Взлом кошелька Binance на $2,5 млрд обошелся хакерам в $15

Злоумышленники заплатили около $15 комиссии в сети Ethereum за доступ к горячему кошельку Binance и одной транзакцией вывели из него активы на $2,5 млрд. Об этом пишет Bloomberg.

Согласно расследованию компании по кибербезопасности Blockaid, атакующие воспользовались механизмом EIP-7702. Его внедрили в блокчейн ведущего альткоина в рамках обновления Pectra в мае 2025 года.

Функция позволяет обычным криптовалютным кошелькам делегировать смарт-контрактам полномочия на выполнение операций. Благодаря этому пользователям не нужно отдельно подписывать каждое действие.

Будьте в курсе
движения ваших монет

Алерты, котировки в реальном времени и новости рынка — в одном приложении

Наведите камеру телефона, чтобы установить

4,8 на основе 40 К оценок в App Store и Google Play

Однако если система управления хранилищем скомпрометирована, такой механизм позволяет злоумышленникам проводить многочисленные переводы без дополнительных подтверждений.

Именно это произошло с горячим кошельком Binance 14, через который площадка обрабатывала клиентские выводы.

Как хакеры вывели миллиарды за несколько минут

По данным Blockaid, 29 октября около 20:20 UTC злоумышленники отправили транзакцию с 50 разрешениями EIP-7702, которые подписала скомпрометированная инфраструктура Binance.

Каждое из них соответствовало определенному порядковому номеру операции кошелька. Адрес был постоянно активен, поэтому атакующие не знали, какая из подписей окажется действительной, и в итоге сработала только одна. Так управление кошельком перешло к вредоносному смарт-контракту. За установку делегирования хакеры заплатили около $15 сетевой комиссии.

Сама операция не предусматривала перевода средств, но дала атакующим возможность распоряжаться активами Binance 14.

Спустя три минуты и 24 секунды, в 20:24 UTC, злоумышленники активировали вредоносный контракт и одной транзакцией вывели 167 464 ETH, около 1,615 млрд USDT и около 60 других токенов. Общая стоимость похищенных активов составила примерно $2,5 млрд.

Технический директор компании Hypernative Дэн Каспи в комментарии Bloomberg объяснил, что EIP-7702 позволил хакерам ускорить вывод средств и сохранить контроль над кошельком даже после обнаружения атаки.

Почему Binance не смогла сразу остановить переводы

Главная проблема заключалась в том, что разрешение продолжало действовать непосредственно в блокчейне Ethereum, независимо от внутренних систем биржи. Пока на адрес Binance 14 поступали новые средства, атакующие могли выводить их без повторного доступа к системе подписания транзакций.

По оценке Elliptic, с помощью этого механизма хакеры в общей сложности переместили около $3,6 млрд, включая первоначальные $2,5 млрд. Еще $823 млн злоумышленники вывели из другого кошелька Binance.

Как биржа отзывала полномочия, Binance рассказала в предварительном отчете о взломе. Последний несанкционированный перевод прошел в 23:56 UTC 29 октября, а делегирование удалось удалить в 00:10 UTC следующего дня.

Представитель Binance подтвердил Bloomberg, что механизм EIP-7702 сыграл значительную роль во взломе.

По его словам, биржа уже отозвала вредоносные разрешения, перестроила затронутую инфраструктуру и усилила контроль над подписанием транзакций. Кроме того, Binance внедрила новые инструменты мониторинга и экстренного отзыва полномочий.

При этом атака не была связана со взломом криптографии Ethereum: злоумышленники использовали действительные разрешения, полученные благодаря компрометации внутренних систем Binance.

Последствия атаки

По данным Binance, около $2,85 млрд похищенных средств удалось заморозить или перехватить при содействии эмитентов токенов и других участников отрасли. Биржа взяла на себя финансовые последствия инцидента.

ФБР возложило ответственность за атаку на северокорейскую группировку TraderTraitor, связанную с Lazarus. Власти КНДР отвергли обвинения.

Напомним, после возобновления свопов в THORChain связанные со взломом Binance кошельки продолжили конвертировать похищенные средства в биткоин. Ранее сбой в протоколе замедлил их отмывание.

Источник