Однако если система управления хранилищем скомпрометирована, такой механизм позволяет злоумышленникам проводить многочисленные переводы без дополнительных подтверждений.
Именно это произошло с горячим кошельком Binance 14, через который площадка обрабатывала клиентские выводы.
Как хакеры вывели миллиарды за несколько минут
По данным Blockaid, 29 октября около 20:20 UTC злоумышленники отправили транзакцию с 50 разрешениями EIP-7702, которые подписала скомпрометированная инфраструктура Binance.
Каждое из них соответствовало определенному порядковому номеру операции кошелька. Адрес был постоянно активен, поэтому атакующие не знали, какая из подписей окажется действительной, и в итоге сработала только одна. Так управление кошельком перешло к вредоносному смарт-контракту. За установку делегирования хакеры заплатили около $15 сетевой комиссии.
Сама операция не предусматривала перевода средств, но дала атакующим возможность распоряжаться активами Binance 14.
Спустя три минуты и 24 секунды, в 20:24 UTC, злоумышленники активировали вредоносный контракт и одной транзакцией вывели 167 464 ETH, около 1,615 млрд USDT и около 60 других токенов. Общая стоимость похищенных активов составила примерно $2,5 млрд.
Технический директор компании Hypernative Дэн Каспи в комментарии Bloomberg объяснил, что EIP-7702 позволил хакерам ускорить вывод средств и сохранить контроль над кошельком даже после обнаружения атаки.
Почему Binance не смогла сразу остановить переводы
Главная проблема заключалась в том, что разрешение продолжало действовать непосредственно в блокчейне Ethereum, независимо от внутренних систем биржи. Пока на адрес Binance 14 поступали новые средства, атакующие могли выводить их без повторного доступа к системе подписания транзакций.
По оценке Elliptic, с помощью этого механизма хакеры в общей сложности переместили около $3,6 млрд, включая первоначальные $2,5 млрд. Еще $823 млн злоумышленники вывели из другого кошелька Binance.
Как биржа отзывала полномочия, Binance рассказала в предварительном отчете о взломе. Последний несанкционированный перевод прошел в 23:56 UTC 29 октября, а делегирование удалось удалить в 00:10 UTC следующего дня.
Представитель Binance подтвердил Bloomberg, что механизм EIP-7702 сыграл значительную роль во взломе.
По его словам, биржа уже отозвала вредоносные разрешения, перестроила затронутую инфраструктуру и усилила контроль над подписанием транзакций. Кроме того, Binance внедрила новые инструменты мониторинга и экстренного отзыва полномочий.
При этом атака не была связана со взломом криптографии Ethereum: злоумышленники использовали действительные разрешения, полученные благодаря компрометации внутренних систем Binance.
Последствия атаки
По данным Binance, около $2,85 млрд похищенных средств удалось заморозить или перехватить при содействии эмитентов токенов и других участников отрасли. Биржа взяла на себя финансовые последствия инцидента.
ФБР возложило ответственность за атаку на северокорейскую группировку TraderTraitor, связанную с Lazarus. Власти КНДР отвергли обвинения.
Напомним, после возобновления свопов в THORChain связанные со взломом Binance кошельки продолжили конвертировать похищенные средства в биткоин. Ранее сбой в протоколе замедлил их отмывание.
forklog.com
