L'hack di Binance: un drenaggio di $296 milioni in XRP dopo 36 ore di preparazione

Introduzione all'Attacco a Binance

L'attacco a Binance ha visto l'autore impegnarsi per almeno 36 ore nella preparazione del furto della crypto exchange, che ammonta a $6,36 miliardi, iniziato con un drenaggio di $296 milioni in XRP.

Preparazione e Svolgimento dell'Attacco

Secondo un'indagine condotta il 29 ottobre da TRM Labs, l'attaccante ha avviato i preparativi il 28 ottobre, prima di eseguire trasferimenti coordinati su dieci blockchain la sera successiva. La società di intelligence blockchain ha rilevato che la maggior parte dei fondi è stata trasferita dai portafogli collegati a Binance in circa 20 minuti, rendendo questo incidente il furto di criptovalute più grande mai registrato.

"TRM ha rintracciato i primi preparativi alla mattina del 28 ottobre, quando un portafoglio controllato dall'attaccante ha ricevuto tre piccoli trasferimenti da Tornado Cash, un servizio di mixing di criptovalute."

Nella mattina successiva, l'attaccante ha distribuito codice di smart contract malevolo e lo ha testato su due portafogli Ethereum appena creati. Successivamente, ha distribuito una versione rivista e ha testato l'operazione su un terzo portafoglio, trasferendo con successo fondi di prova prima di restituirli. Circa quattro ore dopo quell'ultima prova, è iniziato l'attacco principale.

Dettagli dell'Attacco

Tra le 20:05 e le 20:09 UTC, cinque portafogli Binance sul XRP Ledger hanno trasferito circa 233,46 milioni di XRP, del valore di $296 milioni, in un singolo indirizzo controllato dall'attaccante. L'investigatore on-chain Wazz Crypto ha raggiunto una conclusione simile, affermando che entro le 20:10 UTC erano iniziati anche trasferimenti sospetti da portafogli Binance su Solana e Optimism.

Alle 20:20 UTC, un portafoglio Bitcoin di Binance ha trasferito 18.270 BTC, del valore di circa $1,47 miliardi. L'attaccante ha immediatamente iniziato a suddividere i fondi in lotti più piccoli di 1.000 BTC e 100 BTC. Entro due minuti, un portafoglio Binance su Tron ha trasferito ulteriori 612,7 milioni di USDT e 46,4 milioni di TRX, per un valore complessivo di circa $628 milioni.

L'operazione su Ethereum si è svolta quasi simultaneamente. Alle 20:20 UTC, l'attaccante ha inviato 50 autorizzazioni EIP-7702 precedentemente firmate a un portafoglio hot di Binance, consentendogli di delegare l'esecuzione a uno smart contract malevolo. Le autorizzazioni coprivano conteggi di transazioni consecutive, assicurando che una corrispondesse al conteggio attuale del portafoglio quando elaborata.

Conclusione e Implicazioni

Tre minuti e 24 secondi dopo, l'attaccante ha attivato la funzione di sweeping del contratto, trasferendo 167.464 ETH e 63 token, inclusi 1,615 miliardi di USDT, in un'unica transazione. L'attaccante ha successivamente eseguito ulteriori sweeping alle 20:41, 20:59, 21:04, 21:44, 22:39 e 23:56 UTC mentre più asset entravano nel portafoglio compromesso.

"Sebbene gli investigatori abbiano ricostruito la sequenza degli eventi, la fonte delle autorizzazioni necessarie che hanno consentito l'attacco rimane irrisolta."

Il ricercatore di Ethlabs Derek Chiang ha affermato che l'attaccante potrebbe aver ottenuto la chiave privata del portafoglio o aver ingannato il proprietario a firmare un'autorizzazione malevola. Ha anche sottolineato che l'attaccante aveva bisogno di un'autorizzazione valida per eseguire l'operazione EIP-7702.