바이낸스 해킹으로 63억6,000만 달러 탈취…최소 36시간 준비

공격자가 최소 36시간 동안 작전을 준비한 뒤 바이낸스에서 63억6,000만 달러를 훔쳤으며, 처음에는 2억9,600만 달러 상당의 XRP를 빼냈다. TRM 랩스는 10월 29일 조사에서 최초 준비가 10월 28일 시작됐고, 다음 날 저녁 10개 블록체인에 걸쳐 이체가 이뤄졌다고 밝혔다. TRM 랩스는 대부분의 자금이 약 20분 만에 바이낸스 연계 지갑에서 빠져나갔으며, 이번 사건이 기록된 암호화폐 절도 가운데 최대 규모라고 밝혔다.

TRM 랩스는 10월 28일 오전 공격자가 통제하는 지갑이 토네이도 캐시(Tornado Cash)에서 소액 결제 3건을 받으며 최초 준비가 시작된 것으로 추적했다. 토네이도 캐시는 암호화폐 믹싱 서비스다. 공격자는 다음 날 이른 시간 악성 스마트 계약 코드를 배포하고 새로 만든 이더리움 지갑 2개로 코드를 시험했다. 이후 수정한 코드를 배포하고 세 번째 지갑으로 예행연습을 했으며, 테스트 자금을 성공적으로 옮긴 뒤 다시 돌려보냈다. 마지막 예행연습에서 약 4시간 지난 뒤 본 공격이 시작됐다.

바이낸스 지갑 5개는 20:05부터 20:09 UTC까지 약 2억3,346만 XRP, 당시 가치로 2억9,600만 달러를 공격자가 통제하는 XRP 레저 주소 하나로 보냈다. 온체인 조사관 Wazz Crypto는 XRP 공격이 다른 체인에 대한 공격보다 10분 먼저 시작된 것으로 보인다고 말했다. 솔라나와 옵티미즘의 바이낸스 지갑에서 의심스러운 이체가 20:10 UTC까지 시작됐다.

바이낸스 비트코인 지갑은 20:20 UTC에 1만8,270 BTC, 약 14억7,000만 달러 상당을 보냈다. 공격자는 즉시 비트코인을 1,000 BTC와 100 BTC 단위의 소액으로 나눴다. 트론의 바이낸스 지갑은 다음 2분 안에 6억1,270만 USDT와 4,640만 TRX를 보냈으며, 합산 가치는 약 6억2,800만 달러였다.

이더리움 공격도 거의 같은 시점에 발생했다. 공격자는 20:20 UTC에 이전에 서명된 EIP-7702 승인 50건을 바이낸스 핫월렛에 제출해 해당 지갑이 악성 스마트 계약에 실행을 위임할 수 있게 했다. 승인들의 트랜잭션 카운트는 연속된 값으로 설정돼 처리 중 하나의 승인값이 지갑의 현재 카운트와 일치하도록 했다. 공격자는 3분 24초 뒤 계약의 자산 일괄 이체 기능을 실행했다. 이 단일 트랜잭션으로 16만7,464 ETH와 토큰 63종이 이동했으며, 여기에는 16억1,500만 USDT가 포함됐다.

공격자는 손상된 지갑에 추가 자산이 들어오자 20:41, 20:59, 21:04, 21:44, 22:39, 23:56 UTC에 추가로 자산을 쓸어 담았다. 위임된 지갑은 다른 바이낸스 스마트 계정에 대한 기존 권한을 이용해 USDC 8억2,300만 개를 추가로 옮겼다. 23:05 UTC 무렵의 또 다른 이체 물결로 아발란체와 폴리곤의 바이낸스 지갑도 추가로 공격받았다.

TRM 랩스는 10월 30일 00:30 UTC까지 약 63억6,000만 달러 규모의 이체를 추적했다. 이체는 이더리움, 비트코인, 트론, XRP 레저, 솔라나, 아비트럼, 옵티미즘, 베이스, 아발란체, 폴리곤에서 이뤄졌다.

조사관들은 공격의 진행 과정을 재구성했지만 필요한 승인이 어디서 나왔는지는 밝혀내지 못했다. Ethlabs 연구원 데릭 장은 공격자가 지갑의 개인 키를 확보했거나 지갑 소유자를 속여 악성 승인에 서명하게 했을 수 있다고 말했다. 장은 공격자가 EIP-7702 작업을 수행하려면 유효한 승인이 필요했다고 강조했다.