Editor | WuBlockchain y ChatGPT
Resumen:
La investigación preliminar de Binance apuntó inicialmente a una posible vulneración del ordenador de un ingeniero de DevOps. Posteriormente se descubrieron otros puntos de intrusión. El exchange afirmó que intervinieron varios factores, mientras que la ruta completa del ataque y la forma en que se generaron firmas válidas siguen sin confirmarse.
La existencia de firmas válidas en la cadena no demuestra que se filtraran claves privadas. Aún quedan por responder preguntas sobre si el atacante abusó de los servicios de firma y cómo los permisos de los contenedores pudieron traducirse en capacidades de firma.
Se utilizó EIP-7702 para transferir activos por lotes y barrer repetidamente los fondos entrantes, pero no puede explicar todas las transferencias anómalas en varias cadenas. Se han revocado las autorizaciones maliciosas.
Binance dijo que había reservado más de 6.340 millones de dólares de fondos de la empresa para cubrir el incidente. Aproximadamente 5.000 millones de dólares ya estaban en los tokens afectados correspondientes; el resto se compraría a través de los mercados y de operaciones extrabursátiles (OTC). Estos fondos no incluyen unos 3.000 millones de dólares en activos congelados, cuya recuperación y verificación siguen pendientes.
El 29 de octubre, hora de verano del Este (EDT), Binance dijo que su investigación preliminar indicaba que el portátil de un ingeniero de DevOps podría haberse visto comprometido, lo que permitió al atacante acceder a un contenedor de servicio y enviar transacciones de retiro no autorizadas. En esa etapa, la plataforma dijo que no había encontrado pruebas de que se hubieran filtrado las claves privadas de las carteras. En una actualización posterior, Binance dijo que los investigadores habían identificado puntos de intrusión adicionales y describió el incidente como un ataque sofisticado.
En una actualización de servicio independiente, Binance dijo que habían intervenido múltiples factores y que el ordenador comprometido podría haber servido como punto de entrada. Su equipo de seguridad estaba rastreando la ruta completa del ataque. Estas revelaciones añadieron indicios de acceso a sistemas internos al análisis previo de la actividad en la cadena. Sin embargo, no se ha revelado la relación entre los puntos de intrusión adicionales ni cómo obtuvo el atacante autorizaciones y firmas de transacciones que pudieran verificarse en la cadena.
1. Hallazgos preliminares de Binance: afectados unos 6.300 millones de dólares; 3.000 millones congelados
En un anuncio publicado a las 22:23 EDT del 29 de octubre, Binance estimó inicialmente el impacto total del incidente en unos 6.300 millones de dólares y dijo que había colaborado con socios de la cadena de bloques para congelar en la cadena alrededor de 3.000 millones de dólares en activos relacionados. El total congelado verificado que había comunicado anteriormente era de 2.540 millones de dólares. El impacto total estimado no representa la pérdida neta final una vez contabilizados los activos congelados y recuperados.
En su declaración más reciente, Binance dijo que había reservado más de 6.340 millones de dólares de fondos de la empresa para cubrir el incidente, y que ya tenía unos 5.000 millones de dólares en los tokens afectados correspondientes. Estaba comprando los tokens restantes a través de los mercados y de operaciones extrabursátiles (OTC) para cubrir el déficit de activos. Binance dijo que la liquidez limitada de algunos tokens, junto con el tiempo necesario para liquidar las operaciones OTC, podría prolongar esas compras.
Binance recalcó que estos fondos no incluyen los activos congelados o protegidos. Se han congelado unos 3.000 millones de dólares en activos relacionados, pero su recuperación y verificación siguen pendientes. La plataforma dijo que había comenzado a recuperar los activos afectados para los usuarios y que seguía trabajando con las fuerzas del orden, emisores, empresas de inteligencia de cadenas de bloques y socios del sector para rastrear, congelar y recuperar fondos adicionales. Binance dijo que seguiría utilizando los recursos de la empresa para cubrir los déficits de activos confirmados y que, en última instancia, ofrecería una verificación pública de los fondos de los usuarios mediante su prueba de reservas.
En cuanto a la disponibilidad del servicio, Binance aclaró posteriormente que los depósitos no se habían visto afectados, mientras que los retiros seguían suspendidos. Su equipo estaba realizando tareas de corrección de seguridad en los servicios de retiro y las direcciones relacionadas. La última actualización de la investigación indicó que las salidas pertinentes se habían detenido tras la suspensión de los retiros y que se esperaba reanudar estos servicios dentro de las 45 horas posteriores a esa declaración.
En cuanto a la causa, Binance ha revelado indicios relacionados con la presunta vulneración del ordenador de un ingeniero, el acceso a un contenedor de servicio y los retiros no autorizados. También ha confirmado el hallazgo de puntos de intrusión adicionales. En una autopsia técnica completa aún deberán explicar cómo se comprometió el ordenador, qué permisos tenía el contenedor y cómo se combinaron los distintos puntos de intrusión para formar la ruta del ataque.
2. Del acceso al contenedor a las firmas válidas: ¿qué falta por esclarecer?
Según el análisis de Blockaid, la autorización EIP-7702 de Binance 14 contenía una firma válida que podía verificarse con la dirección de esa cartera. Una vez que la autorización entró en vigor, el atacante transfirió activos mediante código delegado malicioso. Varias otras carteras calientes también realizaron transferencias ordinarias con firmas válidas de sus respectivas cuentas. Estos registros en la cadena plantean una pregunta fundamental: ¿cómo obtuvo el atacante esas firmas válidas?
Una firma válida por sí sola no demuestra que se haya filtrado una clave privada. Un atacante podría generar firmas válidas obteniendo directamente la clave privada o abusando de un sistema autorizado para solicitar firmas, aunque no pueda leer la clave. Por lo general, los registros en la cadena por sí solos no permiten distinguir entre estos escenarios. También se necesitan registros de los sistemas internos, configuraciones de permisos y registros de solicitudes de firma.
En su anuncio anterior, Binance dijo que el atacante había accedido a un contenedor de servicio y enviado transacciones de retiro no autorizadas después de que se sospechara que el ordenador del ingeniero había sido comprometido. Posteriormente, Sisi, de Binance, explicó que el ordenador comprometido del empleado solo había sido el punto de partida. Comprometer un solo dispositivo o explotar los permisos de un ingeniero no habría bastado por sí solo para transferir los fondos; el ataque real implicó un proceso más complejo. En ese momento, los investigadores no habían atribuido la responsabilidad a ninguna persona ni encontrado pruebas de que se hubieran filtrado claves privadas de las carteras. Binance reveló más tarde puntos de intrusión adicionales, pero no indicó dónde estaban ni cómo se conectaban entre sí.
Estas revelaciones aún no explican cómo se tradujo el acceso interno en firmas en la cadena. Si el atacante utilizó el contenedor de servicio para acceder a los servicios de firma o eludió los procedimientos de aprobación o las comprobaciones de políticas sigue siendo una línea de investigación, no una ruta de ataque confirmada. Los puntos de intrusión adicionales también implican que la secuencia propuesta de «compromiso del ordenador, acceso al contenedor y abuso del servicio de firma» podría describir solo una parte del proceso o tener que revisarse a medida que surjan nuevas pruebas forenses.
En un análisis anterior de terceros, Shenyu, cofundador de Cobo, señaló posibles problemas de seguridad en las claves privadas o el sistema de firma y dijo que no había pruebas de que una vulnerabilidad de contrato inteligente hubiera causado directamente el incidente. Los indicios de acceso interno revelados por Binance aún no confirman esa valoración. Los investigadores todavía deben determinar cómo se generaron las firmas válidas de autorización y de transacción, y si la actividad anómala en distintas carteras y cadenas implicó accesos o permisos de firma compartidos.
3. El papel de EIP-7702: transferencias por lotes y barridos repetidos tras la autorización
EIP-7702 explica cómo operó el atacante en Binance 14 después de que entrara en vigor la autorización maliciosa. Permite que una cuenta de propiedad externa firme una autorización que delega la ejecución de código en un contrato especificado, lo que habilita funciones como las operaciones por lotes y el pago patrocinado del gas. Si la cuenta delega en un contrato malicioso, esas mismas capacidades de ejecución pueden utilizarse para vaciar los activos.
Según Blockaid, el atacante envió un conjunto de autorizaciones correspondientes a distintos nonces de la cuenta. Una de ellas acabó coincidiendo, lo que permitió que la delegación maliciosa entrara en vigor. Esto resolvió el problema de hacer coincidir la autorización con el estado de ejecución de la cuenta. Aun así, el atacante necesitaba haber obtenido previamente firmas válidas, por lo que esto no explica la vulneración inicial.
Una vez que la delegación entró en vigor, el atacante pudo llamar al contrato malicioso para transferir ETH y varios tokens por lotes, sin obtener una nueva firma de la cartera para cada activo. Y, lo que es más importante, una delegación EIP-7702 no caduca automáticamente al finalizar una sola transacción. Blockaid registró que el atacante barrió activos adicionales depositados en Binance 14 después del vaciado inicial. Por tanto, vaciar el saldo de la cartera no eliminó la capacidad persistente del atacante para actuar sobre esa dirección.
Cosine, fundador de SlowMist, ofreció la opinión de un tercero de que el atacante eligió EIP-7702 principalmente para simplificar el barrido por lotes de tokens de la cartera caliente y de que el mecanismo en sí no tenía fallos. Se podrían haber realizado operaciones similares mediante otros métodos, sin EIP-7702. Según esa valoración, la investigación debería centrarse en cómo se firmaron las autorizaciones maliciosas, en lugar de tratar el uso de EIP-7702 por sí solo como prueba de una vulnerabilidad del protocolo.
Sin embargo, la delegación EIP-7702 en Binance 14 no puede explicar por sí sola las transferencias anómalas desde carteras en otras cadenas. Blockaid observó que varias otras carteras calientes realizaron transferencias ordinarias. Por tanto, es necesario investigar por separado la autorización delegada en Binance 14 y las firmas de transacción de las otras carteras, incluso para determinar si implicaron accesos internos o permisos de firma compartidos.
Según la investigación en la cadena de Bitquery, Binance 14 anuló su delegación EIP-7702 a las 20:10 EDT del 29 de octubre. Binance confirmó posteriormente que se habían revocado las autorizaciones de las direcciones afectadas. Anular la delegación elimina los permisos de ejecución persistentes de esa dirección, pero no sustituye las comprobaciones de seguridad en los sistemas internos y otras carteras.
4. Actualización de la respuesta sobre los activos: congelaciones, intercambios y transferencias
Además de comunicar un total agregado de unos 3.000 millones de dólares congelados, Binance informó de que otras partes habían tomado medidas de respuesta específicas. El Consejo de Seguridad de Arbitrum trasladó aproximadamente 74,56 millones de ARB y 8.425 ETH desde una dirección implicada a una cartera intermediaria congelada. ZachXBT valoró esos activos en unos 30,5 millones de dólares. Según Specter, First Digital incluyó en una lista negra una dirección del atacante que tenía aproximadamente 3,4 millones de FDUSD. No existe un desglose completo que confirme si estos importes ya están incluidos en el total agregado congelado, por lo que no deben sumarse por separado.
El seguimiento anterior de la actividad en la cadena también documentó los intercambios y transferencias de activos del atacante. Lookonchain informó que se habían vendido siete tokens —UNI, ENA, PEPE, LINK, AAVE, ONDO y WLD— por un total de 70.480 ETH, valorados en unos 158,25 millones de dólares en ese momento. Onchain Lens rastreó más de 1.000 millones de dólares en ETH que se trasladaron a nuevas carteras e informó que el atacante había comenzado a vender STRK. Su sugerencia de que el atacante se estaba preparando para usar un mezclador seguía siendo especulativa; las transferencias no demostraban que los fondos ya hubieran entrado en uno.
LlamaRisk informó además que una dirección implicada había depositado aproximadamente 60 millones de USDT en Aave y tomado prestados 19.762 WETH. En el momento de su evaluación, la posición seguía teniendo garantías suficientes. Aave congeló un total combinado de 292 reservas de activos en V3 y V4, suspendiendo los nuevos depósitos y préstamos. Los reembolsos, retiros y liquidaciones siguieron operativos, aunque los retiros continuaban sujetos a la liquidez del mercado, la salud de la cuenta y otras condiciones.
Mientras tanto, el ingeniero de contratos inteligentes Justin Kalland dedujo, a partir de las características de las transacciones, que las direcciones vinculadas al atacante podrían haber utilizado MetaMask Gas Station, lo que posiblemente proporcionaría registros fuera de la cadena relevantes para la investigación. No se ha confirmado si existen tales registros ni si podrían ayudar a identificar al atacante.
Una autopsia técnica completa aún debe determinar cómo se comprometió inicialmente el ordenador, dónde estaban los puntos de intrusión adicionales y cómo se relacionaban con el ordenador comprometido, qué permisos tenía el contenedor de servicio y cómo obtuvo el atacante autorizaciones válidas y firmas de transacciones. Los investigadores también deben determinar si la actividad anómala en múltiples carteras y cadenas compartía un punto de entrada y por qué los permisos y mecanismos de aprobación existentes no impidieron esas operaciones. Responder a estas preguntas permitiría conectar los hallazgos de la investigación interna de Binance con la actividad ya observada en la cadena.
Síguenos
Twitter: https://twitter.com/WuBlockchain
Telegram: https://t.me/wublockchainenglish