Взлом Binance: как утечка $296 миллионов XRP привела к крупнейшей краже криптовалюты в истории

Подготовка к атаке на Binance

Атакующий Binance потратил как минимум 36 часов на подготовку к взлому криптобиржи, в результате которого было похищено $6.36 миллиардов. Инцидент начался с утечки $296 миллионов в XRP. Согласно расследованию TRM Labs от 29 октября, подготовка операции началась 28 октября, а скоординированные переводы через 10 блокчейнов были осуществлены на следующий вечер. Блокчейн-аналитическая компания обнаружила, что большая часть средств покинула кошельки, связанные с Binance, всего за 20 минут, что сделало этот инцидент крупнейшей кражей криптовалюты в истории.

Ход операции

TRM проследила за первыми шагами атакующего к утру 28 октября, когда кошелек, контролируемый злоумышленником, получил три небольших перевода от Tornado Cash, сервиса смешивания криптовалют. Рано утром следующего дня атакующий развернул вредоносный код смарт-контракта и протестировал его на двух вновь созданных кошельках Ethereum. Затем он развернул исправленную версию и репетировал операцию на третьем кошельке, успешно переведя тестовые средства перед их возвратом. Примерно через четыре часа после этой финальной репетиции началась основная атака.

С 20:05 до 20:09 UTC пять кошельков Binance в XRP Ledger перевели примерно 233.46 миллиона XRP, стоимостью $296 миллионов, на один адрес, контролируемый атакующим.

Онлайн-исследователь Wazz Crypto пришел к аналогичному выводу, отметив, что к 20:10 UTC также начались подозрительные переводы из кошельков Binance на Solana и Optimism. В 20:20 UTC кошелек Binance для Bitcoin перевел 18,270 BTC на сумму примерно $1.47 миллиарда. Атакующий немедленно начал делить средства на более мелкие партии по 1,000 BTC и 100 BTC. В течение двух минут кошелек Binance на Tron перевел еще 612.7 миллиона USDT и 46.4 миллиона TRX, что в совокупности составило примерно $628 миллионов.

Дальнейшие действия атакующего

Операция с Ethereum развивалась почти одновременно. В 20:20 UTC атакующий подал 50 ранее подписанных авторизаций EIP-7702 в горячий кошелек Binance, что позволило ему делегировать выполнение вредоносному смарт-контракту. Авторизации охватывали последовательные количества транзакций, обеспечивая соответствие одной из них текущему количеству кошелька при обработке. Три минуты и 24 секунды спустя атакующий активировал функцию «сметания» контракта, переведя 167,464 ETH и 63 токена, включая 1.615 миллиарда USDT, в одной транзакции. Затем он выполнил дополнительные сметания в 20:41, 20:59, 21:04, 21:44, 22:39 и 23:56 UTC, когда больше активов поступило в скомпрометированный кошелек. Делегированный кошелек также использовал свои существующие разрешения на отдельный смарт-аккаунт Binance, что способствовало переводу еще 823 миллионов USDC.

Вторая волна атак

Вторая волна атак началась около 23:05 UTC и расширила операцию на дополнительные кошельки Binance на Avalanche и Polygon. К 00:30 UTC 30 октября TRM проследила за примерно $6.36 миллиардов в переводах через Ethereum, Bitcoin, Tron, XRP Ledger, Solana, Arbitrum, Optimism, Base, Avalanche и Polygon. Хотя следователи восстановили последовательность событий, источник необходимых авторизаций, которые позволили провести атаку, остается неясным.

Исследователь Ethlabs Дерек Чианг заявил, что атакующий мог получить приватный ключ кошелька или обмануть его владельца, заставив подписать вредоносную авторизацию.

Он также подчеркнул, что для выполнения операции EIP-7702 атакующему нужна была действительная авторизация.