727 Financeتم اختراق محفظة بينانس الساخنة بمبلغ 6.28 مليار دولار أمريكي؛ يكشف التتبع على السلسلة كيف استخدم المهاجم تفويض EIP-7702 للاستيلاء على المحفظة ونقل الأموال قبل أن تتمكن Tether وجهات إصدار أخرى من تجميدها، مما يوفر إعادة بناء كاملة لهذا الحادث الأمني الأكبر.
المؤلف: Dickson (@DicksonWuML)
جمع وتحرير: Shenchao TechFlow
مقدمة Shenchao: سرقة المحافظ الساخنة لـ Binance هي أكبر حدث في سوق العملات المشفرة اليوم. قام Dickson، مهندس CertiK وعضو SEAL، بتتبع سجلات على السلسلة معاملةً تلو الأخرى، وأعاد بناء العملية الكاملة للمهاجم الذي جهّز الأموال عبر السحب من Tornado Cash، واستخدام تفويض EIP-7702 للسيطرة على محافظ Binance الساخنة على إيثيريوم، والتسابق مع Tether وCircle وجهات الإصدار الأخرى لتجميد الأموال. المبالغ والأوقات في هذا المقال هي إحصاءات على السلسلة حتى وقت نشر المؤلف (حوالي الساعة 8 صباحًا بتوقيت بكين في 30 أكتوبر)، والأوقات بتوقيت UTC (+8 ساعات يساوي توقيت بكين)، ولم تؤكدها Binance رسميًا بعد.
خسرت المحافظ الساخنة لـ Binance ما يقرب من 6.28 مليار دولار عبر 8 سلاسل اليوم. من ذلك، تم تحويل 6.07 مليار دولار خلال أول 55 دقيقة، وبعد ذلك قام المهاجم بكنس إحدى محافظ إيثيريوم مرارًا وتكرارًا لأكثر من ساعتين.
منذ ذلك الحين، جمّدت Tether وCircle وRipple وPaxos وWorld Liberty وBinance ما يقرب من 2.80 مليار دولار. لا يزال حوالي 3.27 مليار دولار قابلاً للتحريك بحرية، بشكل أساسي BTC وETH.
تتبعت الحادثة بأكملها على السلسلة، بما في ذلك كيفية تحريك المهاجم للأموال قبل عمليات التجميد 🧵
تفصيل الـ 6.28 مليار دولار (بالتسعير عند UTC 20:24):
• إيثيريوم 3.74 مليار دولار
• بيتكوين 18,270.2 BTC، 1.47 مليار دولار
• ترون 612.7 مليون USDT + 46.4 مليون TRX، 627.5 مليون دولار
• XRP 233.5 مليون XRP، 296.5 مليون دولار
• سولانا 970,522 SOL، 96.1 مليون دولار
• Arbitrum 8,426 ETH + 74.6 مليون ARB، 31.8 مليون دولار
• Avalanche 1.81 مليون AVAX + 8.41 مليون USDt، 24.3 مليون دولار
• Optimism 44.2 مليون OP، 4.8 مليون دولار
تدفقت الـ 3.74 مليار دولار على إيثيريوم في خمس دفعات:
• 20:24:23، عملية sweep() واحدة على Binance 14: 167,464.25 ETH، و1.615 مليار USDT، و61 رمزًا آخر، بإجمالي 2.53 مليار دولار
• 20:41 و20:59، تحويل 780 مليون + 43 مليون USDC من محفظة ذكية تابعة لـ Binance وثقت بـ Binance 14، بإجمالي 822.6 مليون دولار
• 20:24:47، وقّعت Binance 16 على 9 تحويلات أُرسلت مباشرة إلى المهاجم: 28,005.6 ETH، و55.7 مليون USDT، و25.9 مليون RLUSD، و84.5 WBTC، و820,000 UNI، و1,199 XAUt، و18.8 مليون ENA، و304,600 LINK، و583.6 مليار PEPE، بإجمالي 174.2 مليون دولار
• 21:04 و21:44، عمليتا كنس إضافيتان على Binance 14: 2,070 ETH و204.3 مليون USDT، بإجمالي 209.6 مليون دولار
• 22:39، عملية كنس أخيرة إلى محفظة جديدة: 128.5 ETH و122 رمزًا صغير القيمة السوقية، حوالي 500,000 دولار
حسب الأصول: 1.87 مليار USDT، و823 مليون USDC، و457 مليون دولار ETH (197,668 ETH)، و88.5 مليون RLUSD، و76.8 مليون wBETH، و50.5 مليون XAUt، و49.6 مليون UNI، و44.7 مليون ENA، و40.1 مليون PEPE، و29.6 مليون LINK، و27.8 مليون USD1، بالإضافة إلى حوالي 50 رمزًا أصغر.بدأ التحضير في اليوم السابق. في 28 أكتوبر عند الساعة 07:39 بالتوقيت العالمي المنسق، سحبت محفظة المهاجم الرئيسية 0x7c8601d4645b93cea45f71e118a729332e6b5ca0 أولاً 0.1 ETH من Tornado Cash، ثم سحبت مرتين إضافيتين. بعد ذلك سحبت محفظة ثانية 1 ETH من Tornado وحوّلتها إلى المحفظة الرئيسية في 29 أكتوبر عند الساعة 18:20.
في 29 أكتوبر عند الساعة 02:28، نشروا عقد sweeper. من 13:51 إلى 16:47، تدربوا على محافظهم الخاصة: باستخدام تفويض EIP-7702، كنسوا USDT وUSDC تجريبيين، ثم سحبوا. عند الساعة 15:59، نشروا نسخة v2 مزودة بدالة استدعاء عامة، وهذه الدالة هي التي نقلت لاحقاً مبلغ 823 مليون دولار من USDC.
عند الساعة 20:04:52 بالتوقيت العالمي المنسق، فشلت الخطوة الأولى. أرسلت محفظة XRP الخاصة بـ Binance مبلغ 42,750,000.1 RLUSD إلى المهاجم، لكن حساب XRP الخاص بالمهاجم لم يكن موجوداً بعد، لذا أُعيد التحويل.
بعد ثماني ثوانٍ، تم تحويل 185,017,485.5 XRP بنجاح، وبذلك أُنشئ الحساب. بحلول الساعة 20:09، كانت أربع محافظ XRP أخرى تابعة لـ Binance قد أُفرغت أيضاً.
تبع ذلك تفاعل متسلسل:
20:10 Solana، تم نقل 965,455.1 SOL في معاملة واحدة
20:18 Optimism، 44.2 مليون OP
20:20 Bitcoin، تم نقل 18,270.2 BTC في 11 معاملة وتقسيمها إلى دفعات من 1,000 BTC ضمن الكتلة نفسها
20:20 إلى 20:22 Tron، 612.7 مليون دولار USDT + 46.4 مليون TRX
20:30 إلى 20:35 Arbitrum وAvalanche
كشفت Ethereum عن طريقة الهجوم. عند الساعة 20:20:59، أرسل المهاجم معاملة تحمل 50 تفويض EIP-7702، جميعها موقعة بالمفتاح الخاص لـ Binance 14، وتقابل nonces من 18,914,775 إلى 18,914,824.
كانت Binance 14 نفسها قد استخدمت للتو 18,914,775 عند الساعة 20:17:47، ما يشير إلى أن هذه التفويضات وُقعت قبل الاستخدام بدقائق فقط.
التفويض ذو nonce 18,914,809 تطابق. معاملة Binance 14 الخاصة في الكتلة نفسها استخدمت 18,914,808، ومن تلك اللحظة فصاعداً كانت Binance 14 تشغّل كود المهاجم.
عند الساعة 20:24:23، نقلت عملية sweep() واحدة 167,464 ETH و1.615 مليار دولار USDT خارجها. بعد أربع وعشرين ثانية، وقعت Binance 16 على 9 تحويلات أُرسلت مباشرة إلى المهاجم. عند الساعتين 20:41 و20:59، استخدم المهاجم Binance 14 لنقل 823 مليون دولار USDC خارج محفظة Binance الذكية التي كانت تثق بها.
ثم جاء السباق مع عمليات التجميد. قسّم المهاجم USDT بسرعة:
• عند الساعة 20:30، تم تحويل 500 مليون دولار USDT إلى 0x9749…c762. بحلول الساعة 20:59، كان 325 مليون دولار منها قد تم مبادلتها إلى ETH عبر صانعي سوق RFQ، وتم تحويل المتبقي البالغ 175 مليون دولار إلى جهة أخرى
• عند الساعة 20:33، تم تحويل 200 مليون دولار USDT إلى 0x0ddf…697e. تم بيع نحو 10 ملايين دولار على DEXs، وتم تحويل 190 مليون دولار إلى 0x8d53…639a، التي أودعت 60 مليون دولار في Aave واقترضت ETH مقابلها
دخلت الدفعة الأولى من إدراجات Tether في القائمة السوداء حيز التنفيذ عند الساعة 21:01:35: 0x5227، التي كانت لا تزال تحتفظ بـ 971 مليون دولار USDT؛ و0x9749، التي كانت قد أُفرغت بالفعل. جمّدت Circle مبلغ 823 مليون دولار USDC عند الساعة 21:04:59.
نجحت بعض الأموال في الهروب في الثواني الأخيرة:• في الساعة 21:01:59، حوّل 0x8d53 مبلغ 130 مليون USDT إلى 0x77ed…c3eb. بعد ثمانٍ وأربعين ثانية، في الساعة 21:02:47، جمّدت Tether العنوان 0x8d53• من 21:04 إلى 21:06، باع 0x77ed نحو 50 مليون USDT على منصة تداول لامركزية (DEX) وحوّل 80 مليوناً إلى 0x7aa4…bfd1
• من 21:08 إلى 21:11، باع 0x7aa4 نحو 50 مليوناً أخرى ونقل الـ30 مليوناً الأخيرة خارجاً. بحلول الوقت الذي جمّدت فيه Tether العنوان 0x7aa4 عند 21:12:35، كان قد أُفرغ بالكامل
• في 21:16:11، حوّل 0xccbe…a263 الـ30 مليوناً خارجاً. بعد 36 ثانية جمّدت Tether العنوان 0xccbe، وفي 21:18:59 اعترضت الـ30 مليوناً عند 0xb171…c8c3
• الـ175 مليوناً التي حوّلها 0x9749 بقيت في 0xaa24…54a0 حتى جمّدتها Tether في 21:14:59
إجمالاً، من أصل 1.875 مليار USDT على إيثريوم، بيع نحو 435 مليوناً قبل أن تلحق القائمة السوداء. جُمّد 1.38 مليار، و60 مليوناً محتجزة كضمان لدى Aave.
إجراءات المُصدِرين الآخرين، بالترتيب الزمني:
• 20:57:47 أدرجت World Liberty 48.5 مليون WLFI في القائمة السوداء في 0x5227
• 21:07:55 جمّدت Tether 8.41 مليون USDt على Avalanche. حاول المهاجم نقلها في 21:40:47، وارتدّت المعاملة
• من 21:09 إلى 21:21 جمّدت Tether 378.7 مليون USDT في ثلاث محافظ على Tron. سابقاً، كان 234 مليوناً قد استُبدلت بالفعل إلى TRX عبر SunSwap
• 21:11:23 جمّدت Tether 12,574 XAUt (نحو 50 مليون دولار)
• 22:00:59 جمّدت Ripple عملة RLUSD. كان المهاجم قد نقلها بالفعل إلى 0xe702…958d في 21:33 وباع 48 مليوناً مقابل ETH، مع وصول آخر أمر بيع والتجميد في الكتلة نفسها. اعتُرِض 40.5 مليون
• 22:10:35 جمّدت World Liberty 27.8 مليون USD1
• 22:30:47 جمّدت Paxos 1,907 PAXG
• 22:48:35 أدرجت Binance 29,934 wBETH (نحو 75 مليون دولار) في القائمة السوداء؛ كان المهاجم قد نقلها بالفعل إلى 0x7f9d…15e3 في 21:52
لا يزال 3.45 مليون FDUSD التابعة لـ First Digital قابلة للتحويل.
بقي Binance 14 مفوَّضاً لعقد المهاجم، الذي تحوّل إلى شدّ حبال:
• في 21:04 و21:44، اكتسح المهاجم مجدداً: أولاً 1,700 ETH، ثم 370 ETH و200.4 مليون USDT. وصل هذا الـUSDT إلى 0x5227، الذي كانت Tether قد جمّدته بالفعل
• في 22:06:23، أدرجت Tether Binance 14 نفسه في القائمة السوداء. فشلت تحويلات USDT الخاصة بـBinance من ذلك العنوان في 22:15 و23:01
• في 22:39، اكتسح المهاجم مجدداً، هذه المرة إلى محفظة جديدة: 128.5 ETH و122 من العملات ذات القيمة السوقية الصغيرة
• من 22:55 إلى 23:07، أفرغت Binance نفسها Binance 14: 46 تحويلاً لعملات إلى Binance 8، نحو واحد كل 12 ثانية
• من 23:36 إلى 23:38، استدعى المهاجم sweep() أربع مرات أخرى، وجاءت الأربع فارغة
خارج إيثريوم:
• Arbitrum، من 21:35 إلى 21:38: نُقلت كل الـ8,426 ETH و74.6 مليون ARB إلى محفظة 7702 جديدة 0x3e2b…32d5، التي فوّضت ARB للتداول في 21:41. حتى الساعة 23:50 كانت لا تزال هناك
• Avalanche، 21:45:34: نُقل 1,813,999 AVAX إلى 0x8035…c397. ثم حُوّل 200,005 AVAX خارجاً من 0xc39e…9824، وفي 23:27:35 تلقّى العنوان نفسه 1,563,812.78 USDC على إيثريوم عبر جسر Circle's CCTP عبر السلاسل. بعد أربع دقائق، في 23:31:59، أدرجته Circle في القائمة السوداء• لم تتحرك بعد الأموال الموجودة على Bitcoin وXRP وSolana وOptimism. بيتكوين موزعة على 19 محفظة، 17 منها تحتوي كل منها على 1,000 BTC بالضبط
الحالة اعتبارًا من حوالي 23:50 بالتوقيت العالمي المنسق:
مجمّدة، حوالي 2.80 مليار دولار أمريكي
• 1.38 مليار USDT على Ethereum، و378.7 مليون على Tron، و8.41 مليون على Avalanche (Tether)
• 824.6 مليون USDC (Circle)
• 40.5 مليون RLUSD (Ripple)، و27.8 مليون USD1 (World Liberty)، و12,574 XAUt (Tether)، و29,934 wBETH (Binance)، و1,907 PAXG (Paxos)، و48.5 مليون WLFI
غير مجمّدة، حوالي 3.27 مليار دولار أمريكي
• 18,270 BTC، 1.42 مليار دولار أمريكي
• 458,770 ETH موزعة على 9 محافظ، 1.03 مليار دولار أمريكي
• 233.5 مليون XRP، 289 مليون دولار أمريكي
• 684.6 مليون TRX، 243 مليون دولار أمريكي
• حوالي 136 مليون دولار أمريكي برموز أخرى على Ethereum
• 970,500 SOL، 93 مليون دولار أمريكي، بالإضافة إلى ARB وAVAX وOP، حوالي 48 مليون دولار أمريكي
هناك أيضًا 60 مليون USDT محتجزة كضمان لدى Aave.
ملاحظة: تم ربط التحويلات على BTC وXRP وTron من خلال التوقيت وبصمات المعاملات: النافذة الزمنية نفسها، وعناوين استقبال جديدة تمامًا، ورسوم وأشكال معاملات مختلفة عن عمليات السحب الخاصة بـ Binance. يُحسب المبلغ المسروق بأسعار 20:24 بالتوقيت العالمي المنسق؛ وتُحسب الحيازات الحالية بأسعار حوالي 23:50 بالتوقيت العالمي المنسق.
الأدلة على السلسلة لكل معاملة وتجميد مرفقة في المنشور أدناه. إذا لاحظت أي شيء فاتني، فيرجى إخباري!