40 dakikada 5,6 milyar dolar süpürüldü, iki gün önceden hazırlık: Binance soygunu olayının tam zaman çizelgesi | canlı güncelleme
Kısaca, saldırgan bir süre zincir üzerinde açıkça hazırlık yaptı, ardından bir EIP-7702 delegasyonu ile Binance sıcak cüzdanı Binance 14'ü kendi sözleşmesine dönüştürdü ve gece yarısından itibaren süpürmeye başladı. Sabaha karşı, Binance sıcak cüzdanıyla ilişkili adreslerden yaklaşık 5,643 milyar dolar çıkış oldu; Ethereum, Bitcoin, Tron ve birden fazla L2'ye yayıldı; Tether, Circle, Ripple, World Liberty gibi ihraççılar ortaklaşa yaklaşık 2,54 milyar dolar dondurdu, bu da çıkışın yaklaşık %45'ine denk geliyor. Ve şu ana kadar, o kötü niyetli delegasyon hâlâ iptal edilmedi.
Binance'in şu anki resmi açıklaması her zaman aynı: olası güvenlik sorunları araştırılıyor, kullanıcı fonları tamamen güvende.
Çıkış yapan varlıklar (30 Ekim 05:22 itibarıyla):
Ethereum: 3,528 milyar dolar
Bitcoin: 1,449 milyar dolar
Tron: 628 milyon dolar
Arbitrum + Optimism + Base: toplam yaklaşık 38 milyon dolar
Mevcut dondurulan varlık durumu:
Tether yaklaşık 1,567 milyar USDT, Circle yaklaşık 823 milyon USDC (ikisi toplam 2,316 milyar), buna Ripple yaklaşık 200 milyon RLUSD, World Liberty Financial yaklaşık 27,8 milyon USD1 + 2 milyon WLFI eklenince 2,54 milyar ediyor.
Zaman çizelgesi
Önceki gece: 18 saatlik hazırlık (28 – 29 Ekim)
28 Ekim'den itibaren: saldırganın başlatma adresi 0x7C86…5CA0'a art arda yaklaşık 0,1 ETH'lik 3 Tornado Cash çıkışı geldi, özellikle Gas ödemek için kullanıldı. Bu adresin daha önce Binance ile hiçbir ilişkisi yoktu.
29 Ekim 10:29: İlk süpürme sözleşmesi 0x19be…f2bf dağıtıldı. Daha sonra terk edildi.
29 Ekim 21:51: İki test cüzdanına EIP-7702 delegasyonu yazıldı. Bu iki cüzdan da Binance'e ait değil, saldırganın kendi bulduğu harici cüzdanlar.
29 Ekim 22:20 ve 22:24: 1. ve 2. tatbikat, süpürme çağrısıyla bu iki test cüzdanı boşaltıldı. İlkinde muhtemelen bir sorun çıktı, dört dakika sonra tekrar yapıldı.
29 Ekim 23:59: Düzeltilmiş sözleşme 0x63e8…6fAe konuşlandırıldı. Nihayet Binance üzerinde etkili oldu
30 Ekim 00:21 - 00:30: 3. tatbikat, üçüncü cüzdan değiştirildi, iki delegasyon ve bir süpürme.
Ardından 3 saat 51 dakika sessizlik. Harekete geçene kadar.
Ana saldırı: 40 dakika (30 Ekim 04:21 – 06:02)
04:21:00: EIP-7702 türü işlem gönderildi, 0x63e8…6fAe kodunun yetkisi Binance 14'e devredildi, adres 0x28C6…1d60. Aynı işleme 50 yetkilendirme yerleştirildi, yalnızca 1 tanesi nonce'u tutturdu.
04:24:23: Ana süpürme gerçekleşti. Binance 14 kendisi çağrı başlattı, 0x5227…2f8c adresine 167.464 ETH artı 63 tür token transfer etti, bunların içinde yaklaşık 1,615 milyar USDT var. İşlem ücreti 0,0004 ETH, 1 dolardan az.
04:24:47: Binance 16 aynı adrese 28.005,6 ETH daha ekledi, neredeyse kesintisiz bir geçiş.
04:30 - 04:33: USDT'yi parçalamaya başladı, 500 milyon 0x9749…C762'ye, 200 milyon 0x0Ddf…697e'ye gönderildi.
04:38: 195.460 ETH tek seferde 0x8532…43D4'e aktarıldı. Bu tek işlemdeki en büyük taşıma.
04:41 ve 04:59: Saldırgan Binance 14 üzerinde başka bir fonksiyon olan 0x043ff9d2'yi çağırdı; aynı dakikada Hot Wallet 34 sırasıyla 780 milyon ve 43 milyon USDC transfer etti. Saldırgan Binance 14'ün bu sözleşme üzerindeki yetkisini kullandı.
05:04: Bir süpürme daha, 1.699,92 ETH süpürüldü.
05:22 - 06:02: Parçalara ayırma. RLUSD 88,5 milyon, UNI 7,02 milyon, PEPE 7,77 trilyon, wBETH 29.934, ENA 217,5 milyon, tek tek yepyeni adreslere gönderildi, her adrese önceden Gas için 0,5 ila 1 ETH yatırıldı.
05:44: Bu süreçte, Binance 14 üzerinde bir kez daha başarılı bir temizleme gerçekleştirildi ve yeni giren mevduatlar süpürüldü.
Yetkilendirmeden ilk temizlemeye kadar yalnızca 3 dakika 24 saniye geçti. Ancak Binance'in risk kontrol sistemi herhangi bir engelleme yapmadı.
Ardından saat 5'ten itibaren Binance ve çeşitli proje ekipleri varlıkları dondurmaya başladı: Tether yaklaşık 1,567 milyar USDT, Circle yaklaşık 823 milyon USDC (ikisi toplamda 2,316 milyar), buna ek olarak Ripple yaklaşık 200 milyon RLUSD, World Liberty Financial yaklaşık 27,8 milyon USD1 + 2 milyon WLFI ile toplam 2,54 milyar oluştu.
Saldırı nedeni: Tek bir imza, sıcak cüzdanı başkasının sözleşmesine dönüştürdü
EIP-7702, Ethereum Pectra yükseltmesiyle getirilen bir yetenektir: sıradan bir cüzdanın (EOA) geçici olarak bir akıllı sözleşmenin kodunu kiralamasına olanak tanır. Cüzdan sahibi bir yetkilendirme imzaladığında, o adrese yapılan her çağrıda artık o dış koddan çalıştırılır.
Saldırganın kullanım şekli şöyleydi:
İçinde yalnızca bir fonksiyon bulunan 0x63e8…6fAe sözleşmesini dağıttı: sweep(address pool, address[] depositors) — ETH'yi ve belirtilen token dizisini belirtilen adrese aktarır.
Binance 14'ün yetkilendirme imzasını alarak bu kodu Binance sıcak cüzdanına "kurdu".
Kurulumdan 3 dakika 24 saniye sonra, doğrudan Binance sıcak cüzdan adresi üzerinde temizleme sözleşmesini çağırdı.
Dolayısıyla dışarıdan bakıldığında Binance'in sıcak cüzdanı parayı kendisi transfer etmiş gibi görünüyor. Zincir üzerinde herhangi bir "harici adresin varlıkları aktardığı" işlem görünmüyor; Binance 14'ün normal bir çıkış işlemi yapıyormuş gibi görünüyor.
Saldırgan, Binance 14'ün gerçek zamanlı nonce değerini bilmiyordu (o cüzdan hâlâ işlem göndermeye devam ediyordu). Bu yüzden bir işleme 50 yetkilendirme sıkıştırdı, nonce'ları N'den N+49'a kadar sıraladı ve içlerinden birinin tutmasını umdu. Sonuçta yalnızca biri geçerli oldu.
BlockBeats Resmi Topluluğuna Katılın:
Telegram Abonelik Grubu: https://t.me/theblockbeats
Telegram Sohbet Grubu: https://t.me/BlockBeats_App
Twitter Resmi Hesabı: https://twitter.com/BlockBeatsAsia
