Злоумышленники заплатили около $15 комиссии в сети Ethereum за доступ к горячему кошельку Binance и одной транзакцией вывели из него активы на $2,5 млрд. Об этом пишет Bloomberg.
Согласно расследованию компании по кибербезопасности Blockaid, атакующие воспользовались механизмом EIP-7702. Его внедрили в блокчейн ведущего альткоина в рамках обновления Pectra в мае 2025 года.
Функция позволяет обычным криптовалютным кошелькам делегировать смарт-контрактам полномочия на выполнение операций. Благодаря этому пользователям не нужно отдельно подписывать каждое действие.
Однако если система управления хранилищем скомпрометирована, такой механизм позволяет злоумышленникам проводить многочисленные переводы без дополнительных подтверждений.
Именно это произошло с горячим кошельком Binance 14, через который площадка обрабатывала клиентские выводы.
По данным Blockaid, 29 октября около 20:20 UTC злоумышленники отправили транзакцию с 50 разрешениями EIP-7702, которые подписала скомпрометированная инфраструктура Binance.
Каждое из них соответствовало определенному порядковому номеру операции кошелька. Адрес был постоянно активен, поэтому атакующие не знали, какая из подписей окажется действительной, и в итоге сработала только одна. Так управление кошельком перешло к вредоносному смарт-контракту. За установку делегирования хакеры заплатили около $15 сетевой комиссии.
Сама операция не предусматривала перевода средств, но дала атакующим возможность распоряжаться активами Binance 14.
Спустя три минуты и 24 секунды, в 20:24 UTC, злоумышленники активировали вредоносный контракт и одной транзакцией вывели 167 464 ETH, около 1,615 млрд USDT и около 60 других токенов. Общая стоимость похищенных активов составила примерно $2,5 млрд.
Технический директор компании Hypernative Дэн Каспи в комментарии Bloomberg объяснил, что EIP-7702 позволил хакерам ускорить вывод средств и сохранить контроль над кошельком даже после обнаружения атаки.
Главная проблема заключалась в том, что разрешение продолжало действовать непосредственно в блокчейне Ethereum, независимо от внутренних систем биржи. Пока на адрес Binance 14 поступали новые средства, атакующие могли выводить их без повторного доступа к системе подписания транзакций.
По оценке Elliptic, с помощью этого механизма хакеры в общей сложности переместили около $3,6 млрд, включая первоначальные $2,5 млрд. Еще $823 млн злоумышленники вывели из другого кошелька Binance.
Как биржа отзывала полномочия, Binance рассказала в предварительном отчете о взломе. Последний несанкционированный перевод прошел в 23:56 UTC 29 октября, а делегирование удалось удалить в 00:10 UTC следующего дня.
Представитель Binance подтвердил Bloomberg, что механизм EIP-7702 сыграл значительную роль во взломе.
По его словам, биржа уже отозвала вредоносные разрешения, перестроила затронутую инфраструктуру и усилила контроль над подписанием транзакций. Кроме того, Binance внедрила новые инструменты мониторинга и экстренного отзыва полномочий.
При этом атака не была связана со взломом криптографии Ethereum: злоумышленники использовали действительные разрешения, полученные благодаря компрометации внутренних систем Binance.
По данным Binance, около $2,85 млрд похищенных средств удалось заморозить или перехватить при содействии эмитентов токенов и других участников отрасли. Биржа взяла на себя финансовые последствия инцидента.
ФБР возложило ответственность за атаку на северокорейскую группировку TraderTraitor, связанную с Lazarus. Власти КНДР отвергли обвинения.
Напомним, после возобновления свопов в THORChain связанные со взломом Binance кошельки продолжили конвертировать похищенные средства в биткоин. Ранее сбой в протоколе замедлил их отмывание.
