Angrebet på Binance
Angriberen af Binance brugte mindst 36 timer på at forberede det $6,36 milliarder store kryptovaluta-børs hack, der begyndte med en dræning af $296 millioner i XRP. Ifølge en undersøgelse fra TRM Labs den 29. oktober, begyndte angriberen at forberede operationen den 28. oktober, før han udførte koordinerede overførsler på tværs af 10 blockchains den følgende aften.
Forberedelserne
Blockchain-intelligensfirmaet fandt, at de fleste af midlerne forlod Binance-relaterede tegnebøger inden for cirka 20 minutter, hvilket gjorde hændelsen til den største kryptovaluta-tyveri i historien. TRM sporede de tidligste forberedelser til morgenen den 28. oktober, da en angriber-kontrolleret tegnebog modtog tre små overførsler fra Tornado Cash, en kryptovaluta-blandingsservice.
Tidligt den følgende dag implementerede angriberen ondsindet smart contract-kode og testede det mod to nyoprettede Ethereum-tegnebøger. Angriberen implementerede derefter en revideret version og øvede operationen på en tredje tegnebog, hvor han med succes overførte testmidler, før han returnerede dem. Cirka fire timer efter den sidste øvelse begyndte hovedangrebet.
Hovedangrebet
Mellem 20:05 og 20:09 UTC overførte fem Binance-tegnebøger på XRP Ledger cirka 233,46 millioner XRP, værdiansat til $296 millioner, til en enkelt angriber-kontrolleret adresse. On-chain efterforsker Wazz Crypto nåede en lignende konklusion og sagde:
“Ved 20:10 UTC var der også begyndt mistænkelige overførsler fra Binance-tegnebøger på Solana og Optimism.”
Kl. 20:20 UTC overførte en Binance Bitcoin-tegnebog 18.270 BTC, der var værd cirka $1,47 milliarder. Angriberen begyndte straks at opdele midlerne i mindre portioner på 1.000 BTC og 100 BTC. Inden for to minutter overførte en Binance-tegnebog på Tron yderligere 612,7 millioner USDT og 46,4 millioner TRX, der var værd cirka $628 millioner samlet.
Ethereum-operationen
Ethereum-operationen udfoldede sig næsten samtidig. Kl. 20:20 UTC indsendte angriberen 50 tidligere underskrevne EIP-7702-autorisationer til en Binance hot wallet, hvilket gjorde det muligt at delegere udførelsen til en ondsindet smart kontrakt. Autorisationerne dækkede på hinanden følgende transaktionsantal, hvilket sikrede, at en ville matche tegnebogens nuværende antal, når den blev behandlet.
Tre minutter og 24 sekunder senere aktiverede angriberen kontraktens sweeping-funktion, der overførte 167.464 ETH og 63 tokens, herunder 1,615 milliarder USDT, i en enkelt transaktion. Angriberen udførte derefter yderligere sweeps kl. 20:41, 20:59, 21:04, 21:44, 22:39 og 23:56 UTC, da flere aktiver kom ind i den kompromitterede tegnebog.
Den delegerede tegnebog udnyttede også sine eksisterende tilladelser over en separat Binance smart konto, hvilket lettede overførslen af yderligere 823 millioner USDC. En anden bølge omkring 23:05 UTC udvidede operationen til yderligere Binance-tegnebøger på Avalanche og Polygon.
Konklusion
Ved 00:30 UTC den 30. oktober havde TRM sporet cirka $6,36 milliarder i overførsler på tværs af Ethereum, Bitcoin, Tron, XRP Ledger, Solana, Arbitrum, Optimism, Base, Avalanche og Polygon. Mens efterforskerne har rekonstrueret sekvensen, forbliver kilden til de nødvendige autorisationer, der gjorde angrebet muligt, uafklaret. Ethlabs-forsker Derek Chiang sagde, at angriberen kunne have fået tegnebøgernes private nøgle eller narret ejeren til at underskrive en ondsindet autorisation. Han understregede også, at angriberen havde brug for gyldig autorisation for at udføre EIP-7702-operationen.
