Kẻ tấn công Binance bán tháo 158 triệu USD altcoin, nhà điều tra nghi vấn

Bảy loại token biến mất chỉ trong vài giờ

Kẻ trộm đứng sau vụ tấn công Binance đã nhanh chóng chuyển đổi các altcoin bị đánh cắp thành ether. Các công cụ theo dõi trên chuỗi cho biết kẻ tấn công đã bán tháo một loạt altcoin bao gồm UNI, ENA, PEPE, LINK, AAVE, ONDO và WLD, đổi chúng lấy 70.480 ETH trị giá khoảng 158,25 triệu USD.

• 7,02 triệu UNI được bán với giá 39,63 triệu USD, mỗi đồng 5,65 USD.
• 217,5 triệu ENA được bán với giá 33,93 triệu USD, mỗi đồng 0,16 USD.
• 7,77 nghìn tỷ PEPE được bán với giá 31,66 triệu USD.
• 2,57 triệu LINK đã được bán với giá 26,05 triệu USD, mỗi đơn vị 10,14 USD.
• 127.953 AAVE được bán với giá 14,27 triệu USD, mỗi đơn vị 111,55 USD.
• 21,85 triệu ONDO và 17,32 triệu WLD được bán với giá 6,62 triệu USD và 6,09 triệu USD.

Kẻ tấn công đã phải trả giá đắt cho sự vội vàng của mình, với một nhà phân tích lưu ý rằng cá nhân này đã bán 7.018.792 UNI trong 51 phút, chấp nhận mức giá thấp hơn 21% trong lần hoán đổi cuối cùng so với lần đầu tiên. Việc rút PEPE diễn ra cẩn trọng hơn, với một công cụ theo dõi ghi nhận 85 lần hoán đổi trong vòng một tiếng rưỡi và không có giao dịch nào vượt quá 1,05 triệu USD.

Lý do rất đơn giản, đó là vì Tether và Circle đã đóng băng các số dư stablecoin lớn, nên kẻ tấn công sẵn sàng trả mức phí cao hơn để rút tiền kịp thời.

TRM Labs cho biết kẻ tấn công cũng đã bán khoảng 325 triệu USDT cho các nhà tạo lập thị trường với giá khoảng 122.300 ETH, với mức chiết khấu hơn 10%.

Tại sao Binance có thể cần phải mua lại

Việc bán tháo này để lại một lỗ hổng trong sổ sách của Binance, vì các vị thế ENA, UNI, PEPE và AAVE bị đánh cắp chiếm từ 7% đến 15% số lượng nắm giữ được Binance báo cáo của từng token, bởi vì ví bị rút cạn đã được tính vào bằng chứng dự trữ của sàn. Một nhà giao dịch cho rằng Binance thực chất đang ở vị thế bán ròng khoảng 40 triệu USDT đối với PEPE và sẽ phải mua lại.

Binance đã cam kết bù đắp toàn bộ thiệt hại từ quỹ bảo vệ người dùng và quỹ của công ty. Một số nhà bình luận thị trường đang “đi trước” động thái này, với một ví mới được tạo ra đã mở vị thế mua gấp 3 lần đối với 22,78 triệu ENA trị giá 4,09 triệu USD trên Hyperliquid ngay sau khi đợt bán tháo ENA kết thúc.

Binance khẳng định không có khóa riêng tư nào bị rò rỉ

Cách thức kẻ tấn công xâm nhập hiện đang là chủ đề tranh cãi. Binance cho biết cuộc điều tra ban đầu của họ cho thấy vụ việc có thể liên quan đến máy tính xách tay của một kỹ sư DevOps bị xâm nhập, khiến kẻ tấn công có thể truy cập vào một container dịch vụ và thực hiện các giao dịch rút tiền trái phép. Công ty sau đó đã làm rõ:

"Chúng tôi chưa tìm thấy bằng chứng nào về việc rò rỉ khóa riêng của ví."

Một số nhà nghiên cứu có cách hiểu khác nhau về tuyên bố này, trong đó một số cho rằng sự cố đã leo thang từ việc khai thác lỗ hổng ủy quyền EIP-7702 sang khả năng khóa ký Binance 16 bị xâm phạm. EIP-7702 là một tính năng của Ethereum cho phép ví thông thường tạm thời chạy mã hợp đồng thông minh.

Công ty bảo mật Blockaid phát hiện kẻ tấn công đã gửi 50 yêu cầu ủy quyền trong một giao dịch để đoán nonce trực tiếp của ví nóng — một bộ đếm sắp xếp thứ tự các giao dịch — và chỉ có một yêu cầu trùng khớp.

Điểm mạnh nhất của những người hoài nghi là vụ trộm không chỉ giới hạn ở Ethereum. Về vấn đề này, TRM cho biết các ví trên chín chuỗi khác đã gửi tiền thông qua các giao dịch ký thông thường, và đánh giá rằng kẻ tấn công có thể khiến hệ thống ký ví nóng của Binance “ký các giao dịch mà hắn chọn”.

Một thống kê cho thấy số tiền bị rút ra là 1,449 tỷ USD trên Bitcoin và 628 triệu USD trên Tron, nơi không có EIP-7702.

Lạm dụng, chứ không phải trộm cắp?

Một kẻ tấn công bên trong một dịch vụ có thể yêu cầu chữ ký có thể sử dụng các khóa mà không cần trích xuất chúng. Nhà nghiên cứu on-chain 0xQuit lưu ý rằng kẻ tấn công đã sử dụng một bộ chuyển tiếp, điều này sẽ không cần thiết nếu có quyền truy cập trực tiếp vào khóa, đồng thời bổ sung:

Có vẻ như họ [the attacker] không có các khóa riêng tư.

Bitcoin.com News đã phân tích những thông tin đã được xác nhận về vụ vi phạm cho đến nay.

Dù sao đi nữa, hậu quả của vụ việc đã lan sang lĩnh vực tài chính phi tập trung (DeFi), khi kẻ tấn công đã vay khoảng 19.760 ETH trên Aave với 60 triệu USDT làm tài sản thế chấp, và Aave đã đóng băng các thị trường V3 của mình trên Ethereum. Do đó, giá ether đã giảm 5,2% xuống còn 2.190 USD vào đầu ngày 30 tháng 10.