Binance-hack: egyetlen tárcaengedély nyitott utat a 6,3 milliárd dolláros támadáshoz
A kriptotőzsde becslése szerint az október 29-i biztonsági incidens mintegy 6,3 milliárd dollárnyi kriptoeszközt érintett, miközben a szolgáltatók összehangolt fellépésével hozzávetőleg 3 milliárd dollár értékű vagyont sikerült zárolni. A Binance teljes veszteségfedezetet ígér, de a támadás belső rendszereket érintő részleteinek feltárása még folyamatban van.
Binance-hack: mit tudunk a milliárdos incidensről?
A Binance október 30-i biztonsági tájékoztatása alapján a támadás kiindulópontja egy DevOps-mérnök feltételezhetően kompromittált laptopja lehetett. Ezen keresztül a támadó hozzáférhetett egy belső szolgáltatási konténerhez, amelynek felhasználásával jogosulatlan kiutalási tranzakciókat kezdeményezhetett. A vállalat ugyanakkor hangsúlyozta: egyelőre nem találtak bizonyítékot arra, hogy bármely tárca privát kulcsa kiszivárgott volna.
Ez lényeges különbség, mert a jogosulatlan tranzakciók megjelenése önmagában még nem tárja fel a teljes támadási útvonalat. A vizsgálatnak azt is tisztáznia kell, hogyan jutott a támadó azokhoz az érvényes engedélyekhez, amelyekkel megváltoztathatta az érintett Ethereum-fiók működését. A Binance részletes technikai jelentést ígért, amint az eseményeket és a bizonyítékokat teljeskörűen ellenőrizte.
A 6,3 milliárd dolláros összeg az incidens becsült teljes érintettségét jelzi, ezért nem azonos automatikusan a véglegesen elveszett vagyonnal. A zárolások, az esetleges visszaszerzések és az eszközök értékelése még módosíthatják a végső veszteséget. Az ügyfelek szempontjából közben az a legfontosabb vállalás, hogy a tőzsde saját forrásaiból is fedezné a hiányt.
Ötven engedélyből egyetlen találat is elég volt
A Blockaid blokkláncbiztonsági vállalat elemzése szerint a támadás egyik kulcsfontosságú célpontja a Binance 14 elnevezésű Ethereum-hot wallet volt. A hot wallet, vagyis online működő tárca a napi be- és kiutalások kiszolgálásában vesz részt, ezért az ilyen címeken jelentős forgalom haladhat át. A támadó ezt a tárcát kapcsolta össze egy általa telepített rosszindulatú okosszerződés kódjával.
Az elemzés egy október 29-én, 20:20:59 UTC-kor benyújtott tranzakciót azonosított, amely összesen 50 EIP-7702-engedélyt tartalmazott. Az EIP-7702 lehetővé teszi, hogy egy hagyományos Ethereum-fiók okosszerződéskódot használjon a működéséhez. A támadás során ezt a delegálási lehetőséget fordították a tárca tulajdonosa ellen.
Az engedélyek érvényesítéséhez az adott fiók aktuális nonce-értékének, vagyis tranzakciós számlálójának is megfelelőnek kellett lennie. Mivel a Binance 14 folyamatosan dolgozta fel a kiutalásokat, a támadó nem tudhatta biztosan, milyen számlálóértéknél kerül sor az engedély végrehajtására. Ezért az 50 engedély egymást követő értékeket fedett le, 18 914 775-től 18 914 824-ig.
Végül csak egyetlen engedély bizonyult érvényesnek, de ez elegendő volt a rosszindulatú delegálás aktiválásához. Fontos, hogy itt nem a privát kulcs egyszerű találgatásáról volt szó: a megfelelő számlálóérték önmagában nem jogosít fel egy tárca átvételére. A döntő kérdés továbbra is az, hogyan szerezte meg a támadó a szükséges, érvényesen aláírt felhatalmazásokat.
Így ürítették ki az Ethereum-tárcát
A forrásszövegben ismertetett technikai elemzés szerint a delegálás egy olyan okosszerződésre mutatott, amelynek forráskódja nem volt ellenőrzötten közzétéve. A szerződés lehetővé tette, hogy egy támadó által irányított cím meghívja a sweep() nevű funkciót. Ez ETH-t és ERC-20 tokeneket továbbított, miközben 1 ETH-t meghagyott a tranzakciós költségek fedezésére.
A veszély ráadásul nem feltétlenül ért véget az első vagyonkivonással. Amíg a rosszindulatú delegálás érvényben maradt, a tárcára később érkező befizetések is kockázatnak lehettek kitéve. A Binance később közölte, hogy visszavonta az érintett engedélyt, amivel megszüntette ezt a hozzáférési lehetőséget.
A támadó megközelítőleg 20:24 UTC-kor mintegy 2,5 milliárd dollárnyi kriptoeszközt vont ki a Binance 14 tárcából. A transzferek között 167 464 ETH, több mint 1,6 milliárd USDT, valamint több tucat további token szerepelt. Ez azonban csak az egyik része volt a teljes incidensnek.
További pénzmozgások érintették a Binance 16 tárcát és egy másik, USDC-t tartó Ethereum-hot walletet is. A művelet több blokklánchálózatra terjedt ki, köztük a Bitcoinra, a Tronra, az Arbitrumra és az Avalanche-ra. Az Ethereumon azonosított engedélyezési visszaélés ezért nem tekinthető automatikusan az összes érintett hálózaton végrehajtott kiutalás technikai magyarázatának.
Előkészített támadásra utalnak a tranzakciók
A blokkláncon megfigyelt előzmények alapján az akció előkészítése már a fő vagyonkivonás előtt megkezdődött. A támadó három Tornado Cash-kivétellel finanszírozta a műveletekhez használt címét, és órákkal a Binance-tárca megtámadása előtt telepítette a rosszindulatú szerződést. Ezek az előzmények tudatosan felépített műveletre utalnak.
A forrásszöveg egy korábbi, október 14-i esetet is felidéz, amelyben egy kompromittált Ethereum-fiókból megközelítőleg 22 770 dollárnyi ETH tűnt el. Korábbi kutatások szintén azonosítottak olyan automatizált szerződéseket, amelyek a Pectra-frissítést követően rosszindulatú delegálásokkal mozgattak ki vagyont érintett fiókokból. A Binance-eset sajátossága így elsősorban a megtámadott infrastruktúra és az érintett vagyon nagyságrendje.
Milliárdos stabilcoin-zárolások indultak
A gyanús pénzmozgásokat követően a stabilcoin-kibocsátók gyorsan korlátozni kezdték az érintett címeken tartott eszközök mozgását. Paolo Ardoino, a Tether vezérigazgatója több mint 1,567 milliárd USDT zárolásáról számolt be. Jeremy Allaire, a Circle vezérigazgatója pedig több mint 800 millió USDC befagyasztását jelezte, a bűnüldöző szervekkel folytatott együttműködés mellett.
A két kibocsátó intézkedése így együttesen több mint 2,3 milliárd dollárnyi stabilcoint érintett. A Ripple stabilcoin-üzletágát vezető Jack McDonald arról beszélt, hogy az érintett szereplőkkel együttműködve dolgoznak a támadáshoz kapcsolódó RLUSD-állomány zárolásán. Ezeknél az eszközöknél a kibocsátói korlátozási lehetőség fontos szerepet kaphat a károk mérséklésében.
Az Arbitrum Security Council közben 74 559 805 ARB-t és 8425 ETH-t helyezett át egy támadáshoz kapcsolódó címről korlátozott hozzáférésű köztes tárcába. A közlés szerint ezek az eszközök csak a tanács további intézkedésével vagy az Arbitrum DAO irányítási döntésével mozdíthatók el. A Binance összesítése hozzávetőleg 3 milliárd dollárnyi zárolt vagyonról szólt.
A zárolás ugyanakkor nem egyenlő az eszközök visszaszolgáltatásával. Elsősorban azt akadályozza meg, hogy az érintett vagyont továbbmozgassák, miközben a tényleges visszaszerzéshez további technikai és jogi lépések is szükségesek lehetnek. Ezért a befagyasztott összegeket érdemes külön kezelni a már visszakapott pénztől.
Befizetések, kiutalások és a helyreállítás menete
A Binance kezdetben a befizetések és kiutalások átmeneti felfüggesztését jelentette be a biztonsági ellenőrzések idejére. Ezzel párhuzamosan blokkláncelemző vállalatokkal és a hatóságokkal dolgozott a pénzmozgások követésén. Az elsődleges cél a további jogosulatlan tranzakciók megállítása és az érintett rendszerek átvizsgálása volt.
A forrásszövegben szereplő későbbi szolgáltatási tájékoztatásban Yi He társalapító már azt pontosította, hogy a befizetések rendben működnek. A kiutalási rendszerek és a címellenőrzések megerősítése mellett a kiutalások újraindítását a közlést követő 48 órán belülre várták. Ez előzetes várakozásként értelmezendő, nem minden hálózatra és időpontra érvényes, feltétlen garanciaként.
SAFU és vállalati tartalékok fedeznék a veszteséget
A Binance vállalása szerint a veszteségeket a Secure Asset Fund for Users, röviden SAFU, valamint a vállalat saját pénzügyi forrásainak felhasználásával fedezi. A helyreállítás befejezése után frissített Proof of Reserves, vagyis tartalékigazolás közzétételét is tervezi. Ez további információt adhat az ügyfélvagyon mögött álló eszközállományról.
Changpeng Zhao, a Binance alapítója nyilvánosan szintén azt hangsúlyozta, hogy az ügyfélpénzek biztonságban vannak. Hozzátette, hogy már nem ő irányítja a tőzsdét, de teljes veszteségfedezetre számít. A Binance amerikai leányvállalata külön jelezte, hogy működését nem érintette az incidens.
A történet legfontosabb nyitott kérdése továbbra is az engedélyek megszerzésének pontos módja. A feltételezett laptopkompromittálás, a belső kiutalási szolgáltatáshoz való hozzáférés és a tárcadelegálás közötti kapcsolatot a részletes vizsgálatnak kell feltárnia. Enélkül korai lenne egyetlen technikai hibára visszavezetni a teljes, több hálózatot érintő támadást.
Összegzés: egy engedély, rendszerszintű következmények
A Binance-hack megmutatja, milyen súlyos következménye lehet annak, ha egy nagy forgalmú tárcához tartozó érvényes felhatalmazás illetéktelen kezekbe kerül. Az Ethereum-tárcánál egyetlen sikeres delegálás elegendő volt a rosszindulatú kód aktiválásához, miközben a teljes incidens jóval szélesebb infrastruktúrát érintett. A történet ezért egyszerre szól a tárcaengedélyek ellenőrzéséről és a tőzsdei belső rendszerek védelméről.
Az eddigi közlések alapján 6,3 milliárd dollárnyi érintett vagyon, hozzávetőleg 3 milliárd dollárnyi zárolás és teljes veszteségfedezeti ígéret rajzolja ki az ügy pénzügyi kereteit. A végső mérleget azonban a visszaszerzett eszközök mennyisége, a helyreállítás eredménye és a részletes technikai jelentés határozza majd meg. A bejelentett intézkedések jelentős kárenyhítést szolgálhatnak, de a vizsgálat lezárását nem helyettesítik.
