El robo del monedero de Binance, que ascendió a 2,5 mil millones de dólares, costó a los hackers 15 dólares

Los malhechores pagaron alrededor de 15 dólares en comisiones a la red Ethereum para obtener acceso al monedero caliente de Binance y, mediante una sola transacción, retiraron activos por un valor de 2,5 mil millones de dólares. Sobre esto informa Bloomberg.

Según la investigación de la empresa de seguridad cibernética Blockaid, los atacantes aprovecharon el mecanismo EIP-7702. Este fue implementado en la cadena de bloques del principal altcoin en el marco de la actualización Pectra en mayo de 2025.

Esta función permite a los monederos de criptomonedas delegar a los contratos inteligentes las autoridades necesarias para realizar operaciones. Gracias a ello, a los usuarios no les es necesario firmar cada acción de forma individual.

Sin embargo, si el sistema de gestión del almacenamiento de datos está comprometido, tal mecanismo permite a los malhechores realizar numerosas transferencias sin necesidad de verificación adicional.

Exactamente esto ocurrió con el monedero caliente de Binance 14, a través del cual la plataforma manejaba los retiros de clientes.

Cómo los hackers retiraron miles de millones de dólares en solo unos minutos

Según Blockaid, el 29 de octubre, cerca de las 20:20 UTC, los malhechores enviaron una transacción que utilizaba 50 permisos EIP-7702; estos permisos fueron firmados por la infraestructura comprometida de Binance.

Cada uno de estos permisos correspondía a un número de orden específico de la transacción en el monedero.Данный адрес постоянно находился в активном состоянии, поэтому злоумышленники не знали, какой из доступных вариантов автентификации окажется действительно работоспособным; в итоге сработал только один из них. В результате управление кошельком перешло в руки вредоносного «умного» контракта. За установку необходимых параметров автентификации хакеры заплатили примерно 15 долларов в виде сетевых комиссионных.

Сама операция не предусматривала перевод средств, но предоставила злоумышленникам возможность распоряжаться активами кошелька Binance14. Через 3 минуты и 24 секунды (в 20:24 по UTC) злоумышленники активировали вредоносный контракт и одной транзакцией сняли с кошелька 167 464 единицы ETH, около 1,615 миллиарда долларов в USDT и примерно 60 других токенов. Общая стоимость украденных активов составила около 2,5 миллиардов долларов. Дэн Каспи, технический директор компании Hypernative, в комментарии для Bloomberg объяснил, что функция EIP-7702 позволила хакерам ускорить процесс снятия средств и сохранить контроль над кошельком даже после обнаружения атаки. Основная проблема заключалась в том, что разрешение на перевод средств продолжало действовать непосредственно в блокчейне Ethereum, независимо от внутренних систем биржи. Пока на кошельок Binance14 поступали новые средства, злоумышленники могли их снимать, не нуждаясь в повторном доступе к системе автентификации транзакций. По оценкам компании Elliptic, с помощью этого механизма хакеры перевели в общей сложности около 3,6 миллиардов долларов; из них 2,5 миллиарда были украдены с первоначального кошелька Binance14, а еще 823 миллиона долларов — с другого кошелька Binance. Биржа Binance рассказала о произошедшем в предварительном отчете о хакерской атаке. Последний несанкционированный перевод средств произошел в 23:56 по UTC 29 октября, а разрешение на перевод было удалено 00:10 по UTC следующего дня.

Представитель Binance подтвердил Bloomberg, что механизм EIP-7702 сыграл значительную роль в ходе атаки.

По его словам, биржа уже отозвала вредоносные разрешения, восстановила пострадавшую инфраструктуру и усилила контроль над процессом подписания транзакций. Кроме того, Binance внедрила новые инструменты мониторинга и механизмы экстренного отзыва полномочий.

Атака не была связана с нарушениями в криптографических алгоритмах Ethereum: злоумышленники использовали законные разрешения, полученные в результате утечки информации из внутренних систем Binance.

В результате атаки было украдено около 2,85 миллиардов долларов. Биржа смогла заморозить или перехватить часть украденных средств при содействии эмитентов токенов и других участников криптосферы; финансовые последствия инцидента легли на нее.

ФБР возложило ответственность за атаку на северокорейскую группировку TraderTraitor, связанную с организацией Lazarus. Власти КНДР отвергли эти обвинения.

Следует отметить, что после возобновления работы системы обмена веществами в сети THORChain кошельки, использованные злоумышленниками для перевода украденных средств в биткоин, продолжали выполнять такие операции. Ранее сбои в работе протокола замедляли этот процесс.