A Circle/Tether congelou cerca de US$ 1,7 bilhão em stablecoins, uma grande parte dos fundos afetados. CZ sugeriu que o fundo SAFU poderia cobrir essa diferença.
Os maiores ativos são aproximadamente:
• 1,615 bilhão de USDT
• 62,6 milhões de RLUSD
• 29.934 wBETH
• 11.372 XAUt
• 6,19 milhões de UNI
• 198,4 milhões de ENA
• 7,175 trilhões de PEPE
• 27,8 milhões de USD1
• 2,26 milhões de LINK
• 127.853 AAVE
Calculados com os preços do explorador, valem cerca de US$ 2,5 bilhões.
1. O atacante implantou um contrato de delegação a partir de um retransmissor às 15:59 UTC, 0x63e842b0...73e9c6fAe.
2. Cerca de quatro horas depois, o retransmissor enviou uma transação de autorização EIP-7702.
Essa transação instalou código malicioso de delegação 7702 na Binance 14.
3. Em seguida, o retransmissor fez uma chamada à Binance 14, executando o código de delegação e transferindo os saldos de ETH e tokens da Binance 14.
4. Os dados da chamada estavam marcados como sweep(address, address[]). O segundo parâmetro era uma lista de endereços reconhecidos de contratos de tokens, além do endereço zero (ETH).
5. Mais tarde, o mesmo retransmissor usou a mesma delegação para transferir 780 milhões de USDC da carteira quente 34 da Binance para o mesmo pool.
• O retransmissor 0x7C... recebeu fundos nos dois dias anteriores por meio de três saques de 0,1 ETH do Tornado Cash.
• O mesmo pool recebeu 28.005,6 ETH da Binance 16, 24 segundos após a principal transação de drenagem.
• Em seguida, o pool encaminhou 195.460 ETH para uma nova EOA sem identificação.
• Essa EOA tem apenas uma transação e atualmente detém 195.460 ETH.
Não está muito claro por que foi necessário usar um retransmissor desde o início. Se tivessem as chaves privadas da carteira da Binance, poderiam ter enviado os ativos diretamente em um pacote atômico, sem precisar de um retransmissor.
Portanto, parece bastante provável que não tivessem as chaves privadas e que, de alguma forma, tenham obtido por phishing apenas a assinatura de autorização 7702.
Acho que podemos simplesmente presumir que foi a Coreia do Norte.
Um detalhe interessante sobre o hack da Binance: a transação que drenou os fundos enviou 50 autorizações EIP-7702, cada uma com um nonce sequencial.
Apenas uma delas tinha o nonce correto e válido para a transação.
É bem provável que o atacante tenha coletado as 50 autorizações ao longo de algum tempo, sem saber qual seria o nonce correto no momento da execução, e depois as tenha enviado todas de uma vez. O Ethereum só aceitará a autorização válida; as inválidas serão descartadas. $BNB
Os maiores ativos são aproximadamente:
• 1,615 bilhão de USDT
• 62,6 milhões de RLUSD
• 29.934 wBETH
• 11.372 XAUt
• 6,19 milhões de UNI
• 198,4 milhões de ENA
• 7,175 trilhões de PEPE
• 27,8 milhões de USD1
• 2,26 milhões de LINK
• 127.853 AAVE
Calculados com os preços do explorador, valem cerca de US$ 2,5 bilhões.
1. O atacante implantou um contrato de delegação a partir de um retransmissor às 15:59 UTC, 0x63e842b0...73e9c6fAe.
2. Cerca de quatro horas depois, o retransmissor enviou uma transação de autorização EIP-7702.
Essa transação instalou código malicioso de delegação 7702 na Binance 14.
3. Em seguida, o retransmissor fez uma chamada à Binance 14, executando o código de delegação e transferindo os saldos de ETH e tokens da Binance 14.
4. Os dados da chamada estavam marcados como sweep(address, address[]). O segundo parâmetro era uma lista de endereços reconhecidos de contratos de tokens, além do endereço zero (ETH).
5. Mais tarde, o mesmo retransmissor usou a mesma delegação para transferir 780 milhões de USDC da carteira quente 34 da Binance para o mesmo pool.
• O retransmissor 0x7C... recebeu fundos nos dois dias anteriores por meio de três saques de 0,1 ETH do Tornado Cash.
• O mesmo pool recebeu 28.005,6 ETH da Binance 16, 24 segundos após a principal transação de drenagem.
• Em seguida, o pool encaminhou 195.460 ETH para uma nova EOA sem identificação.
• Essa EOA tem apenas uma transação e atualmente detém 195.460 ETH.
Não está muito claro por que foi necessário usar um retransmissor desde o início. Se tivessem as chaves privadas da carteira da Binance, poderiam ter enviado os ativos diretamente em um pacote atômico, sem precisar de um retransmissor.
Portanto, parece bastante provável que não tivessem as chaves privadas e que, de alguma forma, tenham obtido por phishing apenas a assinatura de autorização 7702.
Acho que podemos simplesmente presumir que foi a Coreia do Norte.
Um detalhe interessante sobre o hack da Binance: a transação que drenou os fundos enviou 50 autorizações EIP-7702, cada uma com um nonce sequencial.
Apenas uma delas tinha o nonce correto e válido para a transação.
É bem provável que o atacante tenha coletado as 50 autorizações ao longo de algum tempo, sem saber qual seria o nonce correto no momento da execução, e depois as tenha enviado todas de uma vez. O Ethereum só aceitará a autorização válida; as inválidas serão descartadas. $BNB
