הכותרת על האקרים ששילמו כ־15 דולר כדי להוציא 2.5 מיליארד דולר מביננס נשמעת כמו פריצה בזול. אבל העמלה הזאת לא קנתה להם גישה לבורסה: לפי הדיווחים, התוקפים כבר השיגו גישה לא מורשית למערכות פנימיות הקשורות לחתימת עסקאות, והצליחו להשיג הרשאה תקפה לארנק החם של ביננס, Binance 14.
18
22
שלוש דקות בין ההרשאה להעברה
ב־3 בנובמבר תיארה ביננס מסע הנדסה חברתית שכלל ריאיון עבודה מזויף ותוכנה זדונית, שבעקבותיהם נפרץ מחשבו של מהנדס. לפי דיווחים המבוססים על תיאור החברה, התוקפים השתמשו בהמשך גם בכלי AI פנימי כדי להגיע למערכות הנוגעות לחתימת ארנקים.
לפי ניתוחי הבלוקצ'יין שצוטטו בדיווחים, כך התקדמה הפעולה ב־29 באוקטובר, לפי שעון UTC:
- 20:20:59: עסקה כללה 50 הרשאות EIP-7702 שנחתמו באמצעות המפתח של ארנק Binance 14.
18
24
- 20:24:23: כעבור 3 דקות ו־24 שניות הועברו מהארנק כ־2.5 מיליארד דולר. בין הנכסים שצוינו: כ־167,464 ETH וכ־1.615 מיליארד USDT, לצד אסימונים נוספים.
17
18
לפי אחד הדיווחים, ההעברה הזאת לבדה הייתה כ־40% מהגניבה הכוללת. האירוע הרחב יותר — שכלל ארנקים בכמה רשתות בלוקצ'יין — הוערך בכ־6.3–6.4 מיליארד דולר.
9
22
מה עשתה EIP-7702, ומה קנתה עמלת ה־15 דולר?
EIP-7702 מאפשרת לחשבון Ethereum רגיל להאציל לחוזה חכם חלק מהפעולות שהוא יכול לבצע. במקרה המדווח, ההרשאה קישרה את Binance 14 לקוד בשליטת התוקפים, שאפשר לבצע באמצעות הארנק פעולת ריקון של נכסים.
13
24
כ־15 דולר הם, לפי הדיווח, עמלת הרשת ששולמה כדי להעלות את ההרשאה לבלוקצ'יין. הסכום הזה אינו המחיר של פריצה למחשב העובד, של גישה למערכות החתימה של ביננס או של השגת הרשאה תקפה.
22
ההבחנה חשובה גם להבנת מה שקרה למפתח הפרטי. קיומה של הרשאה תקפה בבלוקצ'יין אינו מוכיח כשלעצמו שהתוקפים השיגו או חשפו את המפתח הפרטי של הארנק. ביננס תיארה גישה לא מורשית לשירות פנימי לחתימת ארנקים, ו־Fireblocks דיווחה בניתוח ראשוני שלא מצאה ראיות לכך שמפתחות פרטיים דלפו.
8
21
ההיקף הרחב והתגובה של ביננס
TRM Labs העריכה שכ־6.36 מיליארד דולר יצאו מארנקי ביננס בעשר רשתות בלוקצ'יין, רובם בתוך כ־20 דקות שהחלו ב־20:05 UTC. בהודעת הממצאים הראשונית שלה העריכה ביננס את היקף הנכסים שנפגעו בכ־6.34 מיליארד דולר. אלו אומדנים של האירוע הרב־רשתי כולו, ולא של ההעברה מארנק Binance 14 בלבד.
8
9
ביננס מסרה כי כ־2.85 מיליארד דולר הוקפאו או יורטו עד לפרסום העדכון הראשוני. החברה ציינה שהסכום עשוי להשתנות בעקבות התאמות ותנודות במחירי השוק. חשוב להבחין: נכסים שהוקפאו או יורטו אינם בהכרח נכסים שהושבו לבעליהם.
8
במהלך הטיפול באירוע ביננס השעתה משיכות, ובהמשך החלה לחדש אותן בהדרגה. דיווח נפרד ציין כי ההרשאה הרלוונטית בבלוקצ'יין בוטלה. אלה פעולות שונות: עצירת משיכות בבורסה אינה זהה לביטול הרשאה שכבר הותקנה בארנק.
11
ב־31 באוקטובר ייחס ה־FBI את גניבת הנכסים, בהיקף של יותר מ־6 מיליארד דולר, לצפון קוריאה, וכינה את הפעילות TraderTraitor. הייחוס מתייחס לאירוע הרחב; ציר העסקאות מסביר כיצד בוצעה העברת הנכסים מ־Binance 14, אך אינו כשלעצמו קובע מי עמד מאחוריה.
1