„Binance“ įsilaužimas prasidėjo nuo 296 mln. USD XRP nutekėjimo
„Binance“ užpuolikas praleido mažiausiai 36 valandas ruošdamasis 6,36 mlrd. USD vertės kriptovaliutų įsilaužimui, kuris prasidėjo nuo 296 mln. USD XRP.
Remiantis TRM Labs spalio 29 d. atliktu tyrimu, užpuolikas pradėjo ruoštis operacijai spalio 28 d., o kitą vakarą atliko suderintus perkėlimus per 10 blokų grandinių.
„Blockchain“ žvalgybos įmonė nustatė, kad didžioji dalis lėšų iš „Binance“ susietų piniginių paliko maždaug per 20 minučių, todėl incidentas tapo didžiausia kriptovaliutų vagyste.
Kaip Binance ataka atsiskleidė 10 blokų grandinių
TRM atsekė pirmuosius pasiruošimo darbus spalio 28 d. ryte, kai užpuoliko valdoma piniginė gavo tris nedidelius pervedimus iš kriptovaliutų maišymo paslaugos „Tornado Cash“.
Kitos dienos pradžioje užpuolikas įdiegė kenkėjišką išmaniosios sutarties kodą ir išbandė jį su dviem naujai sukurtomis „Ethereum“ piniginėmis.
Vėliau užpuolikas įdiegė pataisytą versiją ir repetavo operaciją trečiojoje piniginėje, sėkmingai pervesdamas bandomąsias lėšas prieš jas grąžindamas.
Praėjus maždaug keturioms valandoms po paskutinės repeticijos, prasidėjo pagrindinė ataka.
Nuo 20:05 iki 20:09 UTC penkios „Binance“ piniginės XRP Ledger pervedė maždaug 233,46 mln. XRP, kurių vertė 296 mln. USD, į vieną užpuoliko valdomą adresą.
Tinklas tyrėjas Wazz Crypto padarė panašią išvadą, sakydamas:
„Iš tikrųjų tai buvo kanarėlė anglies kasykloje, nes „Ripple“ įsilaužimas (sic) prasidėjo 10 minučių anksčiau nei visos kitos grandinės.
Iki 20:10 UTC įtartini pervedimai taip pat prasidėjo iš Binance piniginių Solana ir Optimism.
20:20 UTC „Binance Bitcoin“ piniginė pervedė 18 270 BTC, kurių vertė yra maždaug 1,47 mlrd. Užpuolikas nedelsdamas pradėjo dalyti lėšas į mažesnes 1000 BTC ir 100 BTC partijas.
Per dvi minutes „Binance“ piniginė „Tron“ pervedė dar 612,7 mln. USD ir 46,4 mln. TRX, kurių bendra vertė yra maždaug 628 mln. USD.
Ethereum operacija vyko beveik vienu metu.
20:20 UTC užpuolikas pateikė 50 anksčiau pasirašytų EIP-7702 įgaliojimų „Binance“ karštajai piniginei, leisdamas jai perduoti vykdymą kenkėjiškai išmaniajai sutarčiai.
Įgaliojimai apėmė nuoseklų operacijų skaičių, užtikrinant, kad jos atitiktų dabartinį piniginės skaičių apdorojant.
Po trijų minučių ir 24 sekundžių užpuolikas suaktyvino sutarties valymo funkciją, per vieną operaciją pervesdamas 167 464 ETH ir 63 žetonus, įskaitant 1,615 milijardo USDT.
Vėliau užpuolikas atliko papildomus šlavimus 20:41, 20:59, 21:04, 21:44, 22:39 ir 23:56 UTC, nes į pažeistą piniginę pateko daugiau turto.
Perduota piniginė taip pat pasinaudojo turimais leidimais per atskirą „Binance“ išmaniąją paskyrą, palengvindama dar 823 mln. USDC pervedimą.
Antroji banga apie 23:05 UTC išplėtė operaciją į papildomas „Binance“ pinigines „Avalanche“ ir „Polygon“.
Iki spalio 30 d. 00:30 UTC TRM atsekė maždaug 6,36 mlrd. USD pervedimų per Ethereum, Bitcoin, Tron, XRP Ledger, Solana, Arbitrum, Optimism, Base, Avalanche ir Polygon.
Nors tyrėjai atkūrė seką, reikalingų leidimų, leidusių įvykdyti ataką, šaltinis lieka neišspręstas.
Ethlabs tyrėjas Derekas Chiangas teigė, kad užpuolikas galėjo gauti piniginės privatų raktą arba apgauti jos savininką pasirašyti piktavališką įgaliojimą. Jis taip pat pabrėžė, kad užpuolikui reikalingas galiojantis leidimas atlikti EIP-7702 operaciją.
