Näin Binancen kuuma lompakko tyhjennettiin: yksi Ethereum-transaktio, 50 valtuutusta ja Pohjois-Korean jäljet
- Arkham Intelligencen mukaan 4,9 miljardia dollaria siirtyi pois 14 ensimmäisessä minuutissa ja suurin yksittäinen siirto oli 2,53 miljardia.
- Protosin mukaan hyökkääjä lähetti yhdessä Ethereum-transaktiossa 50 EIP-7702-valtuutusta, joista vain yksi astui voimaan.
- Circle ja Tether jäädyttivät yhteensä noin 2,4 miljardia dollaria, kun Binance puhuu noin kolmesta miljardista kaikkien jäädytysten osalta.
- TRM Labs yhdistää iskun Pohjois-Korean TraderTraitor-ryhmään.
Hyökkääjä tyhjensi yhden Binancen kuumista lompakoista Ethereumin delegointiominaisuudella, mutta Binance sanoo, ettei avaimen vuotamisesta ole todisteita.
Binancen kuuma lompakko tyhjeni kolmessa tunnissa, ja suurin osa rahoista lähti ensimmäisen vartin aikana.
Arkham Intelligence kertoo, että varoja siirrettiin noin 6,3 miljardin dollarin edestä 141 siirrossa yhdeksällä lohkoketjulla torstain ja perjantain välisenä yönä 20.10:n ja 23.05:n välillä UTC-aikaa.
Hyökkääjä siirsi ensimmäiset varat XRP:nä, ja 99Bitcoins kertoo, että lähes 233 miljoonaa XRP-kolikkoa on yhä koskemattomana yhdessä osoitteessa.
Summasta ei ole yksimielisyyttä. Chainalysis ja TRM Labs puhuvat noin 6,4 miljardista dollarista.
Yksi transaktio Ethereumissa
EIP-7702
Ethereumin päivitys, jolla tavallinen osoite voi delegoida toimintansa älysopimuksen koodille. Delegointi pysyy voimassa, kunnes se perutaan. Valtuutuksen allekirjoittaa osoitteen avain. Se tekee tilistä ohjelmoitavan, mutta antaa myös sopimukselle samat oikeudet kuin tilin omistajalla.
Protos kävi läpi iskun Ethereum-osuuden. Hyökkääjä vei ketjuun niin sanotun sweeper-sopimuksen eli älysopimuksen, joka siirtää kaiken osoitteen omaisuuden eteenpäin, ja lähetti yhdessä transaktiossa 50 EIP-7702-valtuutusta Binance 14 -nimiselle kuumalle lompakolle. Jokainen valtuutus oli allekirjoitettu Binance 14:n omalla avaimella, ja useita tarvittiin siksi, että vilkkaasti käytetyn lompakon transaktiolaskurin (nonce) piti osua juuri oikeaan arvoon.
Protosin mukaan täsmälleen yksi valtuutus tuli voimaan, minkä jälkeen sweeper-sopimus ajettiin Binance 14:n nimissä. Muut Binancen lompakot, kuten Binance 16, tyhjennettiin tavallisilla siirroilla ilman delegointia, samoin Base-, Optimism-, Arbitrum-, Avalanche- ja Polygon-ketjuilla.
Tämä sopii huonosti yhteen Binancen oman selityksen kanssa.
Pörssin alustavan tutkinnan mukaan DevOps-insinöörin kannettavaan tietokoneeseen murtauduttiin, ja sen kautta päästiin palvelinkonttiin, josta tehtiin luvattomia nostoja. Binance sanoo, ettei merkkejä lompakon yksityisavaimen vuotamisesta ole löytynyt.
Protosin mukaan ketjusta ei kuitenkaan näe, miten Binance 14:n avain päätyi allekirjoittamaan valtuutukset.
Pohjois-Korean jäljet ja jäädytykset
TRM Labs kertoo yhdistävänsä iskun TraderTraitoriin, Pohjois-Korean valtiollisena pidettyyn hakkeriryhmään, ja sanoo tekevänsä arvion korkealla varmuudella.
Chainalysis ilmoitti perjantaina myös erillisestä tietomurrosta, jossa asiakkaiden nimet ja sähköpostiosoitteet päätyivät ulkopuolisten käsiin. Yhtiö sanoo, ettei tapaus liity Binanceen.
Vakaakolikoiden liikkeeseenlaskijat toimivat nopeasti.
Circlen toimitusjohtaja Jeremy Allaire kertoo yhtiön jäädyttäneen yli 800 miljoonaa dollaria USDC:tä, ja Tetherin toimitusjohtaja Paolo Ardoino ilmoitti jäädytetyn noin 1,57 miljardia dollaria USDT:tä.
Finance Magnates kertoo, että Yhdysvaltain salainen palvelu tekee Circlen kanssa yhteistyötä varojen jäljittämiseksi ja myös FBI on mukana. CoinDesk kertoo, että myös Ripple ja World Liberty Financial jäädyttivät omia tokeneitaan.
Binancen oma jäädytysarvio on suurempi kuin Circlen ja Tetherin yhteissumma, koska se sisältää myös muiden liikkeeseenlaskijoiden ja kumppanien jäädytykset.
Forten pörssiyhteistyöstä vastaava johtaja Anton Golub sanoo CoinDeskille, ettei vielä tiedetä, tarvitaanko varojen palauttamiseen tuomioistuimen määräystä. Hänen mukaansa pienempien hakkerointien uhreille puhutaan usein tuomioistuinmääräyksistä ja oikeudellisista rajoitteista.
– Sääntöjen pitäisi olla kaikille samat, Golub sanoo.
