هاكرز يسيطرون على محفظة Binance مقابل 15 دولارًا ويسحبون 2.5 مليار دولار

ذكرت بلومبرج، نقلاً عن تحقيق أجرته شركة الأمن السيبراني Blockaid، أن الهجوم على محفظة Binance 14 الساخنة كلف القراصنة حوالي 15 دولارًا كرسوم على شبكة الإيثيريوم. كان هذا المبلغ كافيًا للسيطرة على المحفظة وسحب أصول بقيمة 2.5 مليار دولار. تم استخدام Binance 14 لعمليات سحب العملاء.

استغل المهاجمون EIP-7702، وهي آلية تم تقديمها في الإيثيريوم مع تحديث Pectra في مايو 2025. تسمح هذه الآلية للمحافظ العادية بتفويض الحق في تنفيذ العمليات للعقود الذكية، بحيث لا يضطر المستخدم لتوقيع كل إجراء. إذا تم اختراق نظام إدارة التخزين، فإن الآلية تسمح بالعديد من التحويلات دون تأكيدات إضافية.

في 29 أكتوبر حوالي الساعة 20:20 بالتوقيت العالمي، أرسل المهاجمون معاملة تحتوي على 50 إذنًا لـ EIP-7702، موقعة من البنية التحتية المخترقة لـ Binance. كل إذن كان يتوافق مع رقم تسلسل عملية محفظة محدد. كان العنوان نشطًا باستمرار، لذلك لم يعرف المهاجمون أي توقيع سيعمل؛ وتبين أن أحدها كان صالحًا. تم نقل السيطرة على المحفظة إلى العقد الذكي الضار، ودفع القراصنة حوالي 15 دولارًا لإعداد التفويض. لم تتضمن العملية نفسها نقل الأموال ولكن منحت الوصول إلى أصول Binance 14.

بعد ثلاث دقائق و24 ثانية، في الساعة 20:24 بالتوقيت العالمي، قام المهاجمون بتفعيل العقد وفي معاملة واحدة سحبوا 167,464 ETH، حوالي 1.615 مليار USDT، وحوالي 60 رمزًا آخر. كانت القيمة الإجمالية للأصول المسروقة حوالي 2.5 مليار دولار. أوضح دان كاسبي، المدير التقني لشركة Hypernative، لبلومبرج أن EIP-7702 سمح بسحب سريع والحفاظ على السيطرة على المحفظة حتى بعد اكتشاف الهجوم.

كان الإذن صالحًا على شبكة الإيثيريوم بشكل مستقل عن أنظمة البورصة الداخلية. ومع إرسال أموال جديدة إلى عنوان Binance 14، كان بإمكان المهاجمين سحبها دون استعادة الوصول إلى نظام التوقيع. وفقًا لشركة التحليلات Elliptic، باستخدام هذه الآلية، نقل القراصنة حوالي 3.6 مليار دولار، بما في ذلك الـ 2.5 مليار دولار الأولية؛ وتم سحب 823 مليون دولار أخرى من محفظة أخرى لـ Binance. حدثت آخر عملية نقل غير مصرح بها في الساعة 23:56 بالتوقيت العالمي في 29 أكتوبر، وتم إزالة التفويض في الساعة 00:10 بالتوقيت العالمي في اليوم التالي.

أكد ممثل Binance لبلومبرج أن EIP-7702 لعب دورًا كبيرًا. وفقًا له، قامت البورصة بإلغاء الأذونات الضارة، وأعادت هيكلة البنية التحتية المتأثرة، وعززت السيطرة على توقيع المعاملات، وطبقت أدوات المراقبة والإلغاء الطارئ. لم يكن الهجوم مرتبطًا بانتهاك تشفير الإيثيريوم: تم استخدام أذونات صالحة تم الحصول عليها بسبب اختراق أنظمة Binance الداخلية. تم تجميد أو اعتراض حوالي 2.85 مليار دولار بمساعدة مصدري الرموز والمشاركين الآخرين في الصناعة؛ وتحملت Binance العواقب المالية.

ألقت مكتب التحقيقات الفيدرالي (FBI) باللوم على المجموعة الكورية الشمالية TraderTraitor، المرتبطة بـ Lazarus. نفت السلطات الكورية الشمالية الاتهامات. بعد استئناف المبادلات على THORChain، استمرت المحافظ المرتبطة بالاختراق في تحويل الأموال المسروقة إلى بيتكوين.