Hoskinson partage une analyse de l’attaque contre le portefeuille de Binance

Charles Hoskinson a partagé une analyse technique de l’attaque visant les portefeuilles Ethereum de Binance, avertissant de l’existence d’un code dangereux associé au déplacement d’actifs crypto.

Le fondateur de Cardano a répondu à une publication de CyberSatoshi, qui a examiné du code reconstruit lié à Binance 14, l’un des hot wallets de la plateforme. L’analyste a décrit un programme utilisé pour transférer des actifs et a soutenu qu’il avait été conçu en fonction des opérations du wallet.

« Attention, il existe du code sérieusement dangereux », a écrit Hoskinson en accompagnement de l’analyse.

Un code reconstruit examine les transferts de Binance 14

CyberSatoshi a analysé une version reconstruite d’un sweeper, un programme conçu pour déplacer des actifs depuis un compte. L’analyste a soutenu que le code était adapté à Binance 14 et a mis en évidence plusieurs fonctions impliquées dans le transfert d’ETH et de jetons.

Une partie du programme laissait un ETH dans le wallet lors du transfert de son solde natif. CyberSatoshi a suggéré que cela pouvait maintenir la file d’attente automatisée des transactions de Binance approvisionnée en gas, évitant qu’une erreur de fonds insuffisants ne déclenche une alerte.

La publication décrivait aussi une boucle qui vérifiait les soldes de jetons et pouvait continuer à traiter des actifs si un transfert individuel échouait. CyberSatoshi a identifié une autre fonction capable d’appeler un compte externe via Binance 14.

Hoskinson a partagé l’analyse sans préciser lesquelles de ses conclusions il approuvait. Son message n’incluait pas de comparaison entre les modèles de transaction de Cardano et d’Ethereum.

ADBREAK]

Comment la délégation EIP-7702 a été utilisée

L’attaque impliquait EIP-7702, un mécanisme d’Ethereum qui permet à un compte contrôlé par une clé privée de déléguer l’exécution à du code de contrat intelligent. La délégation peut donner au compte accès à des fonctions comme l’exécution de plusieurs opérations au sein d’une seule transaction.

Une autorisation valide signée par le compte est requise pour établir cette délégation. La société de sécurité Blockaid a indiqué que l’infrastructure de signature de Binance, sous le contrôle de l’attaquant, avait signé une autorisation dirigeant Binance 14 vers un sweeper déployé par l’attaquant.

CyberSatoshi a soutenu que le mécanisme avait accéléré le déplacement des actifs après l’obtention de l’autorisation. L’analyste a décrit un lot de 50 autorisations signées avec des valeurs de nonce consécutives. Un nonce est un compteur utilisé dans le processus de transaction et d’autorisation d’Ethereum.

Blockaid a estimé qu’environ 2,5 milliards de dollars avaient été transférés depuis Binance 14 lors de la transaction initiale. La société a aussi retracé des sorties depuis d’autres wallets de Binance sur plusieurs réseaux blockchain.

[NEWSBREAK]

L’enquête de Binance et le deuxième compte

Binance a estimé qu’environ 6,3 milliards de dollars d’actifs étaient concernés par l’incident plus large. La plateforme a indiqué que les enquêteurs examinaient l’ordinateur portable d’un employé potentiellement compromis et d’autres points de brèche.

L’analyse de Blockaid a retracé un autre transfert vers un smart account distinct appartenant à Binance. Selon la société, l’attaquant a atteint ce compte via Binance 14, qui est resté délégué au code de l’attaquant après le transfert initial.