Binance: Πως οι χάκερ απέσπασαν $2,5 δισ. από μια συναλλαγή των $15 

Οι χάκερ που έκλεψαν 6,3 δισεκατομμύρια δολάρια από το Binance την περασμένη εβδομάδα βρήκαν έναν τρόπο να αποσπάσουν το 40% των κλεμμένων κρυπτονομισμάτων με μία μόνο κίνηση, μειώνοντας έτσι τις πιθανότητες να πιαστούν επ’ αυτοφώρω, και αυτό τους κόστισε μόλις 15 δολάρια.

Μια ανάλυση των συναλλαγών που καταγράφηκαν στο blockchain του Ethereum αποκαλύπτει πώς οι κλέφτες εκμεταλλεύτηκαν μια λειτουργία που είχε σχεδιαστεί για να διευκολύνει τη χρήση των πορτοφολιών κρυπτονομισμάτων. Η λειτουργία αυτή επιτρέπει σε έναν λογαριασμό να παραχωρήσει σε ένα λογισμικό την άδεια να μεταφέρει χρήματα εκ μέρους του, αντί να απαιτούνται ξεχωριστές εξουσιοδοτήσεις για κάθε μεταφορά.

Οι χάκερ πλήρωσαν περίπου 15 δολάρια σε τέλη δικτύου για να ενεργοποιήσουν αυτή την άδεια και, στη συνέχεια, τη χρησιμοποίησαν για να αποσπάσουν περίπου 2,5 δισεκατομμύρια δολάρια σε μία μόνο συναλλαγή — το 40% του συνολικού κλεμμένου ποσού — σύμφωνα με την εταιρεία ασφαλείας Blockaid.

Την Τρίτη, η ίδια η Binance παρουσίασε ένα λεπτομερές χρονοδιάγραμμα, σύμφωνα με το οποίο οι εισβολείς χρησιμοποίησαν ψεύτικες αγγελίες εργασίας για να εξαπατήσουν έναν μηχανικό ώστε να κατεβάσει κακόβουλο κώδικα. Πρόκειται για μια «εξελιγμένη, πολυεπίπεδη εκστρατεία», σύμφωνα με το χρηματιστήριο, γεμάτη με κοινωνική μηχανική, παραβιασμένες συσκευές και τεχνικές τεχνητής νοημοσύνης.

Μόλις απέκτησαν πρόσβαση, οι χάκερ στόχευσαν ένα «hot wallet» γνωστό ως Binance 14, το οποίο χρησιμοποιεί το χρηματιστήριο για την επεξεργασία των αναλήψεων των πελατών, όπως δείχνουν τα αρχεία στην πλατφόρμα ανάλυσης Etherscan. Αυτό το πορτοφόλι μοιάζει κάπως με ένα ηλεκτρονικό ταμείο, και επειδή το Binance είναι το μεγαλύτερο χρηματιστήριο κρυπτονομισμάτων στον κόσμο, διατηρεί τακτικά μεγάλες ποσότητες Ether, stablecoins και δεκάδες άλλα ψηφιακά tokens.

Η αναβάθμιση αυτόματης πληρωμής

Η μεταφορά τόσων διαφορετικών περιουσιακών στοιχείων θα απαιτούσε κανονικά μια σειρά ξεχωριστών μεταφορών, καθεμία από τις οποίες θα χρειαζόταν χρόνο και θα δημιουργούσε μια επιπλέον ευκαιρία στα συστήματα ασφαλείας να εντοπίσουν κάτι ασυνήθιστο.

Ωστόσο, μια αναβάθμιση λογισμικού του Ethereum, γνωστή ως EIP-7702, προσέφερε μια συντόμευση.

Πριν από την εφαρμογή της τον Μάιο του 2025, ένα βασικό πορτοφόλι κρυπτονομισμάτων έμοιαζε περισσότερο με έναν τρεχούμενο λογαριασμό, όπου ο κάτοχος έπρεπε γενικά να εγκρίνει κάθε συναλλαγή. Η αναβάθμιση πρόσθεσε κάτι που μοιάζει περισσότερο με λειτουργία αυτόματης πληρωμής, επιτρέποντας σε ένα πορτοφόλι να δώσει στο λογισμικό τη δυνατότητα να ενεργεί εκ μέρους του και να ομαδοποιεί διάφορες ενέργειες.

Στις 8:20 μ.μ. περίπου (UTC) στις 29 Οκτωβρίου, οι χάκερ υπέβαλαν οδηγίες χρησιμοποιώντας μια έγκυρη υπογραφή από το πορτοφόλι Binance 14, ζητώντας από το δίκτυο Ethereum να επιτρέψει στον κώδικα που ελέγχεται από τους εισβολείς να ενεργήσει εκ μέρους του λογαριασμού, σύμφωνα με την Blockaid. Σε αυτό το σημείο κατέβαλαν το συνήθη τέλος επεξεργασίας του δικτύου για να ενεργοποιήσουν αυτή την εξουσιοδότηση.

Η συγκεκριμένη συναλλαγή δεν μετακίνησε χρήματα, απλώς έδωσε εντολή στο Ethereum να επιτρέψει στο λογισμικό των χάκερ να ενεργεί για λογαριασμό του πορτοφολιού.

«Το πρόγραμμα κάνει ένα πράγμα: όταν του το ζητήσει ο ιδιοκτήτης του, αδειάζει το πορτοφόλι σε μια διεύθυνση της επιλογής του ιδιοκτήτη», ανέφερε η εταιρεία έρευνας blockchain Tibane Labs σε μια έκθεσή της.

Τρεισήμισι λεπτά αργότερα, οι χάκερ ενεργοποίησαν την παγίδα. Λειτουργώντας με τα νέα δικαιώματα, το λογισμικό του εισβολέα μετέφερε περίπου 2,5 δισεκατομμύρια δολάρια σε μία μόνο συναλλαγή, σύμφωνα με την Blockaid. Η λεία περιελάμβανε 167.464 Ether και περισσότερα από 60 άλλα token, με κορυφαία το σταθερό νόμισμα USDT της Tether, αξίας 1,6 δισεκατομμυρίων δολαρίων.

Ταχύτερη διαφυγή

«Σε μια επίθεση, ο υπερασπιστής θέλει να επιβραδύνει τον εισβολέα», δήλωσε ο Dan Caspi, συνιδρυτής και διευθυντής τεχνολογίας της Hypernative. «Το EIP-7702 βοήθησε τους χάκερ να κινηθούν γρηγορότερα και να διατηρήσουν τον έλεγχο του πορτοφολιού ακόμη και αφού η Binance εντόπισε την παραβίαση.»

Επειδή το δικαίωμα βρισκόταν στο Ethereum, η απενεργοποίηση των αναλήψεων ή το κλείσιμο των υπηρεσιών «hot wallet» από την Binance δεν το ακύρωσε αυτόματα, σύμφωνα με την αναφορά περιστατικού του χρηματιστηρίου.

Καθώς οι καταθέσεις δεν επηρεάστηκαν και συνέχιζαν να εισρέουν στο Binance 14, οι χάκερ μπορούσαν ακόμα να πραγματοποιούν μεταφορές. Τελικά χρησιμοποίησαν την ίδια άδεια για να αποσπάσουν περίπου 3,6 δισεκατομμύρια δολάρια, συμπεριλαμβανομένου του αρχικού ποσού των 2,5 δισεκατομμυρίων δολαρίων, με 823 εκατομμύρια δολάρια να αποσύρονται από έναν άλλο λογαριασμό της Binance και τέσσερις επακόλουθες εκκαθαρίσεις του Binance 14, σύμφωνα με έκθεση της εταιρείας πληροφοριών blockchain Elliptic.

Ένας εκπρόσωπος της Binance επιβεβαίωσε ότι το EIP-7702 «διαδραμάτισε σημαντικό ρόλο» στην παραβίαση και ανέφερε ότι το χρηματιστήριο έχει λάβει μέτρα για την αντιμετώπιση του κινδύνου που προέκυψε.

«Ανακαλέσαμε την επηρεαζόμενη εξουσιοδότηση, ανακατασκευάσαμε την υποδομή του επηρεαζόμενου πορτοφολιού και ενημερώσαμε τους ελέγχους υπογραφής και παρακολούθησης για να αντιμετωπίσουμε αυτόν τον τύπο κινδύνου εξουσιοδότησης», ανέφεραν. «Αυτό περιλαμβάνει αυστηρότερες πολιτικές σχετικά με τις συναλλαγές τύπου εξουσιοδότησης, ενισχυμένη παρακολούθηση συμπεριφοράς, πρόσθετους ελέγχους σε επίπεδο συναλλαγής και διαδικασίες έκτακτης ανάκλησης».

Η Binance έχει επίσης ενισχύσει την επιβολή των ελέγχων πρόσβασης, ώστε η διαδρομή πρόσβασης που χρησιμοποιήθηκε να μην μπορεί να επαναληφθεί, ανέφερε ο εκπρόσωπος, προσθέτοντας ότι «τα κεφάλαια των χρηστών παραμένουν προστατευμένα και η Binance έχει απορροφήσει τις οικονομικές επιπτώσεις αυτού του συμβάντος».

Το περιστατικό αυτό καταδεικνύει πώς εργαλεία που προορίζονται να απλοποιήσουν τη διαχείριση των λογαριασμών κρυπτονομισμάτων μπορούν επίσης να καταστήσουν μια παραβίαση πολύ πιο καταστροφική, μόλις ένας εισβολέας καταφέρει να εισέλθει στο σύστημα.

Το FBI έχει αποδώσει την ευθύνη για την επίθεση, η οποία αποτελεί τη μεγαλύτερη κλοπή κρυπτονομισμάτων που έχει καταγραφεί, στη Βόρεια Κορέα. Η Πιονγιάνγκ έχει αρνηθεί οποιαδήποτε εμπλοκή.

Διαβάστε επίσης:

Binance: Πώς χάκερ με διασυνδέσεις στη Βόρεια Κορέα έκλεψαν 6,3 δισ. δολάρια μέσω ψεύτικης συνέντευξης εργασίας

ΕΚΤ: Σε νέα φάση η κούρσα διαδοχής της Λαγκάρντ με φαβορί Ντε Κος και Κνοτ

Τουρκία: Συνελήφθη πρώην υπουργός και στέλεχος του Ερντογάν για το σκάνδαλο χειραγώγησης κεφαλαίων