آن چین ٹریکنگ: ہیکرز نے بائننس سے 6.28 بلین ڈالر قبضے میں لیے، مکمل حملے کے راستے کا گہرا جائزہ

بائننس کا ہاٹ والٹ 6.28 بلین امریکی ڈالر کے لیے ہیک ہوا؛ آن چین ٹریکنگ سے انکشاف ہوتا ہے کہ حملہ آور نے EIP-7702 اجازت کا استعمال کرتے ہوئے والٹ پر قبضہ کیسے کیا اور ٹیدر اور دیگر جاری کنندگان کے فنڈز منجمد کرنے سے پہلے رقوم منتقل کیں، جو اس سب سے بڑے سیکیورٹی واقعے کی مکمل تعمیرِ نو فراہم کرتا ہے۔

مصنف: Dickson (@DicksonWuML)

ترتیب: Shenchao TechFlow

Shenchao تعارف: Binance کے ہاٹ والٹس سے چوری آج کرپٹو مارکیٹ کا سب سے بڑا واقعہ ہے۔ CertiK انجینئر اور SEAL ممبر Dickson نے آن چین ریکارڈز کو لین دین بہ لین دین ٹریس کیا، اور اس پورے عمل کی تشکیل نو کی کہ حملہ آور نے Tornado Cash سے رقم نکال کر کیسے تیاری کی، EIP-7702 اجازت استعمال کرتے ہوئے Binance کے Ethereum ہاٹ والٹس پر کیسے قبضہ کیا، اور Tether، Circle اور دیگر جاری کنندگان کے ساتھ رقم منجمد کرنے کی دوڑ میں کیسے حصہ لیا۔ اس مضمون میں دی گئی رقوم اور اوقات مصنف کے پوسٹ کرنے کے وقت (30 اکتوبر کو بیجنگ وقت کے مطابق صبح تقریباً 8 بجے) تک کے آن چین اعداد و شمار ہیں، اوقات UTC میں ہیں (+8 گھنٹے بیجنگ وقت کے برابر)، اور ابھی تک Binance کی جانب سے باضابطہ طور پر تصدیق نہیں ہوئی۔

Binance کے ہاٹ والٹس نے آج 8 چینز میں تقریباً 6.28 بلین ڈالر کا نقصان اٹھایا۔ اس میں سے 6.07 بلین ڈالر پہلے 55 منٹوں میں منتقل ہو گئے، جس کے بعد حملہ آور نے دو گھنٹے سے زیادہ عرصے تک Ethereum والٹس میں سے ایک کو بار بار صاف کیا۔

اس کے بعد، Tether، Circle، Ripple، Paxos، World Liberty اور Binance نے تقریباً 2.80 بلین ڈالر منجمد کر دیے۔ تقریباً 3.27 بلین ڈالر اب بھی آزادانہ منتقل کیے جا سکتے ہیں، بنیادی طور پر BTC اور ETH۔

میں نے پورے واقعے کو آن چین ٹریس کیا، بشمول حملہ آور نے منجمد ہونے سے پہلے رقوم کیسے منتقل کیں 🧵

6.28 بلین ڈالر کی تفصیل (UTC 20:24 پر قیمتوں کے مطابق):

• Ethereum 3.74 بلین ڈالر

• Bitcoin 18,270.2 BTC، 1.47 بلین ڈالر

• Tron 612.7 ملین USDT + 46.4 ملین TRX، 627.5 ملین ڈالر

• XRP 233.5 ملین XRP، 296.5 ملین ڈالر

• Solana 970,522 SOL، 96.1 ملین ڈالر

• Arbitrum 8,426 ETH + 74.6 ملین ARB، 31.8 ملین ڈالر

• Avalanche 1.81 ملین AVAX + 8.41 ملین USDt، 24.3 ملین ڈالر

• Optimism 44.2 ملین OP، 4.8 ملین ڈالر

Ethereum پر 3.74 بلین ڈالر پانچ بیچوں میں باہر نکلے:

• 20:24:23، Binance 14 پر ایک واحد sweep(): 167,464.25 ETH، 1.615 بلین ڈالر USDT، اور دیگر 61 ٹوکنز، مجموعی طور پر 2.53 بلین ڈالر

• 20:41 اور 20:59، ایک Binance سمارٹ والٹ سے جو Binance 14 پر بھروسہ کرتا تھا، 780 ملین + 43 ملین USDC منتقل ہوئے، مجموعی طور پر 822.6 ملین ڈالر

• 20:24:47، Binance 16 نے براہ راست حملہ آور کو بھیجی گئی 9 ٹرانسفرز پر دستخط کیے: 28,005.6 ETH، 55.7 ملین USDT، 25.9 ملین RLUSD، 84.5 WBTC، 820,000 UNI، 1,199 XAUt، 18.8 ملین ENA، 304,600 LINK، 583.6 بلین PEPE، مجموعی طور پر 174.2 ملین ڈالر

• 21:04 اور 21:44، Binance 14 کی دو مزید sweeps: 2,070 ETH اور 204.3 ملین USDT، مجموعی طور پر 209.6 ملین ڈالر

• 22:39، ایک نئے والٹ میں آخری sweep: 128.5 ETH اور 122 چھوٹے کیپ ٹوکنز، تقریباً 500,000 ڈالر

اثاثوں کے لحاظ سے: 1.87 بلین ڈالر USDT، 823 ملین ڈالر USDC، 457 ملین ڈالر ETH (197,668 ETH)، 88.5 ملین ڈالر RLUSD، 76.8 ملین ڈالر wBETH، 50.5 ملین ڈالر XAUt، 49.6 ملین ڈالر UNI، 44.7 ملین ڈالر ENA، 40.1 ملین ڈالر PEPE، 29.6 ملین ڈالر LINK، 27.8 ملین ڈالر USD1، نیز تقریباً 50 چھوٹے ٹوکنز۔تیاری ایک دن پہلے شروع ہوئی۔ 28 اکتوبر کو UTC 07:39 پر، حملہ آور کے مرکزی والٹ 0x7c8601d4645b93cea45f71e118a729332e6b5ca0 نے پہلے Tornado Cash سے 0.1 ETH نکالا، پھر دو بار مزید نکالا۔ اس کے بعد ایک دوسرے والٹ نے Tornado سے 1 ETH نکالا اور 29 اکتوبر کو 18:20 پر مرکزی والٹ میں منتقل کر دیا۔

29 اکتوبر کو 02:28 پر، انہوں نے ایک sweeper کنٹریکٹ تعینات کیا۔ 13:51 سے 16:47 تک، انہوں نے اپنے والٹس پر مشق کی: EIP-7702 delegation استعمال کرتے ہوئے، ٹیسٹ USDT اور USDC sweep کیے، پھر نکال لیے۔ 15:59 پر، انہوں نے ایک v2 ورژن تعینات کیا جس میں generic call فنکشن تھا، اور یہی فنکشن بعد میں $823 ملین USDC منتقل کرنے کے لیے استعمال ہوا۔

UTC 20:04:52 پر، پہلا قدم ناکام ہوا۔ Binance کے XRP والٹ نے حملہ آور کو 42,750,000.1 RLUSD بھیجا، لیکن حملہ آور کا XRP اکاؤنٹ ابھی موجود نہیں تھا، اس لیے منتقلی واپس کر دی گئی۔

آٹھ سیکنڈ بعد، 185,017,485.5 XRP کامیابی سے منتقل ہوا، جس سے اکاؤنٹ بن گیا۔ 20:09 تک، Binance کے چار دیگر XRP والٹس بھی خالی ہو چکے تھے۔

اس کے بعد ایک زنجیری ردعمل آیا:

20:10 Solana، 965,455.1 SOL ایک ہی ٹرانزیکشن میں منتقل

20:18 Optimism، 44.2 ملین OP

20:20 Bitcoin، 18,270.2 BTC 11 ٹرانزیکشنز میں منتقل اور اسی بلاک کے اندر 1,000 BTC کے ٹکڑوں میں تقسیم

20:20 سے 20:22 Tron، $612.7 ملین USDT + 46.4 ملین TRX

20:30 سے 20:35 Arbitrum اور Avalanche

Ethereum نے حملے کا طریقہ ظاہر کیا۔ 20:20:59 پر، حملہ آور نے ایک ٹرانزیکشن بھیجی جس میں 50 EIP-7702 اجازتیں تھیں، سب Binance 14 کی نجی کلید سے دستخط شدہ، جو nonces 18,914,775 سے 18,914,824 تک کے مطابق تھیں۔

Binance 14 نے خود ابھی 20:17:47 پر 18,914,775 استعمال کیا تھا، جو ظاہر کرتا ہے کہ یہ اجازتیں استعمال سے صرف چند منٹ پہلے دستخط کی گئی تھیں۔

nonce 18,914,809 والی اجازت مماثل تھی۔ Binance 14 کی اپنی ٹرانزیکشن اسی بلاک میں 18,914,808 استعمال کر رہی تھی، اور اس لمحے سے، Binance 14 حملہ آور کا کوڈ چلا رہا تھا۔

20:24:23 پر، ایک واحد sweep() نے اس سے 167,464 ETH اور $1.615 بلین USDT باہر منتقل کیا۔ چوبیس سیکنڈ بعد، Binance 16 نے براہ راست حملہ آور کو بھیجی گئی 9 منتقلیوں پر دستخط کیے۔ 20:41 اور 20:59 پر، حملہ آور نے Binance 14 استعمال کرتے ہوئے $823 ملین USDC ایک Binance سمارٹ والٹ سے باہر منتقل کیا جو اس پر بھروسہ کرتا تھا۔

اس کے بعد منجمد کرنے کے خلاف دوڑ شروع ہوئی۔ حملہ آور نے تیزی سے USDT تقسیم کیا:

• 20:30 پر، $500 ملین USDT 0x9749…c762 کو منتقل کیا گیا۔ 20:59 تک، اس میں سے $325 ملین RFQ مارکیٹ میکرز کے ذریعے ETH میں تبدیل کر دیے گئے، اور باقی $175 ملین آگے منتقل کر دیے گئے

• 20:33 پر، $200 ملین USDT 0x0ddf…697e کو منتقل کیا گیا۔ تقریباً $10 ملین DEXs پر فروخت کیے گئے، اور $190 ملین 0x8d53…639a کو منتقل کیے گئے، جس نے $60 ملین Aave میں جمع کرا کے اس کے خلاف ETH قرض لیا

Tether کی پہلی بیچ بلیک لسٹنگ 21:01:35 پر مؤثر ہوئی: 0x5227، جس کے پاس اب بھی $971 ملین USDT تھا؛ اور 0x9749، جو پہلے ہی خالی ہو چکا تھا۔ Circle نے $823 ملین USDC 21:04:59 پر منجمد کیا۔

کچھ فنڈز آخری سیکنڈوں میں بچ نکلے:• 21:01:59 پر، 0x8d53 نے 0x77ed…c3eb کو 130 ملین USDT منتقل کیے۔ اڑتالیس سیکنڈ بعد، 21:02:47 پر، Tether نے 0x8d53 کو منجمد کر دیا• 21:04 سے 21:06 تک، 0x77ed نے ایک DEX پر تقریباً 50 ملین USDT فروخت کیے اور 80 ملین 0x7aa4…bfd1 کو منتقل کیے

• 21:08 سے 21:11 تک، 0x7aa4 نے مزید تقریباً 50 ملین فروخت کیے اور آخری 30 ملین باہر منتقل کر دیے۔ جب تک Tether نے 21:12:35 پر 0x7aa4 کو منجمد کیا، یہ پہلے ہی خالی ہو چکا تھا

• 21:16:11 پر، 0xccbe…a263 نے 30 ملین باہر منتقل کیے۔ 36 سیکنڈ بعد Tether نے 0xccbe کو منجمد کیا، اور 21:18:59 پر اس نے 30 ملین کو 0xb171…c8c3 پر روک لیا

• 0x9749 کی طرف سے باہر منتقل کیے گئے 175 ملین 0xaa24…54a0 پر موجود رہے یہاں تک کہ Tether نے اسے 21:14:59 پر منجمد کر دیا

مجموعی طور پر، Ethereum پر موجود 1.875 بلین USDT میں سے، بلیک لسٹ نے پکڑنے سے پہلے تقریباً 435 ملین فروخت ہو چکے تھے۔ 1.38 بلین منجمد ہو چکے ہیں، اور 60 ملین Aave کولیٹرل کے طور پر پھنسے ہوئے ہیں۔

دیگر جاری کنندگان کی کارروائیاں، زمانی ترتیب کے مطابق:

• 20:57:47 World Liberty نے 0x5227 میں 48.5 ملین WLFI کو بلیک لسٹ کیا

• 21:07:55 Tether نے Avalanche پر 8.41 ملین USDt منجمد کیے۔ حملہ آور نے 21:40:47 پر اسے منتقل کرنے کی کوشش کی، اور ٹرانزیکشن ریورٹ ہو گئی

• 21:09 سے 21:21 تک Tether نے Tron پر تین والٹس میں 378.7 ملین USDT منجمد کیے۔ اس سے پہلے، 234 ملین پہلے ہی SunSwap کے ذریعے TRX میں تبدیل ہو چکے تھے

• 21:11:23 پر Tether نے 12,574 XAUt (تقریباً 50 ملین USD) منجمد کیے

• 22:00:59 پر Ripple نے RLUSD منجمد کیا۔ حملہ آور اسے پہلے ہی 21:33 پر 0xe702…958d پر منتقل کر چکا تھا اور 48 ملین ETH میں فروخت کر چکا تھا، آخری فروخت کا آرڈر اور منجمد کرنے کی کارروائی ایک ہی بلاک میں ہوئی۔ 40.5 ملین روک لیے گئے

• 22:10:35 پر World Liberty نے 27.8 ملین USD1 منجمد کیے

• 22:30:47 پر Paxos نے 1,907 PAXG منجمد کیے

• 22:48:35 پر Binance نے 29,934 wBETH (تقریباً 75 ملین USD) کو بلیک لسٹ کیا؛ حملہ آور اسے پہلے ہی 21:52 پر 0x7f9d…15e3 پر منتقل کر چکا تھا

First Digital کے 3.45 ملین FDUSD اب بھی منتقل کیے جا سکتے ہیں۔

Binance 14 حملہ آور کے کنٹریکٹ کو تفویض کردہ رہا، جو ایک رسہ کشی میں تبدیل ہو گیا:

• 21:04 اور 21:44 پر، حملہ آور نے دوبارہ صفائی کی: پہلے 1,700 ETH، پھر 370 ETH اور 200.4 ملین USDT۔ یہ USDT 0x5227 میں پہنچا، جسے Tether پہلے ہی منجمد کر چکا تھا

• 22:06:23 پر، Tether نے خود Binance 14 کو بلیک لسٹ کیا۔ اس ایڈریس سے Binance کی اپنی USDT منتقلیاں 22:15 اور 23:01 پر ناکام ہوئیں

• 22:39 پر، حملہ آور نے دوبارہ صفائی کی، اس بار ایک نئے والٹ میں: 128.5 ETH اور 122 چھوٹے کیپ ٹوکنز

• 22:55 سے 23:07 تک، Binance نے خود Binance 14 کو خالی کیا: Binance 8 کو 46 ٹوکن منتقلیاں، تقریباً ہر 12 سیکنڈ میں ایک

• 23:36 سے 23:38 تک، حملہ آور نے مزید چار بار sweep() کال کیا، اور چاروں خالی رہے

Ethereum سے باہر:

• Arbitrum، 21:35 سے 21:38: تمام 8,426 ETH اور 74.6 ملین ARB ایک نئے 7702 والٹ 0x3e2b…32d5 میں منتقل کر دیے گئے، جس نے 21:41 پر ARB کو ٹریڈنگ کے لیے اختیار دیا۔ 23:50 تک یہ اب بھی وہیں تھا

• Avalanche، 21:45:34: 1,813,999 AVAX کو 0x8035…c397 میں منتقل کیا گیا۔ پھر 0xc39e…9824 سے 200,005 AVAX باہر منتقل کیے گئے، اور 23:27:35 پر اسی ایڈریس نے Circle کے CCTP کراس چین برج کے ذریعے Ethereum پر 1,563,812.78 USDC وصول کیے۔ چار منٹ بعد، 23:31:59 پر، Circle نے اسے بلیک لسٹ کر دیا• بٹ کوائن، XRP، سولانا، اور آپٹیمزم پر موجود فنڈز ابھی تک منتقل نہیں ہوئے ہیں۔ BTC 19 والٹس میں پھیلا ہوا ہے، جن میں سے 17 والٹس میں سے ہر ایک میں بالکل 1,000 BTC موجود ہے

تقریباً 23:50 UTC تک صورتحال:

منجمد، تقریباً 2.80 بلین امریکی ڈالر

• ایتھیریم پر 1.38 بلین USDT، ٹرون پر 378.7 ملین، ایوالانچے پر 8.41 ملین (Tether)

• 824.6 ملین USDC (Circle)

• 40.5 ملین RLUSD (Ripple)، 27.8 ملین USD1 (World Liberty)، 12,574 XAUt (Tether)، 29,934 wBETH (Binance)، 1,907 PAXG (Paxos)، 48.5 ملین WLFI

غیر منجمد، تقریباً 3.27 بلین امریکی ڈالر

• 18,270 BTC، 1.42 بلین امریکی ڈالر

• 9 والٹس میں پھیلے ہوئے 458,770 ETH، 1.03 بلین امریکی ڈالر

• 233.5 ملین XRP، 289 ملین امریکی ڈالر

• 684.6 ملین TRX، 243 ملین امریکی ڈالر

• ایتھیریم پر دیگر ٹوکنز میں تقریباً 136 ملین امریکی ڈالر

• 970,500 SOL، 93 ملین امریکی ڈالر، نیز ARB، AVAX، اور OP، تقریباً 48 ملین امریکی ڈالر

مزید 60 ملین USDT Aave کولیٹرل کے طور پر پھنسا ہوا ہے۔

نوٹ: BTC، XRP، اور ٹرون پر منتقلیوں کو وقت اور لین دین کے فنگر پرنٹس کے ذریعے جوڑا گیا: ایک ہی وقت کی ونڈو، بالکل نئے وصول کنندہ پتے، اور Binance کی اپنی withdrawals سے مختلف فیس اور لین دین کے فارمیٹس۔ چوری شدہ رقم UTC 20:24 کی قیمتوں پر شمار کی گئی ہے؛ موجودہ ہولڈنگز UTC 23:50 کے قریب کی قیمتوں پر شمار کی گئی ہیں۔

ہر لین دین اور منجمد کرنے کا آن چین ثبوت نیچے پوسٹ میں منسلک ہے۔ اگر آپ کو کوئی ایسی چیز نظر آئے جو میں نے چھوڑ دی ہو، تو براہ کرم مجھے بتائیں!