Thần Ngư nhìn lại toàn bộ vụ Binance bị hack: kẻ tấn công đã diễn tập trước 2 lần, lập sẵn danh sách chuyển 64 loại token

Tin tức BlockBeats, ngày 30 tháng 10, nhà đồng sáng lập Cobo Shenyu đã đăng video trên mạng xã hội, phân tích chi tiết toàn bộ vụ việc Binance bị tấn công lần này từ góc nhìn on-chain.

Khởi đầu cuộc tấn công và chuyển dịch tài sản

Vào 4 giờ 20 phút sáng ngày 30 tháng 10, một giao dịch chứa 50 yêu cầu ủy quyền đã được phát lên chain. Bên ủy quyền là một ví nóng của sàn giao dịch Binance, giao dịch này được ký bằng khóa riêng tư của chính ví đó. Khoảng hơn 3 phút sau, tài sản trong ví bị chuyển hàng loạt. Theo ước tính giá coin sáng nay, tổng tài sản bị chuyển đi trên ba chain khoảng 5,8 tỷ USD, trong đó có 1,4 tỷ USD tài sản liên quan đến Bitcoin, Binance chưa xác nhận có bị đánh cắp hay không.

Lộ trình kỹ thuật tấn công và chuẩn bị trước

Sự việc lần này liên quan đến cơ chế ủy quyền EIP-7702. Sau khi ký loại ủy quyền này, ví sẽ bị một đoạn chương trình cụ thể tiếp quản cho đến khi ủy quyền bị thu hồi. Chương trình của kẻ tấn công có tính định hướng đơn nhất, chỉ nhận một người kiểm soát và chỉ thực hiện chuyển tài sản. 50 yêu cầu ủy quyền này đi kèm 50 số thứ tự liên tiếp, khi số thứ tự khớp với trạng thái hiện tại của ví thì có hiệu lực. Hiện vấn đề đang chỉ vào khâu ký, rốt cuộc là rò rỉ khóa riêng tư hay hệ thống ký bị lợi dụng, Binance chưa công bố. Dấu hiệu trước đó cho thấy, từ chiều hôm kia, kẻ tấn công đã ba lần rút số tiền nhỏ từ Tornado Cash làm phí giao dịch. Trong khoảng từ tối hôm trước đến rạng sáng, hắn đã dùng ví thử nghiệm để diễn tập hai lần, lần diễn tập cuối kết thúc còn 3 tiếng rưỡi trước khi hành động chính thức.

Quét tài sản và cuộc đối đầu phòng thủ

Kẻ tấn công đã lập trước danh sách chuyển nhượng bao gồm 64 loại token. Lúc 4 giờ 24 phút, lần chuyển hàng loạt đầu tiên hoàn tất, bao gồm 167.000 ETH, 1,6 tỷ USDT và hơn 60 loại token khác, chỉ để lại 1 ETH. 24 giây sau, ví nóng thứ hai của Binance chuyển ra 28.000 ETH, lần này là lệnh chuyển trực tiếp được ký bằng khóa riêng tư của kẻ tấn công. Lúc 4 giờ 41 phút, kẻ tấn công mượn danh tính ví đầu tiên, chỉ thị ví hợp đồng USDC do hắn điều khiển chuyển ra 823 triệu USDC. Đến 6 giờ 40 phút sáng, kẻ tấn công đã thao tác qua lại bốn lần.

Trong khi tài sản được chuyển đi, một cuộc đối đầu giữa đóng băng và chống đóng băng cũng diễn ra song song. Do các tổ chức phát hành stablecoin như USDT, USDC có khả năng đóng băng, trong khi ETH khó bị đóng băng, kẻ tấn công nhanh chóng đổi tài sản có thể bị đóng băng sang tài sản không thể bị đóng băng. Trong đó, 435 triệu USDT được đổi thành 160.000 ETH. Theo giá mới nhất, số ETH này chỉ trị giá 364 triệu USD, chỉ riêng thao tác đổi này đã tạo ra khoản lỗ 70 triệu USD.

Các biện pháp đóng băng của các bên và biến động trên chuỗi

Khi các biện pháp đóng băng được triển khai, Tether đã đóng băng 1,38 tỷ USDT, Circle đóng băng 823 triệu USDC, Ripple đóng băng 40,54 triệu RLUSD và một số loại token khác. Trong số 3,75 tỷ USD tài sản bị đánh cắp trên chuỗi Ethereum, đã có 2,4 tỷ USD được đóng băng thành công. Trên chuỗi Tron cũng bị chuyển đi 630 triệu USD, trong đó Tether đã đóng băng 380 triệu. Tài sản chưa bị đóng băng chủ yếu là ETH, tính đến 7 giờ 40 phút, đã có gần 460.000 ETH nằm tại 4 địa chỉ hoàn toàn mới, chỉ có ghi nhận chuyển vào. Gần như cùng thời điểm, một ví nóng Bitcoin của Binance đã chuyển ra 18.270 BTC, sau đó được chia thành 19 phần chuyển vào 19 địa chỉ mới. Chưa rõ đây là bị đánh cắp hay Binance khẩn cấp chuyển tài sản. Theo báo cáo, nền tảng phân tích chuỗi Arkham đã đánh dấu đây là có liên quan đến hacker, nhưng Binance chưa xác nhận, và trong các tuyên bố công khai được tìm thấy cũng không đề cập đến BTC.

Cảnh báo tiếp theo

Cho đến 6 giờ 55 phút sáng nay theo giờ Bắc Kinh, Binance cũng đã sử dụng khóa riêng tư đó để ký, chuyển các token lẻ chưa được chuyển đi trở lại ví của mình. Điều này cho thấy khóa riêng tư vẫn do Binance kiểm soát, nhưng các ủy quyền liên quan vẫn chưa được thu hồi.

Từ phân tích dữ liệu trên chuỗi, vấn đề cốt lõi nằm ở khâu ký, không phát hiện lỗ hổng hợp đồng. Sự kiện này là hồi chuông cảnh tỉnh cho toàn ngành: các sàn giao dịch đều cần rà soát xem hệ thống ký của mình có tồn tại rủi ro ký ra các ủy quyền ngoài dự kiến hay không.