در چند دقیقه هکرهای کره شمالی برای تخلیه کیف پول داغ بایننس نیاز دارند

آزمایشگاه های TRM سرقت بایننس را به TraderTraitor، یک واحد هک کره شمالی، با اطمینان بالا نسبت می دهند و به نقل از تراکنش های مالی مرحله بندی شده Tornado Cash و تراکنش های تمرینی قبل از حمله اشاره می کنند. مهاجم از یک تراکنش اتریوم حاوی 50 مجوز EIP-7702 از پیش امضا شده برای تبدیل کیف پول داغ Binance به قرارداد سوییپر استفاده کرد. کیف پول‌های بایننس در 9 زنجیره دیگر از طریق نقل و انتقالات امضا شده معمولی در عرض تقریباً 30 دقیقه تخلیه شدند، که TRM می‌گوید این موضوع نشان‌دهنده به خطر افتادن زیرساخت امضای کیف پول داغ بایننس است. شرکت اطلاعاتی بلاک چین TRM Labs گزارش پزشکی قانونی خود را از سرقت بایننس منتشر کرد و مجموع دزدیده شده را حدود 6.36 میلیارد دلار با قیمت های موجود در زمان تصرف دارایی ها یا تقریباً 6.23 میلیارد دلار با قیمت های فعلی تخمین زد. TRM آن را بزرگ‌ترین سرقت رمزنگاری ثبت‌شده، تقریباً چهار برابر هک ۱.۵ میلیارد دلاری Bybit از فوریه ۲۰۲۵ می‌داند. TRM این حمله را به TraderTraitor نسبت می دهد، یک واحد هکری که آن را با اطمینان بالا به کره شمالی مرتبط می کند. این شرکت به برداشت‌های کوچک Tornado Cash اشاره می‌کند که بودجه یک کیف پول اپراتور را از حدود ۲۸ اکتبر آغاز می‌کرد، به دنبال آن کد حمله‌ای که قبل از استقرار نسخه نهایی در برابر کیف پول بایننس روی کیف پول‌های دیگر آزمایش و تمرین شد، الگوی مرحله‌ای که TRM می‌گوید شبیه عملیات قبلی گروه است.هسته اصلی حمله به EIP-7702 متکی بود، یکی از ویژگی‌های اتریوم که در ارتقای پکترا شبکه معرفی شد و به کیف پول اجازه می‌دهد به طور موقت رفتار خود را از طریق یک مجوز امضا شده به یک قرارداد هوشمند واگذار کند. بر اساس TRM، مهاجم یک تراکنش حاوی 50 مجوز از پیش امضا شده از کیف پول بایننس را ارسال کرد، که هر کدام به یک قرارداد رفتگر اشاره می‌کردند که مهاجم کنترل می‌کرد، با سوء استفاده از این واقعیت که تعداد تراکنش‌های پیشروی کیف به این معنی بود که یکی از آن 50 امضا تضمین شده بود که روی یک غیره معتبر قرار بگیرد. در عرض تقریباً سه و نیم دقیقه پس از اجرایی شدن این هیئت، موجودی کامل کیف پول، از جمله 1.615 میلیارد USDT، از بین رفت. جدول زمانی TRM، کیف پول‌های بایننس را در 9 زنجیره دیگر، از جمله بیت‌کوین، ترون، XRP Ledger، Solana، Avalanche و Polygon نشان می‌دهد که در عرض 30 دقیقه پس از حرکت اتریوم، وجوه را از طریق نقل و انتقالات امضا شده معمولی ارسال می‌کنند. TRM می‌گوید این الگو به جای بهره‌برداری تک زنجیره‌ای، به سازش گسترده‌تر زیرساخت امضای کیف پول داغ بایننس اشاره می‌کند، اگرچه خود بایننس هنوز دلیل اصلی خاصی را تأیید نکرده است.