Shenyu, Binance saldırısının tüm ayrıntılarını gözden geçirdi: Saldırganlar önceden 2 kez prova yaptı ve 64 farklı token transfer listesi hazırladı.

BlockBeats haberine göre, 30 Ekim'de Cobo ortak kurucusu Shenyu, sosyal medyada bir video yayınlayarak Binance'in bu seferki hack olayının başlangıcından sonuna kadar zincir üstü bakış açısıyla ayrıntılı bir inceleme yaptı.

Saldırının başlangıcı ve varlık transferi

30 Ekim sabah saat 04:20'de, 50 yetkilendirme talebi içeren bir işlem zincire yayınlandı. Yetkilendiren taraf, Binance işlem platformunun sıcak cüzdanlarından biriydi ve işlem bu cüzdanın kendi özel anahtarıyla imzalandı. Yaklaşık 3 dakikadan fazla bir süre sonra cüzdandaki varlıklar toplu olarak transfer edildi. Bu sabahki coin fiyatlarına göre tahmin edildiğinde, üç zincirde toplamda yaklaşık 5,8 milyar dolar değerinde varlık transfer edildi; bunun 1,4 milyar doları Bitcoin ile ilgili varlıklardı ve Binance henüz hack olayını doğrulamadı.

Saldırı teknik yolu ve önceden hazırlık

Bu olay EIP-7702 yetkilendirme mekanizmasını içeriyor. Bu tür bir yetkilendirme imzalandıktan sonra cüzdan, yetkilendirme iptal edilene kadar belirli bir program tarafından devralınır. Saldırganın programı tek yönlüdür; yalnızca tek bir kontrolcüyü tanır ve yalnızca varlık transferi gerçekleştirir. Bu 50 yetkilendirme talebi, ardışık 50 sıra numarasıyla birlikte geldi; sıra numarası cüzdanın mevcut durumuyla eşleştiğinde yürürlüğe giriyor. Şu anda sorun imzalama aşamasına işaret ediyor; özel anahtarın sızdırılması mı yoksa imzalama sisteminin kötüye kullanılması mı olduğu konusunda Binance henüz bir açıklama yapmadı. Önceden görülen işaretler, saldırganın önceki gün öğleden sonradan itibaren Tornado Cash karıştırıcısından üç kez küçük miktarlarda işlem ücreti olarak fon çektiğini gösteriyor. Önceki gece ile sabah arasında, test cüzdanı kullanarak iki kez prova yaptı; son prova ile resmi eylem arasında 3,5 saat vardı.

Varlık süpürme ve savunma mücadelesi

Saldırgan önceden 64 tür token içeren bir transfer listesi hazırlamıştı. Saat 04:24'te ilk toplu transfer tamamlandı; 167 bin ETH, 1,6 milyar USDT ve 60'tan fazla diğer token dahil edildi ve yalnızca 1 ETH bırakıldı. 24 saniye sonra Binance'in ikinci sıcak cüzdanından 28 bin ETH transfer edildi; bu sefer doğrudan saldırganın özel anahtarıyla imzalanan transfer talimatı kullanıldı. Saat 04:41'de saldırgan, ilk cüzdanın kimliğini kullanarak kendi yönettiği USDC sözleşme cüzdanına 823 milyon USDC transfer etme talimatı verdi. Sabah 06:40'a kadar saldırgan dört kez gidiş-dönüş işlem yapmıştı.

Varlık transferiyle eş zamanlı olarak bir dondurma ve dondurmayı önleme mücadelesi de başladı. USDT, USDC gibi stablecoin ihraççılarının dondurma yetkisi bulunurken ETH'nin dondurulması zor olduğundan, saldırgan dondurulabilir varlıkları hızla dondurulamaz varlıklara dönüştürdü. Bunlardan 435 milyon USDT, 160 bin ETH'ye dönüştürüldü. En son fiyatlara göre bu ETH'ler yalnızca 364 milyon dolar değerinde; sadece bu dönüşüm işlemi bile 70 milyon dolar zarar oluşturdu.

Tarafların dondurma tedbirleri ve zincir üstü hareketlilik

Dondurma tedbirlerinin yürürlüğe girmesiyle birlikte Tether 1,38 milyar USDT, Circle 823 milyon USDC, Ripple 40,54 milyon RLUSD ve diğer birkaç tokenı dondurdu. Ethereum zincirinde çalınan 3,75 milyar dolarlık varlığın 2,4 milyar doları başarıyla donduruldu. Tron zincirinde de 630 milyon dolar transfer edildi; bunun 380 milyonunu Tether dondurdu. Dondurulmayan varlıklar ağırlıklı olarak ETH olup, saat 07.40 itibarıyla yaklaşık 460 bin ETH 4 yeni adreste bekliyor ve yalnızca giriş kaydı bulunuyor. Neredeyse aynı anda Binance'in bir Bitcoin sıcak cüzdanından 18.270 BTC çıkarıldı ve ardından 19 parçaya bölünerek 19 yeni adrese aktarıldı. Bunun bir hack mi yoksa Binance'in acil transferi mi olduğu henüz netleşmedi. Bildirildiğine göre zincir üstü analiz platformu Arkham bunu hacker bağlantılı olarak işaretledi, ancak Binance henüz doğrulamadı ve ulaşılan kamuya açık açıklamalarda BTC'den söz edilmedi.

Sonraki uyarılar

Pekin saatiyle bu sabah 06.55'e kadar Binance de aynı özel anahtarı kullanarak imzalama yaptı ve transfer edilmeyen küçük tokenları kendi cüzdanına geri aktardı. Bu, özel anahtarın hâlâ Binance'in kontrolünde olduğunu, ancak ilgili yetkilendirmenin henüz iptal edilmediğini gösteriyor.

Zincir üstü verilerin değerlendirilmesine göre temel sorun imzalama aşamasında olup herhangi bir sözleşme açığı tespit edilmedi. Bu olay tüm sektör için bir uyarı niteliğinde: Her borsanın kendi imzalama sisteminde beklenmeyen yetkilendirmelerin imzalanma riski olup olmadığını denetlemesi gerekiyor.