Kryptomenový svet čelí možno najväčšej krádeži digitálnych aktív v histórii
Z peňaženiek napojených na najväčšiu svetovú kryptomenovú burzu Binance odtiekli digitálne aktíva v hodnote miliárd dolárov na sieťach Ethereum, Bitcoin a Tron.
Hoci bleskový zásah vydavateľov stablecoinov zablokoval útočníkom zhruba 1,8 miliardy dolárov, čistá strata sa odhaduje na viac ako miliardu dolárov. Svojimi parametrami tak prekonáva akúkoľvek lúpež vo fyzickom svete. Podľa Binance sa zatiaľ podarilo lokalizovať asi tri miliardy dolárov, o zvyšných 3,3 miliardy firma informácie neposkytla.
Keď analytici prvýkrát upozornili na obrovské presuny z horúcich peňaženiek burzy Binance, ešte sa špekulovalo o neohlásenej internej údržbe. O niekoľko minút však pochybnosti rozptýlil samotný zakladateľ burzy Changpeng „CZ“ Zhao. „Naozaj to vyzerá na hack Binance. Oceňujem rýchle zmrazenie prostriedkov zo strany Tetheru (~971 mil. USD) a Circle (~823 mil. USD). Binance už síce neriadim, ale ako akcionár očakávam, že všetky prostriedky používateľov budú plne pokryté,“ uviedol Zhao na sieti X.
Zhao potvrdil aj očakávanú výšku spôsobenej škody, keď reagoval na prepočty zakladateľa služby DeFiLlama vystupujúceho pod menom 0xngmi. Ten uviedol, že strata sa po zmrazení stablecoinov pohybuje okolo jednej miliardy dolárov, čo je zhruba 0,69 percenta zo 144 miliárd dolárov, ktoré má burza v správe. „Strata môže byť o niečo vyššia, ale pokryjeme ju,“ uviedol Zhao.
Samotná burza oznámila, že vklady používateľov sú „úplne v bezpečí“, bez toho, aby v prvých hodinách po incidente bližšie vysvetlila, ako k zlyhaniu došlo. Následne Binance na sieti X potvrdila, že firma pokryje všetky straty a že preventívne blokuje všetky prevody, kým interné tímy vykonávajú bezpečnostné kontroly, snažia sa zmraziť prostriedky a spolupracujú s políciou. Spoluzakladateľka Binance Yi He uviedla, že firma pokryje všetky prípadné straty plynúce z hackerského útoku. Vklady zostávajú nedotknuté a naďalej fungujú normálne, dodala neskôr s tým, že obnovenie výberov očakáva do 48 hodín. Binance má 335 miliónov registrovaných používateľov.
Útočník využil mechanizmus EIP-7702
Najnovšie zistenia bezpečnostnej spoločnosti Blockaid ukazujú, aká precízna bola operácia na sieťach Ethereum. Nešlo o klasickú krádež súkromných kľúčov, pri ktorej by hacker peňaženku „ručne“ vybral, ale o zneužitie štandardu EIP-7702.
Tento mechanizmus umožňuje bežnej peňaženke udeliť podpísané oprávnenie, ktorým odovzdá kontrolu nad sebou externému programovému kódu. Každá takáto autorizácia platí len pre konkrétne poradové číslo nasledujúcej transakcie (tzv. nonce). Keďže však horúca peňaženka Binance v reálnom čase neustále vybavovala transakcie používateľov, jej poradové číslo sa každou sekundou posúvalo.
Útočník nemohol presne vedieť, ktoré poradové číslo bude v okamihu útoku na rade. Skompromitovaný systém preto nechal vygenerovať päťdesiat po sebe nasledujúcich autorizácií podpísaných priamo súkromným kľúčom peňaženky Binance a všetky ich zabalil do jedinej transakcie. Jedna z týchto päťdesiatich autorizácií sa trafila do poradového čísla bežiacej peňaženky. Tým sa na hlavnú peňaženku Binance 14 okamžite nainštaloval škodlivý kontrakt.
V priebehu niekoľkých minút po inštalácii škodlivého kódu začala funkcia sweep prevádzať prostriedky zo skompromitovaných peňaženiek. Z hlavnej peňaženky Binance 14 odtieklo 167 464 ETH (ethereum), približne 1,615 miliardy USDT (tether) a ďalších viac ako 60 kryptomien.
Samostatne útočník vysal z peňaženky Binance Hot Wallet 34 aj približne 780 miliónov USDC, teda stablecoinu krytého aktívami, ktorého hodnota je naviazaná na dolár. Medzi odcudzenými aktívami bolo aj 62,6 milióna RLUSD (stablecoin vydaný spoločnosťou Ripple), 29 934 wBETH (likvidný stakingový token od Binance, ktorý reprezentuje ethereum spolu s automaticky pripisovanými stakingovými odmenami) alebo 11 372 XAUt, teda tokenov predstavujúcich zlato.
Zatiaľ nie je zrejmé, ako útočník získal potrebné podpisy. Museli vzniknúť s využitím súkromného kľúča peňaženky alebo interného podpisovacieho systému Binance. Podľa predbežnej analýzy bezpečnostnej spoločnosti Blockaid je pravdepodobnejšia kompromitácia či zneužitie infraštruktúry, ktorá transakcie podpisuje, než priame odcudzenie samotného kľúča. Konkrétny spôsob prieniku však zatiaľ nie je známy.
Medzi podozrivých patrí severokórejská štátna skupina Lazarus Group. Táto skupina elitných hackerov má na svedomí celý rad úspešných kybernetických útokov a krádeží, vrátane doteraz rekordnej krádeže približne 400-tisíc tokenov Etherea z kryptoburzy Bybit vo februári 2025.
