Der Binance-Hack hat offengelegt, wie ein Angreifer eine einzige erfolgreiche Ethereum-Wallet-Autorisierung nutzte, um die Kontrolle über eine wichtige Börsen-Wallet zu erlangen, da Binance schätzt, dass die Sicherheitsverletzung vom 29. Oktober etwa 6,3 Milliarden US-Dollar an Kryptowährung betraf.
Zusammenfassung
- Binance schätzt, dass der Sicherheitsvorfall vom 29. Oktober etwa 6,3 Milliarden US-Dollar an Kryptowährung betraf.
- Blockaid führte den Angriff auf 50 EIP-7702-Autorisierungen zurück, wobei eine erfolgreich auf die Binance 14 Hot Wallet abzielte.
- Die ersten Untersuchungen von Binance deuten auf den Laptop eines kompromittierten DevOps-Ingenieurs hin, doch die Börse fand keine Hinweise auf einen geleakten privaten Schlüssel.
- Tether und Circle froren mehr als 2,3 Milliarden US-Dollar an Stablecoins ein, die mit dem Angriff in Verbindung stehen, während Binance etwa 3 Milliarden US-Dollar über verschiedene Vermögenswerte hinweg als eingefroren meldete.
- Binance setzte Einzahlungen und Auszahlungen während der Sicherheitsprüfungen aus und versprach, Verluste über seinen SAFU-Fonds und die Unternehmensreserven zu decken.
Laut dem Blockchain-Sicherheitsunternehmen Blockaid nutzte der Angreifer den EIP-7702-Autorisierungsmechanismus von Ethereum aus, um die stark genutzte Binance 14 Hot Wallet auf einen bösartigen Smart Contract umzuleiten. Der Angreifer reichte 50 Autorisierungen in einer Transaktion ein, doch nur eine stimmte mit dem Transaktionszähler der Wallet überein und aktivierte den Vertrag erfolgreich.
Das Sicherheitsupdate von Binance vom 30. Oktober identifizierte den möglicherweise kompromittierten Laptop eines DevOps-Ingenieurs als anfänglichen Einstiegspunkt. Die Börse erklärte, dass etwa 3 Milliarden US-Dollar an betroffenen Vermögenswerten eingefroren worden seien, und versprach, Kundenverluste zu decken.
Binance-Hack nutzte 50 Autorisierungen, um die Kontrolle über die Hot Wallet zu erlangen
Die Untersuchung von Blockaid identifizierte eine Ethereum-Transaktion, die am 29. Oktober um 20:20:59 UTC eingereicht wurde und 50 EIP-7702-Autorisierungen enthielt, die auf Binance 14 abzielten.
EIP-7702 ermöglicht es einer gewöhnlichen Ethereum-Wallet, die Transaktionsausführung an Smart-Contract-Code zu delegieren. Jede Autorisierung muss mit dem aktuellen Nonce der Wallet übereinstimmen, einem Transaktionszähler, der sich ändert, während das Konto Transaktionen verarbeitet.
Da Binance 14 aktiv Auszahlungen abwickelte, konnte der Angreifer dessen Nonce nicht zuverlässig vorhersagen. Die eingereichten Autorisierungen deckten aufeinanderfolgende Werte zwischen 18.914.775 und 18.914.824 ab, wodurch die Wahrscheinlichkeit stieg, dass eine davon übereinstimmte, als Ethereum die Transaktion verarbeitete.
Nur eine Autorisierung war erfolgreich. Sie leitete die Wallet an einen nicht verifizierten Vertrag weiter, der es einer vom Angreifer kontrollierten Adresse ermöglichte, eine Funktion namens sweep() auszuführen, wodurch ETH und ERC-20-Token übertragen wurden, während 1 ETH für Transaktionsgebühren zurückbehalten wurde.
Die bösartige Delegation hätte nachfolgende Einzahlungen gefährden können, bis Binance sie entfernte. Die Börse bestätigte später, dass sie die betroffene Autorisierung widerrufen hatte.
Frühere EIP-7702-Wallet-Angriffe hatten ähnliche Risiken gezeigt, darunter einen Vorfall vom 14. Oktober, bei dem ein kompromittiertes Ethereum-Konto etwa 22.770 US-Dollar in ETH verlor.
Binance erklärt, ein kompromittierter Laptop könnte unbefugte Abhebungen ermöglicht haben
Die vorläufige Untersuchung von Binance ergab eine mögliche Kompromittierung des Laptops eines DevOps-Ingenieurs, die dem Angreifer Zugriff auf einen internen Dienstcontainer verschafft haben könnte, der zur Übermittlung von Auszahlungstransaktionen verwendet wird.
Die Börse erklärte, die Ermittler hätten keine Hinweise darauf gefunden, dass ein privater Schlüssel einer Wallet geleakt wurde, obwohl sie nicht genau feststellen konnten, wie der Angreifer die erforderlichen Autorisierungen erlangte, um Binance 14 umzuleiten.
Von Blockaid untersuchte Blockchain-Aufzeichnungen zeigten, dass die Vorbereitungen vor dem eigentlichen Diebstahl begannen. Der Angreifer finanzierte eine Betriebsadresse über drei Tornado-Cash-Abhebungen und setzte den bösartigen Vertrag mehrere Stunden vor dessen Einsatz gegen Binance ein.
Gegen etwa 20:24 UTC leerte der Angreifer Binance 14 von Kryptowährungen im Wert von rund 2,5 Milliarden US-Dollar. Die Transfers umfassten 167.464 ETH, mehr als 1,6 Milliarden USDT und Dutzende weiterer Token.
Weitere Transfers betrafen Binance 16 und eine weitere Ethereum-Hot-Wallet mit USDC-Beständen. Die Operation erstreckte sich über mehrere Blockchain-Netzwerke, darunter Bitcoin, Tron, Arbitrum und Avalanche.
Frühere Untersuchungen zu bösartigen Wallet-Delegationen hatten automatisierte Verträge identifiziert, die darauf ausgelegt sind, Vermögenswerte nach dem Pectra-Upgrade von Ethereum aus kompromittierten Konten zu übertragen.
Tether und Circle frieren Milliarden im Zusammenhang mit dem Binance-Hack ein
Nach dem Angriff begannen Kryptowährungs-Emittenten, den Zugriff auf Vermögenswerte zu beschränken, die mit verdächtigen Adressen in Verbindung stehen.
Tether-CEO Paolo Ardoino bestätigte, dass der Stablecoin-Emittent mehr als 1,567 Milliarden USDT eingefroren hat, die mit der mutmaßlichen Sicherheitsverletzung in Verbindung stehen. Circle-CEO Jeremy Allaire berichtete separat, dass mehr als 800 Millionen USDC eingefroren wurden, während er mit den Strafverfolgungsbehörden zusammenarbeitete.
Ripples Stablecoin-Manager Jack McDonald sagte, das Unternehmen arbeite mit relevanten Parteien zusammen, um betroffene RLUSD-Bestände einzufrieren.
Unterdessen berichtete der Arbitrum Security Council, dass 74.559.805 ARB und 8.425 ETH von einer mit dem Angriff verbundenen Adresse auf eine eingeschränkte Zwischen-Wallet übertragen wurden. Die Organisation erklärte, dass die Vermögenswerte nur nach weiteren Maßnahmen des Rates oder einer Governance-Entscheidung des Arbitrum DAO bewegt werden könnten.
Der koordinierte Einsatz führte nach der neuesten Schätzung von Binance dazu, dass etwa 3 Milliarden US-Dollar über die betroffenen Vermögenswerte eingefroren wurden.
Binance verspricht, Verluste zu decken, während die Untersuchung weiterläuft
Binance setzte Einzahlungen und Abhebungen vorübergehend aus, während Sicherheitsprüfungen durchgeführt und mit Blockchain-Intelligence-Unternehmen und Strafverfolgungsbehörden zusammengearbeitet wurde.
Die Börse erklärte, sie werde ihren Secure Asset Fund for Users (SAFU) und Unternehmensmittel verwenden, um die Verluste zu decken. Ein aktualisierter Proof of Reserves wird folgen, sobald die Behebung abgeschlossen ist.
Binance-Gründer Changpeng Zhao räumte die mutmaßliche Sicherheitsverletzung öffentlich ein und sagte: „Die Gelder der Nutzer sind sicher!“ Er fügte hinzu, dass er die Börse nicht mehr leite, aber erwarte, dass die Kunden vollständig abgesichert würden.
Die US-Tochter der Börse erklärte separat, dass ihr Betrieb von dem Vorfall nicht betroffen sei.
Binance erklärte, die Ermittler seien weiterhin dabei, festzustellen, wie der Angreifer auf seine internen Systeme zugegriffen und die Wallet-Autorisierungen erlangt habe. Das Unternehmen plant, nach Abschluss seiner Untersuchung einen detaillierten technischen Post-Mortem zu veröffentlichen.
