해커들이 $15 수수료로 Binance 지갑을 장악하고 $25억을 인출하다

Bloomberg는 사이버 보안 회사 Blockaid의 조사를 인용하여 Binance 14 핫 월렛에 대한 공격이 해커들에게 약 15달러의 이더리움 네트워크 수수료를 발생시켰다고 보도했습니다. 이 금액은 월렛을 제어하고 25억 달러 상당의 자산을 인출하는 데 충분했습니다. Binance 14는 고객 인출에 사용되었습니다.

공격자들은 2025년 5월 Pectra 업데이트로 이더리움에 도입된 메커니즘인 EIP-7702를 활용했습니다. 이는 일반 월렛이 스마트 계약에 작업을 실행할 권한을 위임할 수 있게 하여 사용자가 각 작업을 서명할 필요가 없도록 합니다. 저장 관리 시스템이 손상된 경우, 이 메커니즘은 추가 확인 없이 여러 번의 전송을 허용합니다.

10월 29일 20:20 UTC 경, 공격자들은 손상된 Binance 인프라에 의해 서명된 50개의 EIP-7702 권한을 가진 거래를 보냈습니다. 각 권한은 특정 월렛 작업 순서 번호에 해당했습니다. 주소는 지속적으로 활성화되어 있었기 때문에 공격자들은 어떤 서명이 작동할지 알지 못했으며, 하나가 유효한 것으로 판명되었습니다. 월렛의 제어는 악성 스마트 계약으로 이전되었고, 해커들은 위임 설정에 약 15달러를 지불했습니다. 이 작업 자체는 자금의 전송을 포함하지 않았지만 Binance 14의 자산에 대한 접근을 허용했습니다.

3분 24초 후인 20:24 UTC에 공격자들은 계약을 활성화하고 단일 거래로 167,464 ETH, 약 16억 1,500만 USDT 및 약 60개의 다른 토큰을 인출했습니다. 도난당한 자산의 총 가치는 약 25억 달러였습니다. Hypernative의 CTO Dan Caspi는 Bloomberg에 EIP-7702가 신속한 인출을 가능하게 했으며 공격이 감지된 후에도 월렛에 대한 제어를 유지했다고 설명했습니다.

권한은 거래소의 내부 시스템과 독립적으로 이더리움 네트워크에서 유효했습니다. 새로운 자금이 Binance 14 주소로 보내질 때마다 공격자들은 서명 시스템에 대한 접근을 다시 얻지 않고도 이를 인출할 수 있었습니다. 분석 회사 Elliptic에 따르면, 이 메커니즘을 사용하여 해커들은 초기 25억 달러를 포함하여 약 36억 달러를 이동시켰으며, 다른 Binance 월렛에서 8억 2,300만 달러가 추가로 인출되었습니다. 마지막 비인가 전송은 10월 29일 23:56 UTC에 발생했으며, 위임은 다음 날 00:10 UTC에 제거되었습니다.

Binance의 대변인은 Bloomberg에 EIP-7702가 중요한 역할을 했음을 확인했습니다. 그의 말에 따르면, 거래소는 악성 권한을 취소하고 영향을 받은 인프라를 재구성했으며, 거래 서명에 대한 통제를 강화하고 모니터링 및 긴급 취소 도구를 구현했습니다. 공격은 이더리움 암호화의 침해와 관련이 없었습니다: Binance의 내부 시스템의 손상으로 인해 얻어진 유효한 권한이 사용되었습니다. 약 28억 5천만 달러가 토큰 발행자 및 기타 업계 참가자의 도움으로 동결되거나 차단되었습니다; Binance는 재정적 결과를 감수했습니다.

연방수사국(FBI)은 Lazarus와 연결된 북한 그룹 TraderTraitor를 비난했습니다. 북한 당국은 이러한 비난을 부인했습니다. THORChain에서 스왑이 재개된 후, 해킹과 관련된 월렛들은 도난당한 자금을 비트코인으로 계속 변환했습니다.