جمّدت Circle/Tether عملات مستقرة بقيمة تقارب 1.7 مليار دولار، ما يشكّل جزءًا كبيرًا من الأموال المتأثرة. واقترح CZ أن يتمكن صندوق SAFU من سد هذه الفجوة.
أكبر الأصول تقريبًا:
• 1.615 مليار USDT
• 62.6 مليون RLUSD
• 29,934 wBETH
• 11,372 XAUt
• 6.19 مليون UNI
• 198.4 مليون ENA
• 7.175 تريليون PEPE
• 27.8 مليون USD1
• 2.26 مليون LINK
• 127,853 AAVE
تبلغ قيمتها نحو 2.5 مليار دولار وفقًا لأسعار المستكشف.
1. نشر المهاجم عقد تفويض من المُرحِّل عند الساعة 15:59 بالتوقيت العالمي المنسق، بعنوان 0x63e842b0...73e9c6fAe.
2. بعد نحو أربع ساعات، أرسل المُرحِّل معاملة تفويض EIP-7702.
ثبّتت هذه المعاملة شيفرة تفويض خبيثة من نوع 7702 على Binance 14.
3. بعد ذلك، استدعى المُرحِّل Binance 14 لتنفيذ شيفرة التفويض وتحويل أرصدة ETH والرموز الخاصة بـ Binance 14.
4. وُسِمت بيانات الاستدعاء بالدالة sweep(address, address[]). وكانت الوسيطة الثانية قائمة بعناوين عقود رموز معروفة، بالإضافة إلى عنوان الصفر (eth).
5. استخدم المُرحِّل نفسه لاحقًا التفويض ذاته لتحويل 780 مليون USDC من محفظة Binance الساخنة 34 إلى المجموعة نفسها.
• موّل المُرحِّل 0x7C... نفسه عبر ثلاث عمليات سحب بقيمة 0.1 ETH من Tornado Cash خلال اليومين السابقين.
• تلقت المجموعة نفسها 28,005.6 ETH من Binance 16 بعد 24 ثانية من عملية السحب الرئيسية.
• ثم حوّلت المجموعة 195,460 ETH إلى عنوان EOA جديد غير موسوم.
• لا يملك عنوان EOA هذا سوى معاملة واحدة، ويحتفظ حاليًا بـ195,460 ETH.
ليس واضحًا تمامًا سبب الحاجة إلى مُرحِّل في البداية. فلو كانت لديهم المفاتيح الخاصة بمحفظة Binance، لكان بإمكانهم إرسال الأصول مباشرةً ضمن حزمة ذرية، من دون الحاجة إلى مُرحِّل على الإطلاق.
لذا، يبدو من المرجح أنهم لم يملكوا المفاتيح الخاصة، بل حصلوا بطريقة ما على توقيع تفويض 7702 عبر التصيّد الاحتيالي فحسب.
أظن أنه يمكننا افتراض أن الأمر من تدبير كوريا الشمالية.
من التفاصيل المثيرة للاهتمام بشأن اختراق Binance أن معاملة الاستنزاف أرسلت 50 تفويضًا من نوع EIP-7702، يحمل كل منها قيمة nonce متسلسلة.
كان تفويض واحد فقط يحمل قيمة nonce الصحيحة والصالحة للمعاملة.
من المرجح أن المهاجم جمع التفويضات الخمسين على مدى فترة من الزمن، من دون أن يعرف قيمة nonce الصحيحة وقت التنفيذ، ثم أرسلها كلها دفعة واحدة. لن تقبل إيثيريوم سوى التفويض الصالح، وستُهمَل التفويضات غير الصالحة. $BNB
أكبر الأصول تقريبًا:
• 1.615 مليار USDT
• 62.6 مليون RLUSD
• 29,934 wBETH
• 11,372 XAUt
• 6.19 مليون UNI
• 198.4 مليون ENA
• 7.175 تريليون PEPE
• 27.8 مليون USD1
• 2.26 مليون LINK
• 127,853 AAVE
تبلغ قيمتها نحو 2.5 مليار دولار وفقًا لأسعار المستكشف.
1. نشر المهاجم عقد تفويض من المُرحِّل عند الساعة 15:59 بالتوقيت العالمي المنسق، بعنوان 0x63e842b0...73e9c6fAe.
2. بعد نحو أربع ساعات، أرسل المُرحِّل معاملة تفويض EIP-7702.
ثبّتت هذه المعاملة شيفرة تفويض خبيثة من نوع 7702 على Binance 14.
3. بعد ذلك، استدعى المُرحِّل Binance 14 لتنفيذ شيفرة التفويض وتحويل أرصدة ETH والرموز الخاصة بـ Binance 14.
4. وُسِمت بيانات الاستدعاء بالدالة sweep(address, address[]). وكانت الوسيطة الثانية قائمة بعناوين عقود رموز معروفة، بالإضافة إلى عنوان الصفر (eth).
5. استخدم المُرحِّل نفسه لاحقًا التفويض ذاته لتحويل 780 مليون USDC من محفظة Binance الساخنة 34 إلى المجموعة نفسها.
• موّل المُرحِّل 0x7C... نفسه عبر ثلاث عمليات سحب بقيمة 0.1 ETH من Tornado Cash خلال اليومين السابقين.
• تلقت المجموعة نفسها 28,005.6 ETH من Binance 16 بعد 24 ثانية من عملية السحب الرئيسية.
• ثم حوّلت المجموعة 195,460 ETH إلى عنوان EOA جديد غير موسوم.
• لا يملك عنوان EOA هذا سوى معاملة واحدة، ويحتفظ حاليًا بـ195,460 ETH.
ليس واضحًا تمامًا سبب الحاجة إلى مُرحِّل في البداية. فلو كانت لديهم المفاتيح الخاصة بمحفظة Binance، لكان بإمكانهم إرسال الأصول مباشرةً ضمن حزمة ذرية، من دون الحاجة إلى مُرحِّل على الإطلاق.
لذا، يبدو من المرجح أنهم لم يملكوا المفاتيح الخاصة، بل حصلوا بطريقة ما على توقيع تفويض 7702 عبر التصيّد الاحتيالي فحسب.
أظن أنه يمكننا افتراض أن الأمر من تدبير كوريا الشمالية.
من التفاصيل المثيرة للاهتمام بشأن اختراق Binance أن معاملة الاستنزاف أرسلت 50 تفويضًا من نوع EIP-7702، يحمل كل منها قيمة nonce متسلسلة.
كان تفويض واحد فقط يحمل قيمة nonce الصحيحة والصالحة للمعاملة.
من المرجح أن المهاجم جمع التفويضات الخمسين على مدى فترة من الزمن، من دون أن يعرف قيمة nonce الصحيحة وقت التنفيذ، ثم أرسلها كلها دفعة واحدة. لن تقبل إيثيريوم سوى التفويض الصالح، وستُهمَل التفويضات غير الصالحة. $BNB
