чтобы получить контроль над крупным кошельком биржи, поскольку Binance оценивает, что инцидент безопасности 29 октября затронул криптовалюту на сумму около 6,3 млрд долларов.
Краткое содержание
- Binance оценивает, что инцидент безопасности 29 октября затронул криптовалюту на сумму около 6,3 млрд долларов.
- Blockaid проследила атаку до 50 авторизаций EIP-7702, причём одна из них успешно нацелилась на горячий кошелёк Binance 14.
- Первоначальное расследование Binance указывает на ноутбук скомпрометированного DevOps-инженера, но биржа не обнаружила доказательств утечки приватного ключа.
- Tether и Circle заморозили более 2,3 млрд долларов в стейблкоинах, связанных с атакой, тогда как Binance сообщила о заморозке около 3 млрд долларов по различным активам.
- Binance приостановила депозиты и выводы средств на время проверок безопасности и обязалась покрыть убытки за счёт своего фонда SAFU и корпоративных резервов.
Согласно данным блокчейн-компании по безопасности Blockaid, злоумышленник использовал механизм авторизации EIP-7702 в Ethereum, чтобы перенаправить активно используемый горячий кошелёк Binance 14 на вредоносный смарт-контракт. Злоумышленник отправил 50 авторизаций в одной транзакции, но только одна совпала со счётчиком транзакций кошелька и успешно активировала контракт.
В обновлении по безопасности от 30 октября Binance определила потенциально скомпрометированный ноутбук DevOps-инженера в качестве первоначальной точки входа. Биржа заявила, что около 3 млрд долларов затронутых активов было заморожено, и обязалась покрыть убытки клиентов.
При взломе Binance использовались 50 авторизаций для получения контроля над горячим кошельком
Расследование Blockaid выявило Ethereum-транзакцию, отправленную в 20:20:59 UTC 29 октября, содержащую 50 авторизаций EIP-7702, нацеленных на Binance 14.
EIP-7702 позволяет обычному Ethereum-кошельку делегировать выполнение транзакций коду смарт-контракта. Каждая авторизация должна совпадать с текущим nonce кошелька — счётчиком транзакций, который меняется по мере обработки транзакций аккаунтом.
Поскольку Binance 14 активно обрабатывал выводы средств, злоумышленник не мог надёжно предсказать его nonce. Отправленные авторизации охватывали последовательные значения от 18 914 775 до 18 914 824, что повышало вероятность совпадения одной из них при обработке транзакции в Ethereum.
Успешной оказалась только одна авторизация. Она направила кошелёк на непроверенный контракт, который позволял адресу, контролируемому злоумышленником, выполнить функцию под названием sweep(), переведя ETH и токены ERC-20, сохранив при этом 1 ETH для оплаты комиссий за транзакции.
Вредоносное делегирование могло бы поставить под угрозу последующие депозиты до тех пор, пока Binance его не удалила. Позже биржа подтвердила, что отозвала затронутую авторизацию.
Предыдущие атаки на кошельки EIP-7702 демонстрировали аналогичные риски, включая инцидент 14 октября, в ходе которого скомпрометированный Ethereum-аккаунт потерял около 22 770 долларов в ETH.
Binance заявляет, что скомпрометированный ноутбук мог позволить несанкционированные выводы средств
Предварительное расследование Binance выявило возможную компрометацию ноутбука инженера DevOps, что могло дать злоумышленнику доступ к внутреннему сервисному контейнеру, используемому для отправки транзакций на вывод средств.
Биржа сообщила, что следователи не нашли доказательств утечки каких-либо приватных ключей кошельков, хотя им не удалось точно установить, как злоумышленник получил авторизации, необходимые для перенаправления Binance 14.
Записи блокчейна, изученные Blockaid, показали, что подготовка началась до основной кражи. Злоумышленник пополнил операционный адрес через три вывода из Tornado Cash и развернул вредоносный контракт за несколько часов до его использования против Binance.
Примерно в 20:24 UTC злоумышленник опустошил Binance 14 на криптовалюту стоимостью около 2,5 млрд долларов. Переводы включали 167 464 ETH, более 1,6 млрд USDT и десятки других токенов.
Дополнительные переводы затронули Binance 16 и другой горячий кошелёк Ethereum, содержащий USDC. Операция распространилась на несколько блокчейн-сетей, включая Bitcoin, Tron, Arbitrum и Avalanche.
Предыдущие исследования вредоносных делегирований кошельков выявили автоматизированные контракты, предназначенные для перевода активов со скомпрометированных аккаунтов после обновления Ethereum Pectra.
Tether и Circle заморозили миллиарды, связанные со взломом Binance
После атаки эмитенты криптовалют начали ограничивать доступ к активам, связанным с подозрительными адресами.
Генеральный директор Tether Паоло Ардоино подтвердил, что эмитент стейблкоинов заморозил более 1,567 млрд USDT, связанных с предполагаемой утечкой. Генеральный директор Circle Джереми Аллер отдельно сообщил о заморозке более 800 млн USDC при координации с правоохранительными органами.
Руководитель направления стейблкоинов Ripple Джек Макдональд заявил, что компания работает с соответствующими сторонами над заморозкой затронутых активов RLUSD.
Тем временем Совет по безопасности Arbitrum сообщил о переводе 74 559 805 ARB и 8 425 ETH с адреса, связанного с атакой, на ограниченный промежуточный кошелёк. Организация заявила, что активы могут быть перемещены только после дальнейших действий совета или решения управления Arbitrum DAO.
Согласно последней оценке Binance, скоординированные ответные меры привели к заморозке примерно 3 млрд долларов в затронутых активах.
Binance обещает покрыть убытки, пока расследование продолжается
Binance временно приостановила депозиты и выводы средств на время проведения проверок безопасности и работы с фирмами по блокчейн-аналитике и правоохранительными органами.
Биржа заявила, что использует свой Фонд безопасных активов для пользователей (SAFU) и средства компании для покрытия убытков. Обновлённое доказательство резервов будет опубликовано после завершения восстановительных мероприятий.
Основатель Binance Чанпэн Чжао публично признал предполагаемую утечку, заявив: «Средства пользователей в безопасности!» Он добавил, что больше не управляет биржей, но ожидает, что клиенты будут полностью покрыты.
Американское подразделение биржи отдельно заявило, что его деятельность не пострадала от инцидента.
Binance сообщила, что следователи продолжают устанавливать, как злоумышленник получил доступ к её внутренним системам и получил авторизации кошельков. Компания планирует опубликовать подробный технический разбор после завершения расследования.
