Fireblocks rekur Binance-inbrotið til einnar EIP-7702 undirskriftar

Öryggisfyrirtækið Fireblocks segir að metstuldurinn úr heitum veskjum Binance megi rekja til einnar undirritaðrar EIP-7702 heimildar. Samkvæmt fyrirtækinu veitti sú undirskrift stjórn á helsta Ethereum ↗ 0.43% heita veskinu til illgjarns samnings, sem tæmdi síðan milljarða dollara á örfáum mínútum. Greiningin bætir tæknilegum smáatriðum við fyrstu skýringu Binance, sem benti á tölvu DevOps-verkfræðings. Kauphöllin hefur síðan sagt að rannsókn hennar hafi leitt í ljós fleiri en einn innbrotsstað.

Hvernig árásin virkaði

Í úttekt sinni á árásinni sagði Fireblocks að árásaraðilar hefðu tæmt heit veski Binance yfir nokkrar blokkkeðjur þann 29. október 2026. Áætlað er að heildarútflæði hafi verið á bilinu 3,3 til 6,3 milljarðar dollara. Fyrirtækið sagði að árásaraðilinn hafi ekki brotist inn í fyrirliggjandi EIP-7702 samning. Í staðinn bjó hann til nýja heimild sem beindi heita veskinu, þekkt sem "Binance 14", að kóða undir stjórn árásaraðila. Innan þriggja mínútna sendi sá kóði 167.464 ETH og 1,615 milljarða dollara í Tether út, og tók síðan 780 milljónir í USD Coin úr tengdum aukaveskjum.fireblocks.com

Fireblocks sagði að árásaraðilinn hafi skipulagt sig fyrirfram. Hann setti upp samning fyrr um daginn, greiddi fyrir gas með fé sem fór í gegnum Tornado Cash og æfði sig á prufuveskjum. Ein færsla innihélt 50 heimildir svo að að minnsta kosti ein væri gild við úrvinnslu. Fyrirtækið sagði að árásin hefði náð til Ethereum, Arbitrum ↗ 0.17% og Avalanche ↘ 0.06%, en að EIP-7702 gæti ekki útskýrt hreyfingar á Bitcoin ↗ 0.14% og Tron ↘ 6.25%.fireblocks.com

Skýring Binance

Seint þann 29. október sagði Binance á X að atvikið "gæti tengst tölvu DevOps-verkfræðings sem var komin í hendur óviðkomandi, sem gerði árásaraðila kleift að fá aðgang að þjónustugátt og senda óheimilar úttektarbeiðnir." Þeir bættu við að þeir hefðu "engar vísbendingar um að einkalyklar veskja hefðu lekið," eins og Mashable greindi frá. Richard Teng, annar forstjóra, sagði síðar að árásaraðilinn hefði notað EIP-7702 til að fá framkvæmdarheimild yfir heitu veski og að umboðið "fór ekki í gegnum venjulegt samþykkisferli okkar". Binance sagði síðar að rannsóknin hefði leitt í ljós "fleiri innbrotsstaði".bbc.co.uk+2

Ábyrgð og endurheimt

TRM Labs kenndi TraderTraitor, norður-kóreskri tölvuþrjótadeild, um og sagði að um 6,36 milljarðar dollara hefðu yfirgefið veski Binance á 10 blokkkeðjum, mest á um 20 mínútum. Útgefendur eins og Circle ↘ 9.31% og Tether frystu um 3 milljarða dollara. TRM sagði að aðrir 2,4 milljarðar dollara hefðu færst "utan seilingar hvers kyns útgefanda" og Binance hefur heitið því að bæta tjón viðskiptavina.nytimes.com+1

Fireblocks sagði að helsti lærdómurinn væri sá að "enginn einstakur forritari eða DevOps-vél ætti nokkurn tíma að hafa einhliða heimild til að setja upp eða breyta heimildum veskja".fireblocks.com