Hoskinson comparte un análisis del ataque a la billetera de Binance

Charles Hoskinson ha compartido un análisis técnico del ataque a las billeteras de Ethereum de Binance, advirtiendo sobre código peligroso asociado con el movimiento de criptoactivos.

El fundador de Cardano respondió a una publicación de CyberSatoshi, quien examinó código reconstruido vinculado a Binance 14, una de las billeteras calientes del exchange. El analista describió un programa utilizado para transferir activos y sostuvo que estaba diseñado en torno a las operaciones de la billetera.

"Cuidado, hay código realmente peligroso por ahí", escribió Hoskinson junto al análisis.

El código reconstruido examina las transferencias de Binance 14

CyberSatoshi analizó una versión reconstruida de un sweeper, un programa diseñado para mover activos desde una cuenta. El analista sostuvo que el código estaba adaptado a Binance 14 y destacó varias funciones involucradas en la transferencia de ETH y tokens.

Una parte del programa dejaba un ETH en la billetera al transferir su saldo nativo. CyberSatoshi sugirió que esto podría mantener la cola automatizada de transacciones de Binance con gas, evitando que un error por fondos insuficientes activara una alerta.

La publicación también describió un bucle que comprobaba los saldos de tokens y podía seguir procesando activos si fallaba una transferencia individual. CyberSatoshi identificó otra función que podía invocar una cuenta externa a través de Binance 14.

Hoskinson compartió el análisis sin especificar cuáles de sus conclusiones respaldaba. Su mensaje no incluyó una comparación entre los modelos de transacción de Cardano y de Ethereum.

ADBREAK]

Cómo se utilizó la delegación de EIP-7702

El ataque involucró EIP-7702, un mecanismo de Ethereum que permite que una cuenta controlada por una clave privada delegue la ejecución en código de contrato inteligente. La delegación puede dar a la cuenta acceso a funciones como realizar varias operaciones dentro de una sola transacción.

Se requiere una autorización válida firmada por la cuenta para establecer esa delegación. La firma de seguridad Blockaid informó que la infraestructura de firma de Binance, bajo el control del atacante, firmó una autorización que dirigía a Binance 14 a un sweeper desplegado por el atacante.

CyberSatoshi sostuvo que el mecanismo aceleró el movimiento de activos después de obtener la autorización. El analista describió un lote de 50 autorizaciones firmadas con valores de nonce consecutivos. Un nonce es un contador utilizado en el proceso de transacciones y autorizaciones de Ethereum.

Blockaid estimó que aproximadamente 2.5 mil millones de dólares se transfirieron desde Binance 14 en la transacción inicial. La firma también rastreó salidas desde otras billeteras de Binance a través de múltiples redes de blockchain.

[NEWSBREAK]

La investigación de Binance y la segunda cuenta

Binance estimó que aproximadamente 6.3 mil millones de dólares en activos se vieron afectados por el incidente más amplio. El exchange informó que los investigadores estaban examinando una laptop de un empleado potencialmente comprometida y puntos de intrusión adicionales.

El análisis de Blockaid rastreó otra transferencia hacia una cuenta inteligente separada propiedad de Binance. Según la firma, el atacante alcanzó esa cuenta a través de Binance 14, que permaneció delegada al código del atacante después de la transferencia inicial.