Z peňaženiek napojených na Binance odtiekli miliardy dolárov, útočník zneužil mechanizmus EIP-7702
Kryptomenový svet možno čelí najväčšej krádeži digitálnych aktív v histórii. Z peňaženiek napojených na najväčšiu svetovú burzu Binance vo štvrtok v noci nečakane odtiekli digitálne aktíva v hodnote miliárd dolárov na sieťach Ethereum, Bitcoin a Tron.
Hoci bleskový zásah vydavateľov stablecoinov útočníkom zablokoval zhruba 1,8 miliardy dolárov doslova pod rukami, čistá strata sa odhaduje na viac ako miliardu dolárov a svojimi parametrami prekonáva akúkoľvek lúpež vo fyzickom svete. Podľa Binance sa zatiaľ podarilo lokalizovať asi tri miliardy dolárov, o zvyšných 3,3 miliardy firma informácie neposkytla.
Keď on-chain analytici prvýkrát upozornili na obrovské presuny z horúcich peňaženiek burzy Binance, ešte sa špekulovalo o neohlásenej internej údržbe. O niekoľko minút však pochybnosti rozptýlil samotný zakladateľ burzy Changpeng „CZ“ Zhao.
„Naozaj to vyzerá na hack Binance. Oceňujem rýchle zmrazenie prostriedkov zo strany Tetheru (~971 mil. USD) a Circle (~823 mil. USD). Binance už síce neriadim, ale ako akcionár očakávam, že všetky prostriedky používateľov budú plne pokryté,“ uviedol Zhao na sieti X. Niekoľko hodín po odhalení problému vzrástol objem zablokovaných prostriedkov na tri miliardy dolárov.
Zhao potvrdil aj očakávanú výšku spôsobenej škody, keď reagoval na prepočty zakladateľa služby DeFiLlama vystupujúceho pod menom 0xngmi. 0xngmi uviedol, že strata sa po zmrazení stablecoinov pohybuje okolo jednej miliardy dolárov, čo je zhruba 0,69 percenta zo 144 miliárd dolárov, ktoré má burza v správe.
„Strata môže byť o niečo vyššia, ale pokryjeme ju,“ uviedol lakonicky Zhao. Samotná burza oznámila, že vklady používateľov sú „úplne v bezpečí“, bez toho, aby v prvých hodinách po incidente bližšie vysvetlila, ako nastalo zlyhanie.
Následne Binance na sieti X potvrdila, že firma pokryje všetky straty a že preventívne blokuje všetky prevody, kým interné tímy vykonávajú bezpečnostné kontroly, snažia sa zmraziť prostriedky a spolupracujú s políciou. Spoluzakladateľka Binance Yi He uviedla, že firma pokryje všetky prípadné straty plynúce z hackerského útoku. Vklady zostávajú nedotknuté a naďalej fungujú normálne, dodala neskôr s tým, že obnovenie výberov očakáva do 48 hodín. Binance má 335 miliónov registrovaných používateľov.
Útok nebol klasickou krádežou súkromných kľúčov
Najnovšie zistenia bezpečnostnej spoločnosti Blockaid ukazujú, aká neuveriteľne precízna bola operácia na sieťach Ethereum. Nešlo o klasickú krádež súkromných kľúčov, pri ktorej by hacker peňaženku „ručne“ vybral, ale o zneužitie štandardu EIP-7702.
Tento mechanizmus umožňuje bežnej peňaženke udeliť podpísané oprávnenie, ktorým odovzdá kontrolu nad sebou externému programovému kódu. Každá takáto autorizácia platí len pre konkrétne poradové číslo nasledujúcej transakcie (tzv. nonce). Keďže však horúca peňaženka Binance v reálnom čase neustále vybavovala transakcie používateľov, jej poradové číslo sa každou sekundou posúvalo.
Útočník nemohol presne vedieť, ktoré poradové číslo bude v okamihu útoku na rade. Skompromitovaný systém preto nechal vygenerovať päťdesiat po sebe nasledujúcich autorizácií podpísaných priamo súkromným kľúčom peňaženky Binance a všetky ich zabalil do jedinej transakcie.
Jedna z týchto päťdesiatich autorizácií sa trafila do poradového čísla bežiacej peňaženky. Tým sa na hlavnú peňaženku Binance 14 okamžite nainštaloval škodlivý kontrakt.
V priebehu niekoľkých minút po inštalácii škodlivého kódu začala funkcia sweep prevádzať prostriedky zo skompromitovaných peňaženiek. Z hlavnej peňaženky Binance 14 odtieklo 167 464 ETH, približne 1,615 miliardy USDT a ďalších viac ako 60 kryptomien.
Samostatne útočník vysal z peňaženky Binance Hot Wallet 34 aj približne 780 miliónov USDC. Medzi odcudzenými aktívami bolo aj 62,6 milióna RLUSD, 29 934 wBETH alebo 11 372 XAUt, teda tokenov predstavujúcich zlato.
Zatiaľ nie je zrejmé, ako získal potrebné podpisy. Museli vzniknúť s využitím súkromného kľúča peňaženky alebo interného podpisovacieho systému Binance. Podľa predbežnej analýzy bezpečnostnej spoločnosti Blockaid je pravdepodobnejšia kompromitácia či zneužitie infraštruktúry, ktorá transakcie podpisuje, než priame odcudzenie samotného kľúča. Konkrétny spôsob prieniku však zatiaľ nie je známy.
Medzi podozrivých patrí severokórejská štátna skupina Lazarus Group. Táto skupina elitných hackerov má na svedomí celý rad úspešných kybernetických útokov a krádeží, vrátane doteraz rekordnej krádeže približne 400-tisíc tokenov Etherea z kryptoburzy Bybit vo februári 2025.
