Według śledczych badających blockchain, atak hakerski na Binance został powiązany z północnokoreańską grupą Lazarus, która według podejrzeń miała ukraść około 6,3 miliarda dolarów z giełdy kryptowalut 29 października.
Podsumowanie
- TRM Labs z wysokim stopniem pewności powiązało atak na Binance o wartości 6,3 miliarda dolarów z północnokoreańską jednostką hakerską TraderTraitor.
- Ido Ben-Natan, dyrektor generalny Blockaid, powiedział, że napastnicy przenieśli co najmniej 3,5 miliarda dolarów przez cztery blockchainy w ciągu niespełna godziny.
- Śledczy prześledzili kradzież do przejętych mechanizmów kontroli podpisywania transakcji, w tym 50 autoryzacji Ethereum skierowanych do jednego portfela hot wallet.
- Binance zgłosiło około 3 miliardów dolarów zamrożonych aktywów i zobowiązało się pokryć straty klientów.
- Wypłaty pozostają wstrzymane podczas aktualizacji zabezpieczeń, a Binance oczekuje wznowienia usług w ciągu 48 godzin.
Według TRM Labs jego śledczy z wysokim stopniem pewności przypisali atak jednostce TraderTraitor, północnokoreańskiej grupie hakerskiej powiązanej z Lazarus. Śledczy blockchain ZachXBT osobno zidentyfikował Lazarus jako prawdopodobnego napastnika, choć Binance nie potwierdziło, kto dokonał kradzieży.
W komentarzu dla crypto.news Ido Ben-Natan, współzałożyciel i dyrektor generalny firmy zajmującej się bezpieczeństwem blockchain Blockaid, powiedział, że atak przewyższył skalą wcześniejsze kradzieże kryptowalut.
„To największy atak hakerski na kryptowaluty w historii. Nasza analiza pokazuje, że co najmniej 3,5 miliarda dolarów wypłynęło z portfeli hot wallet Binance w sieciach Ethereum, Arbitrum, Optimism i Avalanche w ciągu niespełna godziny, ponad dwukrotnie więcej niż w przypadku kradzieży w Bybit w lutym 2025 roku” – powiedział Ben-Natan.
Zauważył, że śledczy zidentyfikowali dodatkowe transfery obejmujące Bitcoin i Tron, podczas gdy jego zespół kontynuował śledzenie skradzionych aktywów.
Tymczasem platforma do śledzenia blockchain Onchain Lens poinformowała, że napastnik atakujący Binance przeniósł 17 260 ETH o wartości około 38,82 miliona dolarów do nowego portfela w związku z obawami, że środki mogą zostać wyprane przez Tornado Cash lub inne miksery kryptowalut.
Według trackera napastnik nadal kontrolował prawie 480 720 ETH o wartości 1,08 miliarda dolarów, których emitent tokena nie może zamrozić. Portfel odbierający zidentyfikowano jako 0x03b0eE5d82990cFF1bDa48651AC3e436d1a020ea.
Podejrzenie o grupę Lazarus, gdy atak na Binance obejmuje dziesięć blockchainów
Śledztwo TRM prześledziło około 6,36 miliarda dolarów opuszczających portfele kontrolowane przez Binance w dziesięciu sieciach blockchain, w tym Ethereum, Bitcoin, Tron, Solana i XRP Ledger.
Większość skradzionych środków została przeniesiona w ciągu około 20 minut, począwszy od 20:05 UTC. Około 3,79 miliarda dolarów przelano w sieci Ethereum, podczas gdy Bitcoin i Tron odpowiadały odpowiednio za kolejne 1,47 miliarda dolarów i 628 milionów dolarów.
Śledczy zidentyfikowali 233,46 miliona XRP o wartości prawie 296 milionów dolarów opuszczających pięć portfeli Binance, zanim rozpoczął się atak na Ethereum.
Firma zajmująca się bezpieczeństwem podała, że przygotowania rozpoczęły się co najmniej 36 godzin przed kradzieżą. Portfel kontrolowany przez napastnika otrzymał trzy niewielkie wypłaty z Tornado Cash i przetestował złośliwy kod przed atakiem na Binance.
TRM powiązało tę aktywność z TraderTraitor na podstawie transakcji blockchain i innych informacji wywiadowczych, choć nie ujawniło publicznie wszystkich dowodów stojących za tym przypisaniem.
FBI wcześniej ustaliło, że TraderTraitor był odpowiedzialny za kradzież w Bybit z lutego 2025 roku, podczas której z giełdy wyprowadzono około 1,5 miliarda dolarów. Władze USA oskarżyły północnokoreańskie operacje hakerskie o kradzież kryptowalut w celu wsparcia finansowania programów zbrojeniowych tego kraju.
Blockaid wyjaśnia, w jaki sposób atakujący uzyskali dostęp do portfeli Binance
Śledztwo techniczne Blockaid zidentyfikowało nietypową transakcję Ethereum zawierającą 50 autoryzacji EIP-7702 wymierzonych w Binance 14, jeden z najaktywniejszych portfeli gorących giełdy.
EIP-7702 pozwala portfelowi Ethereum autoryzować kod inteligentnego kontraktu do działania w jego imieniu. Atakujący przygotował autoryzacje przy użyciu 50 kolejnych liczników transakcji, zwiększając szansę, że jeden z nich będzie zgodny z bieżącym licznikiem portfela.
Powiodła się tylko jedna autoryzacja, pozwalając złośliwemu kontraktowi na transfer aktywów z portfela.
„Atakujący skutecznie przeprogramował główny gorący portfel Ethereum Binance w taki sposób, że pojedynczy operator mógł go opróżnić, w tym wszelkie nowe środki na niego wpłacone” – wyjaśnił Ben-Natan w rozmowie z crypto.news.
Atakujący przelał około 2,5 miliarda dolarów z Binance 14, w tym 167 464 ETH i ponad 1,6 miliarda USDT. Kolejne transfery dotyczyły nowo otrzymanych środków.
Śledczy odkryli, że inne portfele Binance przenosiły aktywa za pośrednictwem zwykłych podpisanych transakcji w kilku sieciach. TRM uważa, że atakujący mógł uzyskać dostęp do infrastruktury giełdy służącej do podpisywania transakcji.
Binance wskazuje możliwe przejęcie laptopa jako przyczynę zamrożenia 3 miliardów dolarów
W swoim komunikacie dotyczącym bezpieczeństwa Binance poinformował, że wstępne śledztwo wskazało na przejęty laptop inżyniera DevOps, co mogło umożliwić nieautoryzowany dostęp do wewnętrznego kontenera usług.
Giełda nie znalazła dowodów na wyciek kluczy prywatnych i zapowiedziała publikację szczegółowego śledztwa po ustaleniu przyczyny.
Dyrektor generalny Tether, Paolo Ardoino, potwierdził zamrożenie ponad 1,567 miliarda USDT, a dyrektor generalny Circle, Jeremy Allaire, poinformował o zamrożeniu ponad 800 milionów USDC. Rada Bezpieczeństwa Arbitrum zabezpieczyła około 74,6 miliona ARB i 8425 ETH powiązanych z atakującym.
Wypłaty w Binance pozostają wstrzymane
Binance zobowiązał się pokryć straty ze swojego funduszu SAFU i zasobów firmy, współpracując jednocześnie z organami ścigania i śledczymi blockchain.
Jednocześnie giełda poinformowała, że wpłaty pozostają operacyjne, ale wypłaty będą wstrzymane do czasu modernizacji systemów wypłat i kontroli adresów.
Binance oczekuje, że wypłaty zostaną wznowione w ciągu 48 godzin, i zapowiedział, że wkrótce pojawi się pełny raport na temat przyczyn ataku.
Rynki kryptowalut również znalazły się pod presją sprzedażową po ataku, a Bitcoin na krótko spadł poniżej 77 000 dolarów. Łączne likwidacje na rynku instrumentów pochodnych przekroczyły 1,5 miliarda dolarów w ciągu 24 godzin.
