Włamanie do Binance ujawniło, w jaki sposób atakujący wykorzystał pojedynczą udaną autoryzację portfela Ethereum, aby przejąć kontrolę nad portfelem głównej giełdy, podczas gdy Binance szacuje, że naruszenie bezpieczeństwa z 29 października dotyczyło około 6,3 miliarda dolarów w kryptowalutach.
Podsumowanie
- Binance szacuje, że incydent bezpieczeństwa z 29 października dotyczył około 6,3 miliarda dolarów w kryptowalutach.
- Blockaid prześledził atak do 50 autoryzacji EIP-7702, z których jedna skutecznie obrała za cel gorący portfel Binance 14.
- Wstępne dochodzenie Binance wskazuje na laptopa inżyniera DevOps, który został przejęty, ale giełda nie znalazła dowodów na wyciek klucza prywatnego.
- Tether i Circle zamroziły ponad 2,3 miliarda dolarów w stablecoinach powiązanych z atakiem, podczas gdy Binance zgłosiła zamrożenie około 3 miliardów dolarów w różnych aktywach.
- Binance zawiesiła depozyty i wypłaty podczas kontroli bezpieczeństwa i zobowiązała się pokryć straty ze swojego funduszu SAFU oraz rezerw spółki.
Według firmy zajmującej się bezpieczeństwem blockchain Blockaid, atakujący wykorzystał mechanizm autoryzacji EIP-7702 Ethereum, aby przekierować intensywnie używany gorący portfel Binance 14 do złośliwego kontraktu inteligentnego. Atakujący przesłał 50 autoryzacji w jednej transakcji, ale tylko jedna z nich odpowiadała licznikowi transakcji portfela i skutecznie aktywowała kontrakt.
Aktualizacja bezpieczeństwa Binance z 30 października zidentyfikowała potencjalnie przejęty laptop inżyniera DevOps jako początkowy punkt wejścia. Giełda poinformowała, że zamrożono około 3 miliardów dolarów w dotkniętych aktywach i zobowiązała się pokryć straty klientów.
Włamanie do Binance wykorzystało 50 autoryzacji do przejęcia kontroli nad gorącym portfelem
Dochodzenie Blockaid zidentyfikowało transakcję Ethereum przesłaną o 20:20:59 UTC 29 października, zawierającą 50 autoryzacji EIP-7702 skierowanych do Binance 14.
EIP-7702 pozwala zwykłemu portfelowi Ethereum delegować wykonywanie transakcji do kodu kontraktu inteligentnego. Każda autoryzacja musi odpowiadać bieżącemu nonce portfela, licznikowi transakcji, który zmienia się w miarę przetwarzania transakcji przez konto.
Ponieważ Binance 14 aktywnie obsługiwał wypłaty, atakujący nie mógł wiarygodnie przewidzieć jego nonce. Przesłane autoryzacje obejmowały kolejne wartości między 18 914 775 a 18 914 824, zwiększając szansę, że jedna z nich będzie pasować, gdy Ethereum przetworzy transakcję.
Tylko jedna autoryzacja się powiodła. Skierowała portfel do niezweryfikowanego kontraktu, który pozwolił adresowi kontrolowanemu przez atakującego wykonać funkcję o nazwie sweep(), przenosząc ETH i tokeny ERC-20, zachowując 1 ETH na opłaty transakcyjne.
Złośliwa delegacja mogła narazić kolejne depozyty, dopóki Binance jej nie usunęła. Giełda później potwierdziła, że unieważniła dotkniętą autoryzację.
Wcześniejsze ataki na portfele EIP-7702 wykazały podobne ryzyko, w tym incydent z 14 października, w którym przejęte konto Ethereum straciło około 22 770 dolarów w ETH.
Binance twierdzi, że zhakowany laptop mógł umożliwić nieautoryzowane wypłaty
Wstępne dochodzenie Binance zidentyfikowało możliwe naruszenie bezpieczeństwa laptopa inżyniera DevOps, co mogło dać atakującemu dostęp do wewnętrznego kontenera usług używanego do przesyłania transakcji wypłat.
Giełda poinformowała, że śledczy nie znaleźli dowodów na wyciek jakiegokolwiek klucza prywatnego portfela, choć nie ustalili dokładnie, w jaki sposób atakujący uzyskał autoryzacje potrzebne do przekierowania Binance 14.
Zbadane przez Blockaid zapisy blockchain pokazały przygotowania rozpoczęte przed główną kradzieżą. Atakujący zasilił adres operacyjny poprzez trzy wypłaty z Tornado Cash i wdrożył złośliwy kontrakt kilka godzin przed użyciem go przeciwko Binance.
Około 20:24 UTC atakujący opróżnił Binance 14 z kryptowalut o wartości około 2,5 miliarda dolarów. Przelewy obejmowały 167 464 ETH, ponad 1,6 miliarda USDT i dziesiątki innych tokenów.
Dodatkowe przelewy dotyczyły Binance 16 i innego gorącego portfela Ethereum zawierającego USDC. Operacja rozprzestrzeniła się na kilka sieci blockchain, w tym Bitcoin, Tron, Arbitrum i Avalanche.
Wcześniejsze badania nad złośliwymi delegacjami portfeli zidentyfikowały zautomatyzowane kontrakty zaprojektowane do transferu aktywów ze skompromitowanych kont po aktualizacji Ethereum Pectra.
Tether i Circle zamrażają miliardy powiązane z atakiem na Binance
Po ataku emitenci kryptowalut zaczęli ograniczać dostęp do aktywów powiązanych z podejrzanymi adresami.
Dyrektor generalny Tether, Paolo Ardoino, potwierdził, że emitent stablecoinów zamroził ponad 1,567 miliarda USDT powiązanych z podejrzewanym naruszeniem. Dyrektor generalny Circle, Jeremy Allaire, osobno poinformował o zamrożeniu ponad 800 milionów USDC, koordynując działania z organami ścigania.
Dyrektor ds. stablecoinów w Ripple, Jack McDonald, powiedział, że firma współpracuje z odpowiednimi stronami w celu zamrożenia dotkniętych zasobów RLUSD.
Tymczasem Rada Bezpieczeństwa Arbitrum poinformowała o przeniesieniu 74 559 805 ARB i 8 425 ETH z adresu powiązanego z atakiem do zastrzeżonego portfela pośredniczącego. Organizacja podała, że aktywa będą mogły zostać przeniesione wyłącznie po dalszych działaniach rady lub decyzji zarządczej Arbitrum DAO.
Skoordynowana reakcja pozostawiła około 3 miliardów dolarów zamrożonych w dotkniętych aktywach, według najnowszych szacunków Binance.
Binance obiecuje pokryć straty w miarę kontynuowania dochodzenia
Binance tymczasowo zawiesiła depozyty i wypłaty podczas przeprowadzania kontroli bezpieczeństwa i współpracy z firmami zajmującymi się analityką blockchain oraz organami ścigania.
Giełda poinformowała, że wykorzysta swój Fundusz Bezpiecznych Aktywów dla Użytkowników (SAFU) oraz fundusze firmy do pokrycia strat. Zaktualizowany dowód rezerw zostanie opublikowany po zakończeniu działań naprawczych.
Założyciel Binance, Changpeng Zhao, publicznie potwierdził podejrzewane naruszenie, mówiąc: „Środki użytkowników są bezpieczne!” Dodał, że nie zarządza już giełdą, ale oczekuje, że klienci zostaną w pełni pokryci.
Amerykański oddział giełdy osobno oświadczył, że jego działalność nie została dotknięta incydentem.
Binance poinformowała, że śledczy nadal ustalają, w jaki sposób atakujący uzyskał dostęp do jej systemów wewnętrznych i uzyskał autoryzacje portfeli. Firma planuje opublikować szczegółowy techniczny raport powłamaniowy po zakończeniu dochodzenia.
