Хакеры вывели $2,5 млрд из горячего кошелька Binance, заплатив $15 комиссии

Злоумышленники вывели из горячего кошелька Binance активы примерно на $2,5 млрд одной транзакцией. Чтобы получить над ним контроль, они заплатили около $15 комиссии сети Ethereum. Об этом пишет Bloomberg.

Как работает EIP-7702

Расследование провела компания по кибербезопасности Blockaid. Оно показало, что атакующие использовали механизм EIP-7702, который добавили в блокчейн Ethereum в мае 2025 года вместе с обновлением Pectra.

Этот механизм позволяет обычному кошельку передать смарт-контракту право выполнять операции от своего имени, поэтому пользователю не нужно подписывать каждое действие отдельно. Если же система управления хранилищем скомпрометирована, тот же механизм позволяет проводить множество переводов без дополнительных подтверждений. Именно так и случилось с кошельком Binance 14, через который биржа обрабатывала клиентские выводы.

Как выводили средства

По данным Blockaid, 29 октября около 20:20 UTC злоумышленники отправили транзакцию с 50 разрешениями EIP-7702, подписанную скомпрометированной инфраструктурой Binance. Каждое разрешение соответствовало отдельному порядковому номеру операции кошелька. Адрес оставался активным, поэтому атакующие не знали, какая из подписей сработает, и в итоге сработала только одна. Управление кошельком перешло к вредоносному смарт-контракту, а установка делегирования обошлась в около $15 сетевой комиссии.

Сама эта операция не переводила средств, но дала хакерам возможность распоряжаться активами Binance 14. Через три минуты и 24 секунды, в 20:24 UTC, они активировали контракт и одной транзакцией вывели 167 464 ETH, около 1,615 млрд USDT и около 60 других токенов. Общая стоимость составила примерно $2,5 млрд.

Технический директор Hypernative Дэн Каспи, которого цитирует Bloomberg, объяснил, что EIP-7702 позволил хакерам ускорить вывод и сохранить контроль над кошельком даже после обнаружения атаки.

Почему биржа не смогла сразу остановить переводы

Разрешение продолжало действовать в самом блокчейне Ethereum, независимо от внутренних систем Binance. Пока на адрес Binance 14 поступали новые средства, атакующие выводили их без повторного доступа к системе подписания.

По оценке Elliptic, с помощью этого механизма хакеры переместили около $3,6 млрд, включая первоначальные $2,5 млрд. Ещё $823 млн злоумышленники вывели из другого кошелька Binance. Последний несанкционированный перевод прошёл в 23:56 UTC 29 октября, а делегирование удалось отозвать в 00:10 UTC следующего дня.

Представитель Binance подтвердил Bloomberg, что EIP-7702 сыграл значительную роль во взломе. Биржа отозвала вредоносные разрешения, перестроила затронутую инфраструктуру, усилила контроль над подписанием транзакций и внедрила новые инструменты мониторинга и экстренного отзыва полномочий. При этом криптография Ethereum не взломана: злоумышленники использовали действительные разрешения, полученные из-за компрометации внутренних систем Binance.

Что удалось вернуть и кто в ответе

По данным Binance, около $2,85 млрд похищенных средств удалось заморозить или перехватить при содействии эмитентов токенов и других участников отрасли. Биржа взяла на себя финансовые последствия инцидента.

ФБР возложило ответственность за атаку на северокорейскую группировку TraderTraitor, связанную с Lazarus. Власти КНДР отвергли обвинения.

Связанные со взломом кошельки продолжили конвертировать похищенные средства в биткоин уже после возобновления свопов в THORChain. Ранее сбой в протоколе замедлил их отмывание.