Angrepet på Binance
Angriperen av Binance brukte minst 36 timer på å forberede seg til hackingen av kryptovalutabørsen med en verdi på $6,36 milliarder, som begynte med en drenering av $296 millioner i XRP. Ifølge en etterforskning fra TRM Labs den 29. oktober, startet angriperen forberedelsene den 28. oktober, før han utførte koordinerte overføringer på tvers av 10 blokkjeder kvelden etter.
Forberedelser og utførelse
Det blokkjede-intelligensfirmaet fant at de fleste av midlene forlot Binance-tilknyttede lommebøker innen omtrent 20 minutter, noe som gjorde hendelsen til det største kryptovaluta-tyveriet på rekord. TRM sporet de tidligste forberedelsene til morgenen den 28. oktober, da en angriper-kontrollert lommebok mottok tre små overføringer fra Tornado Cash, en kryptovaluta-blandingsservice.
Tidlig neste dag distribuerte angriperen ondsinnet smart kontraktkode og testet den mot to nyopprettede Ethereum-lommebøker. Angriperen distribuerte deretter en revidert versjon og øvde operasjonen på en tredje lommebok, og overførte vellykket testmidler før han returnerte dem. Omtrent fire timer etter den siste øvelsen begynte hovedangrepet.
Hovedangrepet
Mellom 20:05 og 20:09 UTC overførte fem Binance-lommebøker på XRP Ledger omtrent 233,46 millioner XRP, verdt $296 millioner, til en enkelt angriper-kontrollert adresse. On-chain etterforsker Wazz Crypto kom til en lignende konklusjon, og sa:
«Innen 20:10 UTC hadde mistenkelige overføringer også begynt fra Binance-lommebøker på Solana og Optimism.»
Klokken 20:20 UTC overførte en Binance Bitcoin-lommebok 18,270 BTC, verdt omtrent $1,47 milliarder. Angriperen begynte umiddelbart å dele midlene opp i mindre partier på 1,000 BTC og 100 BTC. Innen to minutter overførte en Binance-lommebok på Tron ytterligere 612,7 millioner USDT og 46,4 millioner TRX, verdt omtrent $628 millioner til sammen.
Avanserte teknikker
Ethereum-operasjonen utspilte seg nesten samtidig. Klokken 20:20 UTC sendte angriperen inn 50 tidligere signerte EIP-7702-autorisasjoner til en Binance varm lommebok, som tillot den å delegere utførelsen til en ondsinnet smart kontrakt. Autorisasjonene dekket påfølgende transaksjonsantall, og sikret at en ville matche lommebokens nåværende antall når den ble behandlet.
Tre minutter og 24 sekunder senere aktiverte angriperen kontraktens sveipingsfunksjon, og overførte 167,464 ETH og 63 tokens, inkludert 1,615 milliarder USDT, i en enkelt transaksjon. Angriperen utførte deretter ytterligere sveipinger klokken 20:41, 20:59, 21:04, 21:44, 22:39 og 23:56 UTC ettersom flere eiendeler kom inn i den kompromitterte lommeboken.
Konsekvenser og etterforskning
Den delegerte lommeboken utøvde også sine eksisterende tillatelser over en separat Binance smart konto, noe som muliggjorde overføringen av ytterligere 823 millioner USDC. En andre bølge rundt 23:05 UTC utvidet operasjonen til flere Binance-lommebøker på Avalanche og Polygon. Innen 00:30 UTC den 30. oktober hadde TRM sporet omtrent $6,36 milliarder i overføringer på tvers av Ethereum, Bitcoin, Tron, XRP Ledger, Solana, Arbitrum, Optimism, Base, Avalanche og Polygon.
Mens etterforskerne har rekonstruert sekvensen, forblir kilden til de nødvendige autorisasjonene som tillot angrepet uløst. Ethlabs-forsker Derek Chiang sa at angriperen kan ha fått tak i lommebokens private nøkkel eller lurt eieren til å signere en ondsinnet autorisasjon. Han understreket også at angriperen trengte gyldig autorisasjon for å utføre EIP-7702-operasjonen.
