Η Fireblocks εντοπίζει την πηγή της επίθεσης στη Binance σε μία υπογραφή EIP-7702

Η εταιρεία ασφαλείας Fireblocks υποστηρίζει ότι η κλοπή ρεκόρ από τα hot wallets της Binance οφείλεται σε μία υπογεγραμμένη εξουσιοδότηση EIP-7702. Σύμφωνα με την εταιρεία, η υπογραφή αυτή παραχώρησε τον έλεγχο ενός κύριου hot wallet Ethereum ↘ 0.45% σε κακόβουλο συμβόλαιο, το οποίο στη συνέχεια απέσπασε δισεκατομμύρια δολάρια μέσα σε λίγα λεπτά. Η ανάλυση προσθέτει τεχνικές λεπτομέρειες στην αρχική εξήγηση της Binance, η οποία έκανε λόγο για παραβίαση του υπολογιστή ενός μηχανικού DevOps. Το ανταλλακτήριο έχει δηλώσει έκτοτε ότι η έρευνά του αποκάλυψε περισσότερα από ένα σημεία παραβίασης.

Πώς λειτούργησε η επίθεση

Στην ανάλυση της επίθεσης, η Fireblocks ανέφερε ότι οι δράστες άδειασαν τα hot wallets της Binance σε διάφορα blockchains στις 29 Οκτωβρίου 2026. Εκτίμησε τις συνολικές εκροές μεταξύ 3,3 και 6,3 δισεκατομμυρίων δολαρίων. Η εταιρεία διευκρίνισε ότι ο επιτιθέμενος δεν παραβίασε κάποιο υπάρχον συμβόλαιο EIP-7702, αλλά δημιούργησε μια νέα εξουσιοδότηση που κατηύθυνε το hot wallet "Binance 14" σε κώδικα που έλεγχαν οι ίδιοι. Μέσα σε τρία λεπτά, ο κώδικας απέστειλε 167.464 ETH και 1,615 δισεκατομμύρια δολάρια σε Tether, ενώ στη συνέχεια αφαίρεσε 780 εκατομμύρια USD Coin από συνδεδεμένα δευτερεύοντα πορτοφόλια.fireblocks.com

Η Fireblocks σημείωσε ότι ο επιτιθέμενος είχε προετοιμαστεί κατάλληλα. Ανέπτυξε ένα συμβόλαιο νωρίτερα την ίδια ημέρα, πλήρωσε για τα τέλη δικτύου με κεφάλαια μέσω του Tornado Cash και πραγματοποίησε δοκιμές σε πορτοφόλια. Μία συναλλαγή περιείχε 50 εξουσιοδοτήσεις ώστε τουλάχιστον μία να είναι έγκυρη κατά την επεξεργασία. Η εταιρεία ανέφερε ότι η επίθεση επηρέασε τα Ethereum, Arbitrum ↘ 4.14% και Avalanche ↘ 3.49%, αλλά το EIP-7702 δεν μπορεί να εξηγήσει τις αναφερόμενες κινήσεις σε Bitcoin ↘ 1.41% και Tron ↘ 3.53%.fireblocks.com

Η εκδοχή της Binance

Αργά στις 29 Οκτωβρίου, η Binance ανέφερε στο X ότι το περιστατικό "ενδέχεται να αφορά παραβίαση του φορητού υπολογιστή ενός μηχανικού DevOps, η οποία επέτρεψε στον επιτιθέμενο να αποκτήσει πρόσβαση σε ένα container υπηρεσιών και να υποβάλει μη εξουσιοδοτημένες συναλλαγές ανάληψης". Πρόσθεσε ότι δεν βρήκε "καμία ένδειξη διαρροής ιδιωτικών κλειδιών πορτοφολιού", όπως μετέδωσε το Mashable. Ο συν-διευθύνων σύμβουλος Richard Teng δήλωσε αργότερα ότι ο επιτιθέμενος χρησιμοποίησε το EIP-7702 για να αποκτήσει έγκριση εκτέλεσης σε hot wallet και ότι η ανάθεση "δεν πέρασε από τους κανονικούς μας ελέγχους έγκρισης". Η Binance ανέφερε αργότερα ότι η έρευνά της αποκάλυψε "επιπλέον σημεία παραβίασης".bbc.co.uk+2

Απόδοση ευθυνών και αποκατάσταση

Η TRM Labs κατονόμασε την TraderTraitor, μια βορειοκορεατική ομάδα χάκερ, και ανέφερε ότι περίπου 6,36 δισεκατομμύρια δολάρια έφυγαν από τα πορτοφόλια της Binance σε 10 blockchains, το μεγαλύτερο μέρος μέσα σε περίπου 20 λεπτά. Εκδότες όπως η Circle ↗ 2.48% και η Tether πάγωσαν περίπου 3 δισεκατομμύρια δολάρια. Η TRM ανέφερε ότι άλλα 2,4 δισεκατομμύρια δολάρια κινήθηκαν "πέρα από την εμβέλεια οποιουδήποτε εκδότη", και η Binance έχει δεσμευτεί να καλύψει τις απώλειες των πελατών.nytimes.com+1

Η Fireblocks τόνισε ότι το κύριο δίδαγμα είναι πως "κανένας μεμονωμένος προγραμματιστής ή μηχάνημα DevOps δεν πρέπει ποτέ να κατέχει μονομερή εξουσία για την ανάπτυξη ή την τροποποίηση δικαιωμάτων πορτοφολιού".fireblocks.com