แฮ็กเกอร์ขโมยเงินจาก Binance มูลค่า 6.36 พันล้านดอลลาร์ หลังเตรียมการอย่างน้อย 36 ชั่วโมง

ผู้โจมตีขโมยเงินมูลค่า 6.36 พันล้านดอลลาร์จาก Binance หลังเตรียมการอย่างน้อย 36 ชั่วโมง โดยเริ่มจากการนำ XRP มูลค่า 296 ล้านดอลลาร์ออกไป การสืบสวนของ TRM Labs เมื่อวันที่ 29 ตุลาคมระบุว่า การเตรียมการเบื้องต้นเริ่มขึ้นเมื่อวันที่ 28 ตุลาคม และมีการประสานการโอนข้ามบล็อกเชน 10 แห่งในช่วงเย็นวันถัดมา TRM Labs พบว่าเงินส่วนใหญ่ออกจากกระเป๋าเงินที่เชื่อมโยงกับ Binance ภายในเวลาประมาณ 20 นาที ทำให้เหตุการณ์นี้เป็นการขโมยคริปโทเคอร์เรนซีครั้งใหญ่ที่สุดเท่าที่มีการบันทึกไว้

TRM Labs สืบย้อนการเตรียมการขั้นแรกไปถึงช่วงเช้าของวันที่ 28 ตุลาคม เมื่อกระเป๋าเงินที่ผู้โจมตีควบคุมได้รับเงินโอนจำนวนเล็กน้อย 3 รายการจาก Tornado Cash ซึ่งเป็นบริการผสมคริปโทเคอร์เรนซี ผู้โจมตีติดตั้งโค้ดสัญญาอัจฉริยะที่เป็นอันตรายในช่วงเช้าของวันถัดมา และทดสอบโค้ดด้วยกระเป๋าเงิน Ethereum ที่สร้างขึ้นใหม่ 2 ใบ จากนั้นผู้โจมตีติดตั้งโค้ดฉบับปรับปรุงและซ้อมปฏิบัติการด้วยกระเป๋าเงินใบที่ 3 โดยโอนเงินทดสอบได้สำเร็จก่อนส่งเงินกลับ การโจมตีหลักเริ่มขึ้นประมาณ 4 ชั่วโมงหลังการซ้อมครั้งสุดท้าย

กระเป๋าเงิน Binance 5 ใบส่ง XRP ประมาณ 233.46 ล้านเหรียญ มูลค่า 296 ล้านดอลลาร์ ไปยังที่อยู่ XRP Ledger หนึ่งแห่งที่ผู้โจมตีควบคุม ระหว่างเวลา 20:05 ถึง 20:09 UTC วาซ คริปโต ผู้ตรวจสอบธุรกรรมบนบล็อกเชน กล่าวว่าการโจมตี XRP ดูเหมือนจะเริ่มขึ้น 10 นาทีก่อนการโจมตีบนเชนอื่น การโอนที่น่าสงสัยจากกระเป๋าเงิน Binance บน Solana และ Optimism เริ่มขึ้นภายในเวลา 20:10 UTC

กระเป๋าเงิน Bitcoin ของ Binance ส่ง 18,270 BTC มูลค่าประมาณ 1.47 พันล้านดอลลาร์ เมื่อเวลา 20:20 UTC ผู้โจมตีแบ่งบิตคอยน์ออกเป็นจำนวนย่อย 1,000 BTC และ 100 BTC ทันที กระเป๋าเงิน Binance บน Tron ส่ง 612.7 ล้าน USDT และ 46.4 ล้าน TRX ภายใน 2 นาทีถัดมา โดยมีมูลค่ารวมประมาณ 628 ล้านดอลลาร์

การโจมตีบน Ethereum เกิดขึ้นในเวลาใกล้เคียงกัน ผู้โจมตีส่งการอนุญาต EIP-7702 ที่ลงนามไว้ก่อนหน้านี้ 50 รายการไปยังกระเป๋าเงินร้อนของ Binance เมื่อเวลา 20:20 UTC ทำให้กระเป๋าเงินดังกล่าวมอบหมายการดำเนินการให้สัญญาอัจฉริยะที่เป็นอันตรายได้ การอนุญาตเหล่านี้ครอบคลุมลำดับหมายเลขธุรกรรมที่ต่อเนื่องกัน เพื่อให้การอนุญาตรายการหนึ่งตรงกับหมายเลขปัจจุบันของกระเป๋าเงินในระหว่างประมวลผล ผู้โจมตีสั่งให้สัญญาใช้ฟังก์ชันกวาดสินทรัพย์ในอีก 3 นาที 24 วินาทีต่อมา ธุรกรรมเดียวนี้โอน 167,464 ETH และโทเคน 63 รายการ ซึ่งรวมถึง 1.615 พันล้าน USDT

ผู้โจมตีกวาดสินทรัพย์เพิ่มเติมเมื่อเวลา 20:41, 20:59, 21:04, 21:44, 22:39 และ 23:56 UTC ขณะที่สินทรัพย์เพิ่มเติมเข้ามาในกระเป๋าเงินที่ถูกเจาะ กระเป๋าเงินที่มอบหมายการดำเนินการใช้สิทธิ์ที่มีอยู่เหนือบัญชีสัญญาอัจฉริยะอีกบัญชีของ Binance เพื่อช่วยโอน USDC เพิ่มอีก 823 ล้านเหรียญ การโอนอีกระลอกหนึ่งในช่วงประมาณ 23:05 UTC ไปถึงกระเป๋าเงิน Binance เพิ่มเติมบน Avalanche และ Polygon

TRM Labs ติดตามการโอนเงินได้ประมาณ 6.36 พันล้านดอลลาร์ภายในเวลา 00:30 UTC ของวันที่ 30 ตุลาคม การโอนครอบคลุม Ethereum, Bitcoin, Tron, XRP Ledger, Solana, Arbitrum, Optimism, Base, Avalanche และ Polygon

ผู้สืบสวนสร้างลำดับเหตุการณ์การโจมตีกลับคืนมาได้แล้ว แต่ยังไม่สามารถระบุที่มาของการอนุญาตที่จำเป็นได้ ดีเร็ก เชียง นักวิจัยจาก Ethlabs กล่าวว่า ผู้โจมตีอาจได้กุญแจส่วนตัวของกระเป๋าเงินมา หรือหลอกให้เจ้าของกระเป๋าเงินลงนามในการอนุญาตที่เป็นอันตราย เชียงย้ำว่าผู้โจมตีจำเป็นต้องมีการอนุญาตที่ถูกต้องจึงจะดำเนินการปฏิบัติการ EIP-7702 ได้