Circle/Tether заморозили стейблкоины на сумму около 1,7 млрд долларов — значительную часть пострадавших средств. CZ предложил, чтобы фонд SAFU покрыл эту недостачу.
Крупнейшие активы — примерно:
• 1,615 млрд USDT
• 62,6 млн RLUSD
• 29 934 wBETH
• 11 372 XAUt
• 6,19 млн UNI
• 198,4 млн ENA
• 7,175 трлн PEPE
• 27,8 млн USD1
• 2,26 млн LINK
• 127 853 AAVE
По ценам обозревателя блокчейна это около 2,5 млрд долларов.
1. Злоумышленник развернул через ретранслятор контракт делегирования в 15:59 по UTC: 0x63e842b0...73e9c6fAe.
2. Примерно через четыре часа ретранслятор отправил транзакцию с авторизацией EIP-7702.
Эта транзакция установила вредоносный код делегирования 7702 на Binance 14.
3. Затем ретранслятор вызвал Binance 14, чтобы выполнить код делегирования и перевести ETH и токены с баланса Binance 14.
4. Данные вызова содержали sweep(address, address[]). Второй аргумент — список распознаваемых адресов контрактов токенов, а также нулевой адрес (eth).
5. Позже тот же ретранслятор использовал то же делегирование, чтобы перевести 780 млн USDC из горячего кошелька Binance 34 в тот же пул.
• Ретранслятор 0x7C... получил средства за два дня до этого, совершив три вывода по 0.1 ETH из Tornado Cash.
• Через 24 секунды после основного вывода тот же пул получил 28 005.6 ETH с Binance 16.
• Затем пул перевёл 195 460 ETH на новый, не помеченный EOA.
• У этого EOA всего одна транзакция, и сейчас на нём находятся 195 460 ETH.
Не совсем понятно, зачем изначально понадобился ретранслятор. Если у них были приватные ключи от кошелька Binance, они могли бы напрямую отправить активы атомарным пакетом, вообще без ретранслятора.
Поэтому, похоже, у них не было приватных ключей, и они каким-то образом получили только подпись авторизации 7702 с помощью фишинга.
Думаю, можно просто предположить, что это КНДР.
Любопытная деталь взлома Binance: в транзакции вывода средств были отправлены 50 авторизаций EIP-7702, каждая со своим последовательным nonce.
Только одна из них содержала правильный и действительный nonce для этой транзакции.
Вероятно, злоумышленники какое-то время собирали все 50 авторизаций, не зная, какой nonce будет правильным на момент выполнения, а затем отправили их все разом. Ethereum примет только действительную авторизацию, а недействительные отбросит. $BNB
Крупнейшие активы — примерно:
• 1,615 млрд USDT
• 62,6 млн RLUSD
• 29 934 wBETH
• 11 372 XAUt
• 6,19 млн UNI
• 198,4 млн ENA
• 7,175 трлн PEPE
• 27,8 млн USD1
• 2,26 млн LINK
• 127 853 AAVE
По ценам обозревателя блокчейна это около 2,5 млрд долларов.
1. Злоумышленник развернул через ретранслятор контракт делегирования в 15:59 по UTC: 0x63e842b0...73e9c6fAe.
2. Примерно через четыре часа ретранслятор отправил транзакцию с авторизацией EIP-7702.
Эта транзакция установила вредоносный код делегирования 7702 на Binance 14.
3. Затем ретранслятор вызвал Binance 14, чтобы выполнить код делегирования и перевести ETH и токены с баланса Binance 14.
4. Данные вызова содержали sweep(address, address[]). Второй аргумент — список распознаваемых адресов контрактов токенов, а также нулевой адрес (eth).
5. Позже тот же ретранслятор использовал то же делегирование, чтобы перевести 780 млн USDC из горячего кошелька Binance 34 в тот же пул.
• Ретранслятор 0x7C... получил средства за два дня до этого, совершив три вывода по 0.1 ETH из Tornado Cash.
• Через 24 секунды после основного вывода тот же пул получил 28 005.6 ETH с Binance 16.
• Затем пул перевёл 195 460 ETH на новый, не помеченный EOA.
• У этого EOA всего одна транзакция, и сейчас на нём находятся 195 460 ETH.
Не совсем понятно, зачем изначально понадобился ретранслятор. Если у них были приватные ключи от кошелька Binance, они могли бы напрямую отправить активы атомарным пакетом, вообще без ретранслятора.
Поэтому, похоже, у них не было приватных ключей, и они каким-то образом получили только подпись авторизации 7702 с помощью фишинга.
Думаю, можно просто предположить, что это КНДР.
Любопытная деталь взлома Binance: в транзакции вывода средств были отправлены 50 авторизаций EIP-7702, каждая со своим последовательным nonce.
Только одна из них содержала правильный и действительный nonce для этой транзакции.
Вероятно, злоумышленники какое-то время собирали все 50 авторизаций, не зная, какой nonce будет правильным на момент выполнения, а затем отправили их все разом. Ethereum примет только действительную авторизацию, а недействительные отбросит. $BNB
