Взлом горячего кошелька Binance на $2,5 млрд обошелся хакерам в $15 комиссии

Хакеры, взломавшие горячий кошелек Binance 14, потратили на атаку всего около $15 комиссии в сети Ethereum. Об этом сообщает Bloomberg со ссылкой на расследование компании Blockaid.

По данным Blockaid, 29 октября около 20:20 UTC злоумышленники отправили транзакцию с 50 разрешениями EIP-7702, которую подписала скомпрометированная инфраструктура Binance. Этот механизм появился в Ethereum в мае 2025 года в рамках обновления Pectra и позволяет кошелькам делегировать смарт-контрактам право выполнять операции без отдельного подтверждения каждого действия.

Адрес Binance 14 был постоянно активен, поэтому атакующие не знали заранее, какая из 50 подписей сработает. В итоге сработала одна, и управление кошельком перешло к вредоносному смарт-контракту. Сама установка делегирования не предполагала перевода средств, но дала хакерам полный контроль над активами.

Спустя три минуты и 24 секунды, в 20:24 UTC, злоумышленники активировали контракт и одной транзакцией вывели 167 464 ETH, около 1,615 млрд USDT и порядка 60 других токенов — всего примерно на $2,5 млрд.

Технический директор Hypernative Дэн Каспи пояснил Bloomberg, что EIP-7702 позволил хакерам ускорить вывод и сохранить контроль над кошельком даже после обнаружения атаки. Разрешение действовало напрямую в блокчейне Ethereum независимо от внутренних систем биржи, поэтому Binance не могла сразу остановить переводы.

По оценке Elliptic, через этот механизм хакеры в общей сложности переместили около $3,6 млрд, включая первоначальные $2,5 млрд, а еще $823 млн вывели из другого кошелька биржи. Последний несанкционированный перевод прошел в 23:56 UTC 29 октября, делегирование Binance удалила в 00:10 UTC следующего дня.

Binance подтвердила, что EIP-7702 сыграл значительную роль во взломе, отозвала вредоносные разрешения, перестроила затронутую инфраструктуру и внедрила новые инструменты мониторинга. Атака не была связана со взломом криптографии Ethereum — злоумышленники использовали действительные разрешения, полученные из-за компрометации внутренних систем биржи.

По данным Binance, около $2,85 млрд похищенных средств удалось заморозить или перехватить при содействии эмитентов токенов и других участников отрасли. Биржа взяла на себя финансовые последствия инцидента. ФБР возложило ответственность за атаку на северокорейскую группировку TraderTraitor, связанную с Lazarus. Власти КНДР обвинения отвергли.