Binance a confirmat joi noaptea, 29 octombrie, că atacul informatic asupra portofelelor sale a vizat active de aproximativ 6,3 miliarde de dolari. Este cel mai mare furt din istoria criptomonedelor. Firma de analiză blockchain TRM Labs atribuie operațiunea grupului nord-coreean TraderTraitor, iar bursa a suspendat temporar toate depunerile și retragerile.
Cifra depășește de peste patru ori recordul anterior, stabilit în februarie 2025, când hackeri legați de Coreea de Nord au furat aproximativ 1,5 miliarde de dolari de la bursa Bybit. Binance a anunțat că va acoperi integral pierderile din fondurile proprii și din fondul de urgență SAFU, iar fondurile utilizatorilor sunt în siguranță.
Cum s-a produs atacul
Potrivit TRM Labs, atacatorul a retras aproximativ 6,36 miliarde de dolari din portofelele Binance de pe zece rețele blockchain, majoritatea în circa 20 de minute. Primele transferuri suspecte au fost observate în jurul orei 20:24 UTC, așa cum relata Semnal după primele semnale ale lui Changpeng Zhao.
Binance a transmis că investigația inițială indică drept punct de intrare laptopul compromis al unui inginer DevOps. Acesta i-ar fi permis atacatorului să acceseze un container de servicii și să trimită tranzacții de retragere neautorizate. TRM a precizat că activitatea coordonată pe mai multe rețele sugerează o compromitere mai largă a infrastructurii de semnare a tranzacțiilor, însă traseul complet al atacului nu a fost confirmat.
Rolul mecanismului EIP-7702
Analizele publicate vineri de TRM Labs și de firma de securitate Blockaid arată cum a fost preluat controlul asupra „Binance 14”, unul dintre cele mai folosite portofele ale bursei pe Ethereum. Atacatorul a folosit EIP-7702, un mecanism introdus în rețea prin actualizarea Pectra din mai 2025.
EIP-7702 permite unui portofel obișnuit să execute codul unui contract inteligent după ce semnează o autorizare. Atacatorul a trimis la 20:20 UTC o singură tranzacție cu 50 de astfel de autorizări semnate în numele portofelului Binance. Doar una s-a potrivit cu numărul curent de tranzacții al portofelului, iar aceea a fost suficientă.
Din acel moment, portofelul a rulat un contract de tip „sweeper”, pe care doar atacatorul îl putea comanda. Contractul fusese pregătit cu câteva ore înainte, de pe o adresă finanțată prin Tornado Cash, potrivit Blockaid. Publicația The Crypto Times notează că portofelul a fost golit de trei ori, pe măsură ce sistemele Binance îl realimentau automat.
Binance a precizat că nu a găsit dovezi privind scurgerea cheilor private ale portofelelor. TRM consideră că cea mai probabilă explicație este că atacatorul a reușit să facă sistemul de semnare al bursei să semneze tranzacțiile dorite de el, pe mai multe rețele. Specialiștii subliniază că EIP-7702 nu conține o vulnerabilitate în sine, ci a fost folosit după compromiterea infrastructurii interne.
După transfer, fondurile au fost împărțite între mai multe portofele controlate de atacator. Potrivit relatărilor inițiale, o parte din active a fost convertită în ether, pe care emitenții de stablecoinuri nu îl pot îngheța.
