Zincir Üstü Takip: Bilgisayar Korsanları Binance'ten 6,28 Milyar Dolar Ele Geçirdi, Saldırı Yolunun Tamamına Dair Derinlemesine Bir Retrospektif

Binance sıcak cüzdanı 6,28 milyar USD için hacklendi; zincir üstü takip, saldırganın EIP-7702 yetkilendirmesini kullanarak cüzdanı nasıl ele geçirdiğini ve Tether ile diğer ihraççılar fonları dondurmadan önce parayı nasıl taşıdığını ortaya koyarak bu en büyük güvenlik olayının tam bir yeniden inşasını sunuyor.

Yazar: Dickson (@DicksonWuML)

Derleyen: Shenchao TechFlow

Shenchao Giriş: Binance'in sıcak cüzdanlarından yapılan hırsızlık, bugün kripto piyasasındaki en büyük olay. CertiK mühendisi ve SEAL üyesi Dickson, zincir üstü kayıtları işlem işlem takip ederek saldırganın Tornado Cash'ten çekim yaparak fon hazırlaması, Binance'in Ethereum sıcak cüzdanlarını ele geçirmek için EIP-7702 yetkilendirmesini kullanması ve Tether, Circle ve diğer ihraççılarla fonları dondurma yarışına girmesinin tüm sürecini yeniden oluşturdu. Bu makaledeki tutarlar ve saatler, yazarın yayın saatine (30 Ekim Pekin saatiyle yaklaşık 08:00) kadar olan zincir üstü istatistiklerdir; saatler UTC cinsindendir (+8 saat Pekin saatine eşittir) ve henüz Binance tarafından resmi olarak doğrulanmamıştır.

Binance'in sıcak cüzdanları bugün 8 zincirde yaklaşık 6,28 milyar dolar kaybetti. Bunun 6,07 milyar doları ilk 55 dakika içinde transfer edildi; ardından saldırgan iki saatten fazla bir süre boyunca Ethereum cüzdanlarından birini defalarca süpürdü.

O zamandan beri Tether, Circle, Ripple, Paxos, World Liberty ve Binance yaklaşık 2,80 milyar doları dondurdu. Yaklaşık 3,27 milyar dolar hâlâ serbestçe hareket ettirilebiliyor; bunlar ağırlıklı olarak BTC ve ETH.

Tüm olayı zincir üstünde takip ettim, saldırganın dondurmalardan önce fonları nasıl hareket ettirdiği dahil 🧵

6,28 milyar doların dağılımı (UTC 20:24 fiyatlarıyla):

• Ethereum 3,74 milyar dolar

• Bitcoin 18.270,2 BTC, 1,47 milyar dolar

• Tron 612,7 milyon USDT + 46,4 milyon TRX, 627,5 milyon dolar

• XRP 233,5 milyon XRP, 296,5 milyon dolar

• Solana 970.522 SOL, 96,1 milyon dolar

• Arbitrum 8.426 ETH + 74,6 milyon ARB, 31,8 milyon dolar

• Avalanche 1,81 milyon AVAX + 8,41 milyon USDt, 24,3 milyon dolar

• Optimism 44,2 milyon OP, 4,8 milyon dolar

Ethereum'daki 3,74 milyar dolar beş partide çıktı:

• 20:24:23, Binance 14 üzerinde tek bir sweep(): 167.464,25 ETH, 1,615 milyar USDT ve 61 diğer token, toplam 2,53 milyar dolar

• 20:41 ve 20:59, Binance 14'e güvenen bir Binance akıllı cüzdanından 780 milyon + 43 milyon USDC transfer edildi, toplam 822,6 milyon dolar

• 20:24:47, Binance 16 doğrudan saldırgana gönderilen 9 transfer imzaladı: 28.005,6 ETH, 55,7 milyon USDT, 25,9 milyon RLUSD, 84,5 WBTC, 820.000 UNI, 1.199 XAUt, 18,8 milyon ENA, 304.600 LINK, 583,6 milyar PEPE, toplam 174,2 milyon dolar

• 21:04 ve 21:44, Binance 14'ün iki ek süpürmesi: 2.070 ETH ve 204,3 milyon USDT, toplam 209,6 milyon dolar

• 22:39, yeni bir cüzdana son süpürme: 128,5 ETH ve 122 küçük ölçekli token, yaklaşık 500.000 dolar

Varlık bazında: 1,87 milyar dolar USDT, 823 milyon dolar USDC, 457 milyon dolar ETH (197.668 ETH), 88,5 milyon dolar RLUSD, 76,8 milyon dolar wBETH, 50,5 milyon dolar XAUt, 49,6 milyon dolar UNI, 44,7 milyon dolar ENA, 40,1 milyon dolar PEPE, 29,6 milyon dolar LINK, 27,8 milyon dolar USD1 ve yaklaşık 50 daha küçük token.Hazırlık bir gün önce başladı. 28 Ekim UTC 07:39'da, saldırganın ana cüzdanı 0x7c8601d4645b93cea45f71e118a729332e6b5ca0 önce Tornado Cash'ten 0.1 ETH çekti, ardından iki kez daha çekti. İkinci bir cüzdan daha sonra Tornado'dan 1 ETH çekti ve 29 Ekim 18:20'de ana cüzdana aktardı.

29 Ekim 02:28'de bir sweeper sözleşmesi konuşlandırdılar. 13:51'den 16:47'ye kadar kendi cüzdanlarında prova yaptılar: EIP-7702 delegasyonunu kullanarak test USDT ve USDC'yi süpürdüler, ardından çektiler. 15:59'da genel bir çağrı fonksiyonuna sahip bir v2 sürümü konuşlandırdılar ve daha sonra 823 milyon dolarlık USDC'yi taşıyan da bu fonksiyon oldu.

UTC 20:04:52'de ilk adım başarısız oldu. Binance'in XRP cüzdanı saldırgana 42.750.000,1 RLUSD gönderdi, ancak saldırganın XRP hesabı henüz mevcut değildi, bu nedenle transfer iade edildi.

Sekiz saniye sonra, 185.017.485,5 XRP başarıyla transfer edildi ve böylece hesap oluşturuldu. 20:09'a kadar diğer dört Binance XRP cüzdanı da boşaltılmıştı.

Bir zincirleme reaksiyon izledi:

20:10 Solana, tek bir işlemde 965.455,1 SOL taşındı

20:18 Optimism, 44,2 milyon OP

20:20 Bitcoin, 18.270,2 BTC 11 işlemde taşındı ve aynı blok içinde 1.000 BTC'lik parçalara bölündü

20:20 - 20:22 Tron, 612,7 milyon dolar USDT + 46,4 milyon TRX

20:30 - 20:35 Arbitrum ve Avalanche

Ethereum saldırı yöntemini ortaya çıkardı. 20:20:59'da saldırgan, tümü Binance 14'ün özel anahtarıyla imzalanmış, 18.914.775 ila 18.914.824 arasındaki nonce'lara karşılık gelen 50 EIP-7702 yetkilendirmesi taşıyan bir işlem gönderdi.

Binance 14'ün kendisi 18.914.775'i 20:17:47'de kullanmıştı, bu da bu yetkilendirmelerin kullanımdan yalnızca dakikalar önce imzalandığını gösteriyor.

Nonce 18.914.809'a sahip yetkilendirme eşleşti. Binance 14'ün aynı bloktaki kendi işlemi 18.914.808'i kullandı ve o andan itibaren Binance 14 saldırganın kodunu çalıştırıyordu.

20:24:23'te tek bir sweep() ondan 167.464 ETH ve 1,615 milyar dolar USDT'yi dışarı taşıdı. Yirmi dört saniye sonra, Binance 16 doğrudan saldırgana gönderilen 9 transferi imzaladı. 20:41 ve 20:59'da saldırgan, ona güvenen bir Binance akıllı cüzdanından 823 milyon dolar USDC'yi dışarı aktarmak için Binance 14'ü kullandı.

Sırada dondurmalara karşı yarış vardı. Saldırgan USDT'yi hızla böldü:

• 20:30'da 500 milyon dolar USDT 0x9749…c762'ye transfer edildi. 20:59'a kadar bunun 325 milyon doları RFQ piyasa yapıcıları aracılığıyla ETH'ye takas edildi ve kalan 175 milyon dolar ileriye transfer edildi

• 20:33'te 200 milyon dolar USDT 0x0ddf…697e'ye transfer edildi. Yaklaşık 10 milyon dolar DEX'lerde satıldı ve 190 milyon dolar, 60 milyon dolarını Aave'ye yatırıp karşılığında ETH borç alan 0x8d53…639a'ya transfer edildi

Tether'in ilk kara liste partisi 21:01:35'te yürürlüğe girdi: hâlâ 971 milyon dolar USDT tutan 0x5227; ve zaten boşaltılmış olan 0x9749. Circle, 823 milyon dolarlık USDC'yi 21:04:59'da dondurdu.

Bazı fonlar son saniyelerde kaçtı:• 21:01:59'da 0x8d53, 0x77ed…c3eb adresine 130 milyon $ USDT transfer etti. Kırk sekiz saniye sonra, 21:02:47'de Tether 0x8d53'ü dondurdu• 21:04 - 21:06 arasında 0x77ed, bir DEX'te yaklaşık 50 milyon USDT sattı ve 80 milyonunu 0x7aa4…bfd1 adresine transfer etti

• 21:08 - 21:11 arasında 0x7aa4 yaklaşık 50 milyon daha sattı ve son 30 milyonu dışarı taşıdı. Tether 0x7aa4'ü 21:12:35'te dondurduğunda, adres zaten boşaltılmıştı

• 21:16:11'de 0xccbe…a263, 30 milyonu dışarı transfer etti. 36 saniye sonra Tether 0xccbe'yi dondurdu ve 21:18:59'da 30 milyonu 0xb171…c8c3 adresinde yakaladı

• 0x9749 tarafından dışarı transfer edilen 175 milyon, Tether 21:14:59'da dondurana kadar 0xaa24…54a0 adresinde kaldı

Toplamda, Ethereum üzerindeki 1,875 milyar USDT'nin yaklaşık 435 milyonu kara liste yetişmeden önce satıldı. 1,38 milyar donduruldu ve 60 milyon Aave teminatı olarak sıkışıp kaldı.

Diğer ihraççıların eylemleri, kronolojik sırayla:

• 20:57:47 World Liberty, 0x5227 adresindeki 48,5 milyon WLFI'yi kara listeye aldı

• 21:07:55 Tether, Avalanche üzerindeki 8,41 milyon USDt'yi dondurdu. Saldırgan 21:40:47'de taşımaya çalıştı ve işlem geri alındı

• 21:09 - 21:21 arasında Tether, Tron üzerindeki üç cüzdanda 378,7 milyon USDT dondurdu. Daha önce 234 milyon SunSwap aracılığıyla TRX'e takas edilmişti

• 21:11:23'te Tether 12.574 XAUt (yaklaşık 50 milyon $) dondurdu

• 22:00:59'da Ripple RLUSD'yi dondurdu. Saldırgan onu zaten 21:33'te 0xe702…958d adresine taşımış ve 48 milyonunu ETH'e satmıştı; son satış emri ile dondurma aynı blokta gerçekleşti. 40,5 milyon yakalandı

• 22:10:35'te World Liberty 27,8 milyon USD1 dondurdu

• 22:30:47'de Paxos 1.907 PAXG dondurdu

• 22:48:35'te Binance 29.934 wBETH (yaklaşık 75 milyon $) kara listeye aldı; saldırgan onu zaten 21:52'de 0x7f9d…15e3 adresine taşımıştı

First Digital'in 3,45 milyon FDUSD'si hâlâ transfer edilebilir durumda.

Binance 14, saldırganın sözleşmesine delege edilmiş olarak kaldı ve bu bir çekişmeye dönüştü:

• 21:04 ve 21:44'te saldırgan tekrar süpürdü: önce 1.700 ETH, ardından 370 ETH ve 200,4 milyon USDT. Bu USDT, Tether tarafından zaten dondurulmuş olan 0x5227 adresine ulaştı

• 22:06:23'te Tether, Binance 14'ün kendisini kara listeye aldı. Binance'in bu adresten kendi USDT transferleri 22:15 ve 23:01'de başarısız oldu

• 22:39'da saldırgan tekrar süpürdü, bu kez yeni bir cüzdana: 128,5 ETH ve 122 küçük kapitalizasyon tokenı

• 22:55 - 23:07 arasında Binance'in kendisi Binance 14'ü boşalttı: Binance 8'e 46 token transferi, yaklaşık her 12 saniyede bir

• 23:36 - 23:38 arasında saldırgan sweep() işlevini dört kez daha çağırdı ve dördü de boş döndü

Ethereum dışında:

• Arbitrum, 21:35 - 21:38: 8.426 ETH'nin tamamı ve 74,6 milyon ARB, yeni bir 7702 cüzdanı olan 0x3e2b…32d5 adresine taşındı ve bu adres 21:41'de ARB'yi ticaret için yetkilendirdi. 23:50 itibarıyla hâlâ oradaydı

• Avalanche, 21:45:34: 1.813.999 AVAX, 0x8035…c397 adresine taşındı. Ardından 0xc39e…9824 adresinden 200.005 AVAX dışarı transfer edildi ve 23:27:35'te aynı adres, Circle'ın CCTP zincirler arası köprüsü aracılığıyla Ethereum üzerinde 1.563.812,78 USDC aldı. Dört dakika sonra, 23:31:59'da Circle onu kara listeye aldı• Bitcoin, XRP, Solana ve Optimism üzerindeki fonlar henüz hareket etmedi. BTC 19 cüzdana dağılmış durumda ve bunlardan 17'sinin her biri tam olarak 1.000 BTC tutuyor

Yaklaşık 23:50 UTC itibarıyla durum:

Dondurulmuş, yaklaşık 2,80 milyar USD

• Ethereum üzerinde 1,38 milyar USDT, Tron üzerinde 378,7 milyon, Avalanche üzerinde 8,41 milyon (Tether)

• 824,6 milyon USDC (Circle)

• 40,5 milyon RLUSD (Ripple), 27,8 milyon USD1 (World Liberty), 12.574 XAUt (Tether), 29.934 wBETH (Binance), 1.907 PAXG (Paxos), 48,5 milyon WLFI

Dondurulmamış, yaklaşık 3,27 milyar USD

• 18.270 BTC, 1,42 milyar USD

• 9 cüzdana dağılmış 458.770 ETH, 1,03 milyar USD

• 233,5 milyon XRP, 289 milyon USD

• 684,6 milyon TRX, 243 milyon USD

• Ethereum üzerinde diğer tokenlarda yaklaşık 136 milyon USD

• 970.500 SOL, 93 milyon USD, ayrıca ARB, AVAX ve OP, yaklaşık 48 milyon USD

Ayrıca 60 milyon USDT Aave teminatı olarak kilitli durumda.

Not: BTC, XRP ve Tron üzerindeki transferler zamanlama ve işlem parmak izleriyle ilişkilendirildi: aynı zaman aralığı, yepyeni alıcı adresleri ve Binance'in kendi çekimlerinden farklı ücretler ve işlem formatları. Çalınan tutar UTC 20:24 fiyatlarıyla; mevcut varlıklar UTC 23:50 civarındaki fiyatlarla hesaplandı.

Her işlem ve dondurma için zincir üstü kanıt aşağıdaki gönderiye eklenmiştir. Gözden kaçırdığım bir şey fark ederseniz lütfen bana bildirin!