Что произошло с Binance:

Quit:

> В 15:59 UTC злоумышленник через релейер (relayer) развернул делегирующий контракт (delegate contract) — 0x63e842b0...73e9c6fAe.

> Примерно через четыре часа этот же релейер отправил транзакцию авторизации по стандарту EIP-7702. Это привело к установке вредоносного кода (делегата EIP-7702) на кошелек Binance 14.

> Затем релейер обратился к кошельку Binance 14, активировав вредоносный код, что позволило вывести с него все имеющиеся ETH и токены.

> В данных вызова (calldata) указана функция sweep(address, address[]). Второй аргумент представляет собой список адресов смарт-контрактов токенов, а также «нулевой адрес» (соответствующий ETH).

> Позже тот же релейер использовал этот же делегирующий контракт, чтобы перевести 780 млн USDC с «горячего кошелька» Binance 34 (Binance Hot Wallet 34) в тот же пул.

— Релейер (0x7C...) получил средства через три транзакции из миксера Tornado Cash (по 0,1 ETH каждая) в течение двух предшествующих дней.
— В тот же пул через 24 секунды после основного вывода средств поступило еще 28 005,6 ETH с кошелька Binance 16.
— После этого пул перевел 195 460 ETH на новый, ранее не использовавшийся внешний адрес (EOA).
— На этом адресе зафиксирована всего одна транзакция; в данный момент на нем хранятся указанные 195 460 ETH. Не совсем понятно, зачем вообще понадобился ретранслятор (relayer). Если бы у злоумышленников были закрытые ключи от кошельков Binance, они могли бы просто вывести активы в рамках атомарного пакета транзакций, вовсе не прибегая к услугам ретранслятора.

По всей видимости, закрытых ключей у них не было — они располагали лишь подписями авторизации стандарта EIP-7702, которые, вероятно, были получены путем фишинга.

«Думаю, можно смело предположить, что за этим стоит КНДР».

Один любопытный момент, касающийся взлома Binance: транзакция по выводу средств содержала 50 авторизаций EIP-7702, каждая из которых имела свой порядковый номер (nonce).

Однако лишь один из этих номеров является верным и допустимым для проведения транзакции.

Вероятно, злоумышленник собирал все 50 авторизаций в течение некоторого времени, не зная, какой именно nonce окажется верным в момент исполнения, а затем отправил их все разом. Сеть Ethereum принимает только ту авторизацию, у которой nonce корректен, а остальные — отбрасывает.

Украдено:
~5,57 млрд долларов в Ethereum, Bitcoin и Tron: ~3,51 млрд в $ETH, ~1,44 млрд в $BTC, ~630 млн в Tron.

Заблокировано:
~2,39 млрд долларов в стейблкоинах: ~1,567 млрд в $USDT, ~823 млн в $USDC.

EARLY ALPHA:

> Отрабатываем дроп от $DPRK [КНДР]
> Raised: $14.1B от Binance, ByBit, Bitget и других
> Затраты: 5-10 минут
> Требования: держать на кошельке больше 10.000$
> Скрытая поинт система
> Из минусов: команда не докс