تشريح اختراق محفظة Binance 14: خمسون توقيعاً وسحب واحد

في 29 أكتوبر عند 20:24 بتوقيت UTC، نقلت معاملة واحدة ETH و64 عملة من المحفظة الساخنة "Binance 14" إلى عنوان أُنشئ في اليوم نفسه. تتبّعنا العملية على أداة Wallet Flow Visualizer في DeepGyre.

كيف حدث ذلك

لم يحتج المهاجم أن ترسل Binance شيئاً. عند 20:20 أرسل معاملة EIP-7702 تحمل 50 تفويضاً لمحفظة Binance 14، تفويضاً لكل nonce من الـ50 القادمة. تفويض EIP-7702 لا يكون صالحاً إلا إذا وقّعه مفتاح المحفظة نفسها، فمن أنتج هذه التفويضات كان قادراً على التوقيع باسم Binance 14.

وجّهت التفويضات المحفظة إلى عقد سحب نشره المهاجم ظهر ذلك اليوم. بعد أربع دقائق أفرغها استدعاء واحد لدالة sweep() إلى العنوان 0x5227…2f8c. وبعد 24 ثانية أرسلت محفظة ساخنة أخرى، Binance 16، مبلغ 28,005.6 ETH إلى العنوان نفسه.

التسلسل الزمني (UTC)

• من 28 أكتوبر 07:39: المهاجم 0x7c86…5ca0 يتموّل بثلاث سحوبات من مجمّع Tornado Cash فئة 0.1 ETH
• 29 أكتوبر 02:29: نشر عقد السحب الأول وعنوانه مالكاً ثابتاً
• بعد الظهر: تجربة السحب على ثلاث محافظ أخرى، ثم نشر نسخة ثانية عند 15:59
• 20:20:59: معاملة النوع 4 بخمسين تفويضاً لـ Binance 14
• 20:24:23: sweep() ينقل ETH و64 عملة
• 20:24:47: Binance 16 ترسل 28,005.6 ETH
• 20:38:47: تحويل 195,460 ETH إلى 0x8532…43d4
• 20:41 و21:00: سحب 780 مليون و43 مليون USDC

ما الذي خرج

وصل إلى العنوان: 1.875 مليار USDT و823 مليون USDC و195,470 ETH وأكثر من 60 عملة أخرى، منها 88.5 مليون RLUSD و217.5 مليون ENA و29,934 wBETH و12,574 XAUt و167 WBTC.

خلال 15 دقيقة انتقلت 195,460 ETH إلى عنوان جديد، وتوزّعت 700 مليون USDT على عنوانين آخرين. تفيد التقارير بأن Tether وCircle جمّدتا جزءاً من العملات المستقرة، وقال الرئيس التنفيذي السابق لـ Binance إن أموال المستخدمين بأمان. لم تنشر Binance أرقامها الرسمية بعد.

احذروا النسخ المقلّدة

روبوتات تسميم العناوين ترسل الآن توكنات مزيّفة باسم "USDT" و"ETH" بحروف خفية من عناوين تشبه عناوين المهاجم. لا تنسخوا أي عنوان من قائمة التوكنات في المستكشف.

تتبّع بنفسك

افتح العنوان في Wallet Flow Visualizer واضغط أي عقدة لتتبّع المال إلى خطوته التالية.

كل المبالغ أعلاه مقروءة من السلسلة، وليست من حسابات Binance.