Хакеры получили контроль над кошельком Binance за $15 комиссии и вывели $2,5 млрд

Bloomberg со ссылкой на расследование Blockaid, компании по кибербезопасности, сообщил: атака на горячий кошелек Binance 14 обошлась хакерам примерно в $15 комиссии в сети Ethereum. Этой суммы хватило, чтобы получить контроль над кошельком и вывести активы на $2,5 млрд. Binance 14 использовался для клиентских выводов.

Атакующие применили EIP-7702 – механизм, появившийся в Ethereum с обновлением Pectra в мае 2025 года. Он позволяет обычным кошелькам делегировать программным контрактам право выполнять операции, чтобы пользователю не приходилось подписывать каждое действие. Если система управления хранилищем скомпрометирована, механизм дает возможность проводить множественные переводы без дополнительных подтверждений.

29 октября около 20:20 UTC злоумышленники отправили транзакцию с 50 разрешениями EIP-7702, подписанными скомпрометированной инфраструктурой Binance. Каждое разрешение соответствовало определенному порядковому номеру операции кошелька. Адрес был постоянно активен, поэтому атакующие не знали, какая подпись сработает; действительной оказалась одна. Управление кошельком перешло к вредоносному программному контракту, за установку делегирования хакеры заплатили около $15. Сама операция не предусматривала перевода средств, но дала доступ к активам Binance 14.

Через 3 минуты 24 секунды, в 20:24 UTC, злоумышленники активировали контракт и одной транзакцией вывели 167 464 ETH, около 1,615 млрд USDT и примерно 60 других токенов. Общая стоимость похищенного составила около $2,5 млрд. Дэн Каспи, технический директор компании Hypernative, в комментарии Bloomberg объяснил, что EIP-7702 позволил ускорить вывод и сохранить контроль над кошельком даже после обнаружения атаки.

Разрешение действовало в сети Ethereum независимо от внутренних систем биржи. Пока на адрес Binance 14 поступали новые средства, атакующие могли выводить их без повторного доступа к системе подписания. По оценке аналитической компании Elliptic, с помощью этого механизма хакеры переместили около $3,6 млрд, включая первоначальные $2,5 млрд; еще $823 млн вывели из другого кошелька Binance. Последний несанкционированный перевод прошел в 23:56 UTC 29 октября, делегирование удалили в 00:10 UTC следующего дня.

Представитель Binance подтвердил Bloomberg, что EIP-7702 сыграл значительную роль. По его словам, биржа отозвала вредоносные разрешения, перестроила затронутую инфраструктуру, усилила контроль над подписанием транзакций и внедрила инструменты мониторинга и экстренного отзыва полномочий. Атака не была связана со взломом криптографии Ethereum: использованы действительные разрешения, полученные из-за компрометации внутренних систем Binance. Около $2,85 млрд удалось заморозить или перехватить при содействии эмитентов токенов и других участников отрасли; финансовые последствия Binance взяла на себя.

Федеральное бюро расследований (ФБР) возложило ответственность на северокорейскую группировку TraderTraitor, связанную с Lazarus. Власти КНДР отвергли обвинения. После возобновления свопов в THORChain связанные со взломом кошельки продолжили конвертировать похищенные средства в биткоин.