Circle/Tether haben Stablecoins im Wert von etwa 1,7 Milliarden US-Dollar eingefroren. Das macht einen erheblichen Teil der betroffenen Gelder aus. CZ schlug vor, dass der SAFU-Fonds diese Lücke schließen könnte.
Die größten Vermögenswerte sind ungefähr:
• 1,615 Milliarden USDT
• 62,6 Millionen RLUSD
• 29.934 wBETH
• 11.372 XAUt
• 6,19 Millionen UNI
• 198,4 Millionen ENA
• 7,175 Billionen PEPE
• 27,8 Millionen USD1
• 2,26 Millionen LINK
• 127.853 AAVE
Nach den Preisen auf dem Blockchain-Explorer sind das etwa 2,5 Milliarden US-Dollar.
1. Der Angreifer stellte um 15:59 UTC vom Relayer aus einen Delegationsvertrag bereit: 0x63e842b0...73e9c6fAe.
2. Etwa vier Stunden später reichte der Relayer eine EIP-7702-Autorisierungstransaktion ein.
Mit dieser Transaktion wurde auf Binance 14 bösartiger 7702-Delegationscode installiert.
3. Anschließend rief der Relayer Binance 14 auf, führte den Delegationscode aus und transferierte die ETH- und Token-Guthaben von Binance 14.
4. Die Aufrufdaten waren mit sweep(address, address[]) gekennzeichnet. Der zweite Parameter war eine Liste identifizierbarer Token-Vertragsadressen sowie die Nulladresse (ETH).
5. Später transferierte derselbe Relayer mit derselben Delegation 780 Millionen USDC aus der Binance-Hot-Wallet 34 in denselben Pool.
• Der Relayer 0x7C... erhielt seine Gelder in den zwei Tagen zuvor durch drei Tornado-Cash-Abhebungen von jeweils 0,1 ETH.
• Derselbe Pool erhielt 24 Sekunden nach dem großen Sweep 28.005,6 ETH von Binance 16.
• Anschließend leitete der Pool 195.460 ETH an eine neue, nicht gekennzeichnete EOA weiter.
• Diese EOA hat nur eine Transaktion und hält derzeit 195.460 ETH.
Nicht ganz klar ist, warum überhaupt ein Relayer benötigt wurde. Wenn sie die privaten Schlüssel der Binance-Wallet gehabt hätten, hätten sie die Vermögenswerte direkt in einem atomaren Bundle senden können – ganz ohne Relayer.
Daher scheint es sehr wahrscheinlich, dass sie keine privaten Schlüssel hatten, sondern irgendwie lediglich die 7702-Autorisierungssignatur erlangt haben, etwa durch Phishing.
Ich denke, wir können einfach davon ausgehen, dass es Nordkorea war.
Ein interessantes Detail zum Binance-Hack: Bei der Drain-Transaktion wurden 50 EIP-7702-Autorisierungen eingereicht, jede mit einer fortlaufenden Nonce.
Nur eine davon hatte die korrekte, gültige Nonce für die Transaktion.
Wahrscheinlich sammelte der Angreifer im Laufe der Zeit alle 50 Autorisierungen, ohne zu wissen, welche Nonce zum Ausführungszeitpunkt gültig sein würde, und reichte sie dann alle auf einmal ein. Ethereum akzeptiert nur die gültige; die ungültigen werden verworfen. $BNB
Die größten Vermögenswerte sind ungefähr:
• 1,615 Milliarden USDT
• 62,6 Millionen RLUSD
• 29.934 wBETH
• 11.372 XAUt
• 6,19 Millionen UNI
• 198,4 Millionen ENA
• 7,175 Billionen PEPE
• 27,8 Millionen USD1
• 2,26 Millionen LINK
• 127.853 AAVE
Nach den Preisen auf dem Blockchain-Explorer sind das etwa 2,5 Milliarden US-Dollar.
1. Der Angreifer stellte um 15:59 UTC vom Relayer aus einen Delegationsvertrag bereit: 0x63e842b0...73e9c6fAe.
2. Etwa vier Stunden später reichte der Relayer eine EIP-7702-Autorisierungstransaktion ein.
Mit dieser Transaktion wurde auf Binance 14 bösartiger 7702-Delegationscode installiert.
3. Anschließend rief der Relayer Binance 14 auf, führte den Delegationscode aus und transferierte die ETH- und Token-Guthaben von Binance 14.
4. Die Aufrufdaten waren mit sweep(address, address[]) gekennzeichnet. Der zweite Parameter war eine Liste identifizierbarer Token-Vertragsadressen sowie die Nulladresse (ETH).
5. Später transferierte derselbe Relayer mit derselben Delegation 780 Millionen USDC aus der Binance-Hot-Wallet 34 in denselben Pool.
• Der Relayer 0x7C... erhielt seine Gelder in den zwei Tagen zuvor durch drei Tornado-Cash-Abhebungen von jeweils 0,1 ETH.
• Derselbe Pool erhielt 24 Sekunden nach dem großen Sweep 28.005,6 ETH von Binance 16.
• Anschließend leitete der Pool 195.460 ETH an eine neue, nicht gekennzeichnete EOA weiter.
• Diese EOA hat nur eine Transaktion und hält derzeit 195.460 ETH.
Nicht ganz klar ist, warum überhaupt ein Relayer benötigt wurde. Wenn sie die privaten Schlüssel der Binance-Wallet gehabt hätten, hätten sie die Vermögenswerte direkt in einem atomaren Bundle senden können – ganz ohne Relayer.
Daher scheint es sehr wahrscheinlich, dass sie keine privaten Schlüssel hatten, sondern irgendwie lediglich die 7702-Autorisierungssignatur erlangt haben, etwa durch Phishing.
Ich denke, wir können einfach davon ausgehen, dass es Nordkorea war.
Ein interessantes Detail zum Binance-Hack: Bei der Drain-Transaktion wurden 50 EIP-7702-Autorisierungen eingereicht, jede mit einer fortlaufenden Nonce.
Nur eine davon hatte die korrekte, gültige Nonce für die Transaktion.
Wahrscheinlich sammelte der Angreifer im Laufe der Zeit alle 50 Autorisierungen, ohne zu wissen, welche Nonce zum Ausführungszeitpunkt gültig sein würde, und reichte sie dann alle auf einmal ein. Ethereum akzeptiert nur die gültige; die ungültigen werden verworfen. $BNB
