Circle/Tether congeló stablecoins por un valor aproximado de 1.700 millones de dólares, una gran parte de los fondos afectados. CZ sugirió que el fondo SAFU podría cubrir esta brecha.
Los activos más importantes son aproximadamente:
• 1.615 millones de USDT
• 62,6 millones de RLUSD
• 29.934 wBETH
• 11.372 XAUt
• 6,19 millones de UNI
• 198,4 millones de ENA
• 7,175 billones de PEPE
• 27,8 millones de USD1
• 2,26 millones de LINK
• 127.853 AAVE
A precios de los exploradores, el valor asciende a unos 2.500 millones de dólares.
1. El atacante desplegó un contrato de delegación desde un relayer a las 15:59 UTC: 0x63e842b0...73e9c6fAe.
2. Unas cuatro horas después, el relayer envió una transacción de autorización EIP-7702.
Esa transacción instaló código malicioso de delegación 7702 en Binance 14.
3. Luego, el relayer llamó a Binance 14 para ejecutar el código de delegación y transferir los saldos de ETH y tokens de Binance 14.
4. Los datos de llamada indican sweep(address, address[]). El segundo parámetro es una lista de direcciones de contratos de tokens reconocibles, más la dirección cero (eth).
5. Más tarde, el mismo relayer usó la misma delegación para transferir 780 millones de USDC desde la billetera caliente Binance 34 al mismo pool.
• El relayer 0x7C... recibió fondos dos días antes mediante tres retiros de 0,1 ETH de Tornado Cash.
• El mismo pool recibió 28.005,6 ETH de Binance 16, 24 segundos después de la operación de vaciado principal.
• Después, el pool envió 195.460 ETH a una nueva EOA sin etiquetar.
• Esa EOA solo tiene una transacción y actualmente posee 195.460 ETH.
No está del todo claro por qué se necesitaba un relayer desde el principio. Si tenían la clave privada de la billetera de Binance, podrían haber enviado los activos directamente en un paquete atómico, sin necesidad de un relayer.
Por lo tanto, parece muy probable que no tuvieran la clave privada y que, de algún modo, solo consiguieran mediante phishing una firma de autorización 7702.
Creo que podemos simplemente asumir que fue Corea del Norte.
Un detalle interesante sobre el hackeo de Binance: la transacción de vaciado envió 50 autorizaciones EIP-7702, cada una con un nonce secuencial.
Solo una tenía el nonce correcto y válido para la transacción.
Es probable que el atacante recopilara las 50 autorizaciones durante cierto tiempo, sin saber cuál sería el nonce correcto al ejecutarlas, y luego las enviara todas a la vez. Ethereum solo aceptará la válida; las inválidas se descartarán. $BNB
Los activos más importantes son aproximadamente:
• 1.615 millones de USDT
• 62,6 millones de RLUSD
• 29.934 wBETH
• 11.372 XAUt
• 6,19 millones de UNI
• 198,4 millones de ENA
• 7,175 billones de PEPE
• 27,8 millones de USD1
• 2,26 millones de LINK
• 127.853 AAVE
A precios de los exploradores, el valor asciende a unos 2.500 millones de dólares.
1. El atacante desplegó un contrato de delegación desde un relayer a las 15:59 UTC: 0x63e842b0...73e9c6fAe.
2. Unas cuatro horas después, el relayer envió una transacción de autorización EIP-7702.
Esa transacción instaló código malicioso de delegación 7702 en Binance 14.
3. Luego, el relayer llamó a Binance 14 para ejecutar el código de delegación y transferir los saldos de ETH y tokens de Binance 14.
4. Los datos de llamada indican sweep(address, address[]). El segundo parámetro es una lista de direcciones de contratos de tokens reconocibles, más la dirección cero (eth).
5. Más tarde, el mismo relayer usó la misma delegación para transferir 780 millones de USDC desde la billetera caliente Binance 34 al mismo pool.
• El relayer 0x7C... recibió fondos dos días antes mediante tres retiros de 0,1 ETH de Tornado Cash.
• El mismo pool recibió 28.005,6 ETH de Binance 16, 24 segundos después de la operación de vaciado principal.
• Después, el pool envió 195.460 ETH a una nueva EOA sin etiquetar.
• Esa EOA solo tiene una transacción y actualmente posee 195.460 ETH.
No está del todo claro por qué se necesitaba un relayer desde el principio. Si tenían la clave privada de la billetera de Binance, podrían haber enviado los activos directamente en un paquete atómico, sin necesidad de un relayer.
Por lo tanto, parece muy probable que no tuvieran la clave privada y que, de algún modo, solo consiguieran mediante phishing una firma de autorización 7702.
Creo que podemos simplemente asumir que fue Corea del Norte.
Un detalle interesante sobre el hackeo de Binance: la transacción de vaciado envió 50 autorizaciones EIP-7702, cada una con un nonce secuencial.
Solo una tenía el nonce correcto y válido para la transacción.
Es probable que el atacante recopilara las 50 autorizaciones durante cierto tiempo, sin saber cuál sería el nonce correcto al ejecutarlas, y luego las enviara todas a la vez. Ethereum solo aceptará la válida; las inválidas se descartarán. $BNB
