Хакер Binance сбыл альткоинов на $158 млн, следователи сомневаются в версии биржи

Семь токенов исчезли за несколько часов

Злоумышленник, стоящий за взломом Binance, не стал терять время и быстро обменял украденные альткоины на эфир. Сервисы отслеживания блокчейна сообщили, что злоумышленник завершил сброс целого ряда альткойнов, включая UNI, ENA, PEPE, LINK, AAVE, ONDO и WLD, обменяв их на 70 480 ETH на сумму около 158,25 млн долларов.

• 7,02 млн UNI были проданы за 39,63 млн долларов по цене 5,65 доллара.
• 217,5 млн ENA были проданы за 33,93 млн долларов по цене 0,16 доллара за монету.
• 7,77 трлн PEPE было продано за 31,66 млн долларов.
• 2,57 млн LINK было продано за 26,05 млн долларов по цене 10,14 доллара за токен.
• 127 953 токена AAVE были проданы за 14,27 млн долларов по цене 111,55 доллара за токен.
• 21,85 млн ONDO и 17,32 млн WLD были проданы за 6,62 млн долларов и 6,09 млн долларов.

Злоумышленник дорого заплатил за свою поспешность: как отметил один из аналитиков, он продал 7 018 792 токена UNI за 51 минуту, получив при последнем обмене цену на 21 % ниже, чем при первом. Вывод средств из PEPE проходил более осторожно: по данным трекера, за полтора часа было совершено 85 сделок, и ни одна из них не превышала 1,05 млн долларов.

Логика была проста: поскольку Tether и Circle уже заморозили крупные остатки в стейблкоинах, хакер был готов заплатить надбавку, чтобы успеть обналичить средства вовремя.

TRM Labs сообщила, что злоумышленник также продал около 325 млн USDT маркет-мейкерам за примерно 122 300 ETH с дисконтом более 10%.

Почему Binance, возможно, придется выкупить активы

Эта распродажа оставляет дыру в балансе Binance, учитывая, что похищенные позиции по ENA, UNI, PEPE и AAVE составляют от 7% до 15% от заявленных Binance запасов каждого токена, поскольку опустошенный кошелек учитывался в подтверждении резервов. Один из трейдеров утверждает, что Binance фактически имеет чистую короткую позицию по PEPE на сумму около 40 млн долларов и будет вынуждена выкупить эти токены.

Binance пообещала покрыть все убытки за счет фонда защиты пользователей и средств компании. Некоторые рыночные обозреватели опережают это предложение: сразу после окончания сброса ENA на Hyperliquid с помощью недавно созданного кошелька была открыта 3-кратная длинная позиция на 22,78 млн ENA стоимостью 4,09 млн долларов.

Binance заявляет, что утечки ключей не было

В настоящее время ведутся споры о том, как злоумышленнику удалось проникнуть в систему. Binance сообщила, что, по результатам первоначального расследования, инцидент, возможно, связан с взломом ноутбука инженера по DevOps, что позволило злоумышленнику получить доступ к сервисному контейнеру и инициировать несанкционированные выводы средств. Затем компания уточнила:

«Мы не обнаружили никаких доказательств утечки частных ключей кошельков».

Некоторые исследователи по-разному интерпретировали эти комментарии: одни утверждают, что инцидент перерос из эксплойта делегирования по EIP-7702 в потенциальный взлом ключа подписи Binance 16. EIP-7702 — это функция Ethereum, позволяющая обычному кошельку временно запускать код смарт-контракта.

Компания Blockaid, специализирующаяся на безопасности, обнаружила, что злоумышленник отправил 50 авторизаций в одной транзакции, чтобы угадать текущий нонс горячего кошелька — счетчик, упорядочивающий его транзакции, — и только одна из них совпала.

Самым весомым аргументом скептиков является то, что кража не ограничилась Ethereum. В связи с этим TRM сообщила, что кошельки на девяти других цепочках отправляли средства посредством обычных подписанных переводов, и пришла к выводу, что злоумышленник, вероятно, мог заставить систему подписи «горячего» кошелька Binance «подписывать транзакции по своему усмотрению».

По одним подсчётам, отток средств составил 1,449 млрд долларов в биткойнах и 628 млн долларов в тоне, где EIP-7702 отсутствует.

Злоупотребление, а не кража?

Злоумышленник, находящийся внутри сервиса, который может запрашивать подписи, мог использовать ключи, даже не извлекая их. Исследователь Onchain 0xQuit отметил, что злоумышленник использовал ретранслятор, что было бы ненужным при прямом доступе к ключам, и добавил:

Похоже, что у него [the attacker] не обладали закрытыми ключами.

Bitcoin.com News подробно разобрал, что на данный момент подтверждено в отношении этой утечки.

В любом случае последствия инцидента затронули сферу децентрализованных финансов (DeFi): злоумышленник взял в кредит на Aave около 19 760 ETH под залог 60 млн USDT, в результате чего Aave заморозила свои рынки V3 на Ethereum. В результате 30 октября в начале дня курс эфира упал на 5,2% до 2 190 долларов.