Hoskinson поделился разбором атаки на кошелек Binance

Charles Hoskinson поделился техническим разбором атаки на кошельки Binance в сети Ethereum, предупредив об опасном коде, связанном с перемещением криптоактивов.

Основатель Cardano ответил на публикацию CyberSatoshi, который изучил реконструированный код, связанный с Binance 14, одним из горячих кошельков биржи. Аналитик описал программу для перевода активов и заявил, что она спроектирована вокруг операций этого кошелька.

«Осторожно, есть действительно опасный код», написал Hoskinson, публикуя разбор.

Реконструированный код анализирует переводы из Binance 14

CyberSatoshi проанализировал реконструированную версию sweeper, программы, предназначенной для перемещения активов с аккаунта. Аналитик утверждал, что код адаптирован под Binance 14, и выделил несколько функций, задействованных в переводе ETH и токенов.

Одна часть программы оставляла один ETH в кошельке при переводе его нативного баланса. CyberSatoshi предположил, что это могло поддерживать автоматическую очередь транзакций Binance обеспеченной газом, что предотвращало срабатывание оповещения об ошибке недостатка средств.

В публикации также описан цикл, который проверял балансы токенов и мог продолжать обработку активов, если отдельный перевод завершался неудачей. CyberSatoshi выделил еще одну функцию, которая могла вызывать внешний аккаунт через Binance 14.

Hoskinson опубликовал разбор, не уточнив, какие из его выводов он поддерживает. В его сообщении не было сравнения моделей транзакций Cardano и Ethereum.

ADBREAK]

Как использовалась делегация EIP-7702

В атаке использовался EIP-7702, механизм Ethereum, который позволяет аккаунту, контролируемому приватным ключом, делегировать исполнение коду смарт контракта. Делегация может дать аккаунту доступ к таким возможностям, как выполнение нескольких операций внутри одной транзакции.

Для установления такой делегации требуется действующая авторизация, подписанная аккаунтом. Компания по кибербезопасности Blockaid сообщила, что инфраструктура подписи Binance, находившаяся под контролем злоумышленника, подписала авторизацию, направлявшую Binance 14 к sweeper, развернутому злоумышленником.

CyberSatoshi заявил, что этот механизм ускорил перемещение активов после получения авторизации. Аналитик описал пакет из 50 подписанных авторизаций с последовательными значениями nonce. Nonce представляет собой счетчик, используемый в процессе транзакций и авторизаций в Ethereum.

Blockaid оценил, что из Binance 14 в начальной транзакции было переведено примерно 2,5 миллиарда долларов. Компания также отследила выводы средств из других кошельков Binance в нескольких сетях блокчейна.

[NEWSBREAK]

Расследование Binance и второй аккаунт

Binance оценил, что около 6,3 миллиарда долларов в активах было затронуто более широким инцидентом. Биржа сообщила, что следователи изучают потенциально скомпрометированный ноутбук сотрудника и дополнительные точки взлома.

Анализ Blockaid отследил еще один перевод на отдельный смарт аккаунт, принадлежащий Binance. По данным компании, злоумышленник получил доступ к этому аккаунту через Binance 14, который оставался делегирован коду злоумышленника после первоначального перевода.