تتبع على السلسلة: قراصنة يسرقون 6.28 مليار دولار من بينانس، مراجعة عميقة لمسار الهجوم الكامل

بقلم: ديكسون (@DicksonWuML)

ترجمة: Deep Tide TechFlow

**مقدمة Deep Tide:** سرقة محفظة بينانس الساخنة هي أكبر حدث في سوق العملات المشفرة اليوم. قام مهندس CertiK وعضو SEAL ديكسون بتتبع سجلات السلسلة معاملة بمعاملة، وأعاد بناء العملية الكاملة للمهاجم من سحب الأموال من Tornado Cash للتحضير، واستخدام تفويض EIP-7702 للاستيلاء على محفظة بينانس الساخنة على إيثريوم، إلى السباق مع جهات الإصدار مثل Tether وCircle لتجميد الأموال. المبالغ والأوقات في النص هي إحصائيات المؤلف على السلسلة حتى وقت النشر (حوالي الساعة 8 صباحًا بتوقيت بكين في 30 أكتوبر)، والأوقات بتوقيت UTC (أضف 8 ساعات للحصول على توقيت بكين)، ولم يتم تأكيدها رسميًا من بينانس بعد.

خسرت محفظة بينانس الساخنة اليوم حوالي 6.28 مليار دولار عبر 8 سلاسل. تم نقل 6.07 مليار دولار منها في أول 55 دقيقة، ثم قام المهاجم بمسح إحدى محافظ إيثريوم بشكل متكرر لأكثر من ساعتين.

بعد ذلك، قامت Tether وCircle وRipple وPaxos وWorld Liberty وبينانس بتجميد حوالي 2.80 مليار دولار. لا يزال حوالي 3.27 مليار دولار قابلة للتحويل بحرية، معظمها BTC وETH.

لقد تتبعت الأمر بالكامل على السلسلة، بما في ذلك كيف قام المهاجم بنقل الأموال قبل التجميد 🧵

مصدر 6.28 مليار دولار (بأسعار UTC 20:24):

• إيثريوم 3.74 مليار دولار

• بيتكوين 18,270.2 BTC، 1.47 مليار دولار

• ترون 612.7 مليون USDT + 46.4 مليون TRX، 627.5 مليون دولار

• XRP 233.5 مليون XRP، 296.5 مليون دولار

• سولانا 970,522 SOL، 96.1 مليون دولار

• Arbitrum 8,426 ETH + 74.6 مليون ARB، 31.8 مليون دولار

• Avalanche 1.81 مليون AVAX + 8.41 مليون USDt، 24.3 مليون دولار

• Optimism 44.2 مليون OP، 4.8 مليون دولار

تدفقت 3.74 مليار دولار على إيثريوم في خمس دفعات:

• 20:24:23، تنفيذ sweep() واحد على Binance 14: 167,464.25 ETH و1.615 مليار USDT و61 عملة أخرى، بإجمالي 2.53 مليار دولار

• 20:41 و20:59، تم تحويل 780 مليون + 43 مليون USDC من محفظة بينانس ذكية تثق بـ Binance 14، بإجمالي 822.6 مليون دولار

• 20:24:47، وقعت Binance 16 على 9 تحويلات مباشرة إلى المهاجم: 28,005.6 ETH و55.7 مليون USDT و25.9 مليون RLUSD و84.5 WBTC و820,000 UNI و1,199 XAUt و18.8 مليون ENA و304,600 LINK و583.6 مليار PEPE، بإجمالي 174.2 مليون دولار

• 21:04 و21:44، مسحان إضافيان لـ Binance 14: 2,070 ETH و204.3 مليون USDT، بإجمالي 209.6 مليون دولار

• 22:39، آخر مسح إلى محفظة جديدة: 128.5 ETH و122 عملة صغيرة، حوالي 500,000 دولار

حسب الأصل: USDT 1.87 مليار دولار، USDC 823 مليون دولار، ETH 457 مليون دولار (197,668 ETH)، RLUSD 88.5 مليون دولار، wBETH 76.8 مليون دولار، XAUt 50.5 مليون دولار، UNI 49.6 مليون دولار، ENA 44.7 مليون دولار، PEPE 40.1 مليون دولار، LINK 29.6 مليون دولار، USD1 27.8 مليون دولار، وحوالي 50 عملة أصغر أخرى.

بدأ التحضير في اليوم السابق. في 28 أكتوبر الساعة 07:39 UTC، سحبت المحفظة الرئيسية للمهاجم 0x7c8601d4645b93cea45f71e118a729332e6b5ca0 لأول مرة 0.1 ETH من Tornado Cash، ثم سحبت مرتين أخريين. بعد ذلك، سحبت محفظة ثانية 1 ETH من Tornado وحولتها إلى المحفظة الرئيسية في 29 أكتوبر الساعة 18:20.

في 29 أكتوبر الساعة 02:28، نشروا عقد مسح (sweeper). من 13:51 إلى 16:47، أجروا تدريبات على محافظهم الخاصة: باستخدام تفويض EIP-7702، قاموا بمسح USDT وUSDC الاختباريين ثم سحبوهم. في 15:59، أطلقوا الإصدار v2 مع دالة استدعاء عامة، وهذه الدالة هي التي نقلت لاحقًا 823 مليون USDC.

في UTC 20:04:52، فشلت الخطوة الأولى. أرسلت محفظة XRP الخاصة ببينانس 42,750,000.1 RLUSD إلى المهاجم، لكن حساب XRP الخاص بالمهاجم لم يكن موجودًا بعد، فتم رفض التحويل.

بعد 8 ثوانٍ، نجح تحويل 185,017,485.5 XRP، وتم إنشاء الحساب بذلك. بحلول 20:09، تم إفراغ أربع محافظ XRP أخرى تابعة لبينانس.

ثم تتابعت الأحداث:

20:10 سولانا، تحويل 965,455.1 SOL في معاملة واحدة

20:18 Optimism، 44.2 مليون OP

20:20 بيتكوين، 11 معاملة نقلت 18,270.2 BTC، وتم تقسيمها في نفس الكتلة إلى أجزاء كل منها 1,000 BTC

20:20 إلى 20:22 ترون، 612.7 مليون USDT + 46.4 مليون TRX

20:30 إلى 20:35 Arbitrum وAvalanche

كشفت إيثريوم عن أسلوب الهجوم. في 20:20:59، أرسل المهاجم معاملة تحمل 50 تفويض EIP-7702، جميعها موقعة بالمفتاح الخاص لـ Binance 14، وتتوافق مع nonce من 18,914,775 إلى 18,914,824.

كانت Binance 14 قد استخدمت للتو 18,914,775 في 20:17:47، مما يشير إلى أن هذه التفويضات تم توقيعها قبل دقائق فقط من الاستخدام.

التفويض الذي يحمل nonce 18,914,809 هو الذي طابق. استخدمت Binance 14 في نفس الكتلة nonce 18,914,808 لمعاملتها الخاصة، ومن تلك اللحظة أصبحت Binance 14 تعمل بكود المهاجم.

في 20:24:23، قام sweep() واحد بنقل 167,464 ETH و1.615 مليار USDT منها. بعد 24 ثانية، وقعت Binance 16 على 9 تحويلات مباشرة إلى المهاجم. في 20:41 و20:59، استغل المهاجم Binance 14 لنقل 823 مليون USDC من محفظة بينانس ذكية تثق بها.

ثم بدأ السباق مع التجميد. قام المهاجم بسرعة بتقسيم USDT:

• 20:30، تم تحويل 500 مليون USDT إلى 0x9749…c762. بحلول 20:59، تم تحويل 325 مليون منها إلى ETH عبر صانعي سوق RFQ، وتم تحويل الـ 175 مليون المتبقية إلى عناوين أخرى

• 20:33، تم تحويل 200 مليون USDT إلى 0x0ddf…697e. تم بيع حوالي 10 ملايين على DEX، وتم تحويل 190 مليون إلى 0x8d53…639a، الذي أودع 60 مليون في Aave واقترض ETH مقابلها

دخلت أول قائمة سوداء من Tether حيز التنفيذ في 21:01:35: 0x5227، التي كانت تحتوي على 971 مليون USDT؛ و0x9749، التي كانت قد أُفرغت بالفعل. جمدت Circle مبلغ 823 مليون USDC في 21:04:59.

هربت بعض الأموال في الثواني الأخيرة:

• 21:01:59، حولت 0x8d53 مبلغ 130 مليون USDT إلى 0x77ed…c3eb. بعد 48 ثانية في 21:02:47، جمدت Tether 0x8d53

• 21:04 إلى 21:06، باعت 0x77ed حوالي 50 مليون USDT على DEX، وحولت 80 مليون إلى 0x7aa4…bfd1

• 21:08 إلى 21:11، باعت 0x7aa4 حوالي 50 مليون أخرى، وحولت آخر 30 مليون. عندما جمدت Tether 0x7aa4 في 21:12:35، كانت قد أُفرغت بالفعل

• 21:16:11، حولت 0xccbe…a263 هذه الـ 30 مليون. بعد 36 ثانية جمدت Tether 0xccbe، وفي 21:18:59 اعترضت هذه الـ 30 مليون في 0xb171…c8c3

• بقيت الـ 175 مليون المحولة من 0x9749 في 0xaa24…54a0 حتى جمدتها Tether في 21:14:59

إجمالاً، من أصل 1.875 مليار USDT على إيثريوم، تم بيع حوالي 435 مليون قبل أن تلحق بها القائمة السوداء. تم تجميد 1.38 مليار، و60 مليون محتجزة كضمان في Aave.

إجراءات الجهات المصدرة الأخرى، بالترتيب الزمني:

• 20:57:47 أدرجت World Liberty مبلغ 48.5 مليون WLFI في 0x5227 على القائمة السوداء

• 21:07:55 جمدت Tether مبلغ 8.41 مليون USDt على Avalanche. حاول المهاجم تحويلها في 21:40:47، فتم التراجع عن المعاملة

• 21:09 إلى 21:21 جمدت Tether مبلغ 378.7 مليون USDT في ثلاث محافظ على ترون. قبل ذلك، تم تحويل 234 مليون إلى TRX عبر SunSwap

• 21:11:23 جمدت Tether مبلغ 12,574 XAUt (حوالي 50 مليون دولار)

• 22:00:59 جمدت Ripple عملة RLUSD. كان المهاجم قد حولها في 21:33 إلى 0xe702…958d، وباع 48 مليون مقابل ETH، وكان آخر أمر بيع في نفس كتلة التجميد. تم اعتراض 40.5 مليون

• 22:10:35 جمدت World Liberty مبلغ 27.8 مليون USD1

• 22:30:47 جمدت Paxos مبلغ 1,907 PAXG

• 22:48:35 أدرجت بينانس مبلغ 29,934 wBETH (حوالي 75 مليون دولار) على القائمة السوداء، وكان المهاجم قد حولها في 21:52 إلى 0x7f9d…15e3

لا يزال مبلغ 3.45 مليون FDUSD من First Digital قابلاً للتحويل.

ظلت Binance 14 مفوضة لعقد المهاجم، فتحول الأمر إلى شد وجذب:

• 21:04 و21:44، قام المهاجم بمسحين إضافيين: أولاً 1,700 ETH، ثم 370 ETH و200.4 مليون USDT. وقعت هذه الـ USDT في 0x5227، وهو عنوان جمدته Tether بالفعل

• 22:06:23، أدرجت Tether عنوان Binance 14 نفسه على القائمة السوداء. فشلت تحويلات USDT التي أرسلتها بينانس من هذا العنوان في 22:15 و23:01

• 22:39، قام المهاجم بمسح آخر، هذه المرة إلى محفظة جديدة: 128.5 ETH و122 عملة صغيرة

• 22:55 إلى 23:07، أفرغت بينانس Binance 14 بنفسها: 46 تحويلاً للعملات إلى Binance 8، بمعدل تحويل كل 12 ثانية تقريبًا

• 23:36 إلى 23:38، استدعى المهاجم sweep() أربع مرات أخرى، وكلها باءت بالفشل

خارج إيثريوم:

• Arbitrum، 21:35 إلى 21:38: تم تحويل كل 8,426 ETH و74.6 مليون ARB إلى محفظة 7702 جديدة 0x3e2b…32d5، التي فوضت ARB للتداول في 21:41. حتى 23:50 كانت لا تزال في مكانها

• Avalanche، 21:45:34: تم تحويل 1,813,999 AVAX إلى 0x8035…c397. ثم تم تحويل 200,005 AVAX من 0xc39e…9824، وفي 23:27:35 استلم نفس العنوان 1,563,812.78 USDC على إيثريوم عبر جسر CCTP الخاص بـ Circle. بعد 4 دقائق في 23:31:59، أدرجتها Circle على القائمة السوداء

• الأموال على بيتكوين وXRP وسولانا وOptimism لم تتحرك بعد. تتوزع BTC على 19 محفظة، 17 منها تحمل كل منها 1,000 BTC بالضبط

الوضع الحالي حتى حوالي 23:50 UTC:

مجمدة، حوالي 2.80 مليار دولار

• 1.38 مليار USDT على إيثريوم، و378.7 مليون على ترون، و8.41 مليون على Avalanche (Tether)

• 824.6 مليون USDC (Circle)

• 40.5 مليون RLUSD (Ripple)، و27.8 مليون USD1 (World Liberty)، و12,574 XAUt (Tether)، و29,934 wBETH (بينانس)، و1,907 PAXG (Paxos)، و48.5 مليون WLFI

غير مجمدة، حوالي 3.27 مليار دولار

• 18,270 BTC، 1.42 مليار دولار

• 458,770 ETH موزعة على 9 محافظ، 1.03 مليار دولار

• 233.5 مليون XRP، 289 مليون دولار

• 684.6 مليون TRX، 243 مليون دولار

• حوالي 136 مليون دولار من العملات الأخرى على إيثريوم

• 970,500 SOL، 93 مليون دولار، بالإضافة إلى ARB وAVAX وOP، حوالي 48 مليون دولار

بالإضافة إلى 60 مليون USDT محتجزة كضمان في Aave.

ملاحظة: تم ربط التحويلات على BTC وXRP وترون من خلال التوقيت وبصمات المعاملات: نفس الفترة الزمنية، وعناوين استقبال جديدة تمامًا، ورسوم وتنسيقات معاملات مختلفة عن عمليات سحب بينانس نفسها. تم حساب المبالغ المسروقة بأسعار UTC 20:24؛ وتم حساب الممتلكات الحالية بأسعار حوالي 23:50 UTC.

الأدلة على السلسلة لكل معاملة وتجميد مرفقة في المنشورات أدناه. إذا وجدت أنني فاتني شيء، فأخبرني!