Riassunto:
Gli hacker che hanno rubato 6,3 miliardi di dollari da Binance la scorsa settimana hanno trovato un modo per trasferire il 40% della criptovaluta rubata in un colpo solo, riducendo la possibilità di essere scoperti durante l'operazione. Il prezzo pagato fu di soli 15 dollari. L'esame dei record delle transazioni sulla blockchain di Ethereum mostra come un gruppo di ladri ha trasformato una funzionalità originariamente progettata per rendere più convenienti i portafogli di criptovaluta in uno strumento di attacco. Questa funzionalità consente al software di autorizzazione dell'account di trasferire fondi per tuo conto senza dover ottenere un'autorizzazione separata per ciascun trasferimento.
La società di sicurezza Blockaid ha affermato che gli hacker hanno pagato circa 15 dollari in commissioni di rete per stabilire l'autorizzazione e poi l'hanno utilizzata per trasferire circa 2,5 miliardi di dollari in un'unica transazione, pari al 40% dell'importo totale rubato.
Binance ha pubblicato martedì una cronologia dettagliata degli eventi, affermando che gli intrusi hanno utilizzato false offerte di lavoro per indurre un ingegnere a scaricare codice dannoso. Binance ha affermato che si è trattato di un "attacco sofisticato e in più fasi" che ha combinato ingegneria sociale, dispositivi compromessi e tecnologia AI.
Secondo i dati della piattaforma di analisi Etherscan, dopo l'intrusione riuscita, gli hacker hanno preso di mira un "hot wallet" denominato "Binance 14", che Binance utilizzava per elaborare i prelievi dei clienti. Questo portafoglio è un po’ come un registratore di cassa online; poiché Binance è il più grande scambio di criptovalute al mondo, spesso detiene grandi quantità di etere, stablecoin e dozzine di altre criptovalute.
Scorciatoia
Il trasferimento di così tante risorse diverse richiede solitamente una serie di trasferimenti indipendenti, ognuno dei quali richiede tempo e crea un'ulteriore opportunità per i sistemi di sicurezza di notare anomalie.
Ma un aggiornamento del software Ethereum chiamato EIP-7702 fornisce una scorciatoia per gli hacker.
Prima che questo aggiornamento venga implementato nel maggio 2025, un portafoglio di criptovaluta di base sarà più simile a un conto corrente e, in linea di principio, ogni transazione dovrà essere firmata e autorizzata dal titolare. Dopo l'aggiornamento è stata aggiunta una funzione simile alla "detrazione automatica", che consente al portafoglio di autorizzare il software ad agire per suo conto e confezionare insieme più operazioni per l'esecuzione.
Blockaid ha dichiarato che intorno alle 20:20 UTC del 29 ottobre, l'hacker ha utilizzato una firma valida del portafoglio Binance 14 per inviare un'istruzione richiedendo alla rete Ethereum di consentire al codice controllato dall'aggressore di eseguire operazioni per conto dell'account. Questo è il momento in cui l'hacker paga le tipiche tariffe di elaborazione della rete per stabilire questa autorizzazione.
La transazione in sé non sposta fondi, dice semplicemente a Ethereum di consentire al software dell'hacker di agire per conto di questo portafoglio.
La società di ricerca sulla blockchain Tibane Labs ha affermato in un rapporto che questo programma fa solo una cosa: quando il suo proprietario lo richiede, svuota il portafoglio e trasferisce gli asset all'indirizzo specificato dal proprietario.
Tre minuti e mezzo dopo, l'hacker ha attivato la trappola. Blockaid ha affermato che con la nuova autorizzazione il software dell'aggressore ha trasferito circa 2,5 miliardi di dollari in un'unica transazione. Gli asset rubati includono 167.464 monete Ethereum e più di 60 altri token, di cui la stablecoin USDT di Tether vale fino a 1,6 miliardi di dollari
Commenti