On-chain-data viser, at én af 50 fuldmagter i samme transaktion blev godkendt af Binance egen tegnebog og installerede en kontrakt, der tømte 1,6 mia. dollar i USDT og 167.464 ether på fire minutter. Mindst 5,57 mia. dollar forlod Binance-adresser i alt.
Kaupr har i en separat artikel beskrevet, hvordan Binance blev ramt af et mistænkt tyveri i milliardklassen 29. oktober, og hvordan både Binance selv og stablecoin-udstederne Tether og Circle svarede i timerne efter. I timerne siden har uafhængige on-chain-analytikere gennemgået transaktionsdataene og rekonstrueret nøjagtigt, hvordan pengene forsvandt fra Binance tegnebøger, og hvor de tog hen. Centralt i forklaringen står EIP-7702, en opdatering af Ethereum fra 2025, der lader en almindelig tegnebog midlertidigt knytte kode til sig og dermed opføre sig som en smart kontrakt. Funktionen er lavet for at gøre transaktioner nemmere og billigere, men forudsætter en signatur fra tegnebogens egen private nøgle – præcis den samme type signatur, som i dette tilfælde blev brugt til at tømme den.
Ifølge en analyse fra kontoen International Cyber Digest, bygget på on-chain-data og fund fra sikkerhedsselskabet Blockaid, havde den, der tømte en af Binance Ethereum-tegnebøger, 50 fuldmagter signeret med tegnebogens egen private nøgle. En sådan fuldmagt under EIP-7702 er kun gyldig for tegnebogens næste transaktionsnummer, kaldet nonce. Fordi Binance tegnebog stadig sendte transaktioner i samme periode, flyttede tallet sig hele tiden. Afsenderen vidste ikke, hvilket nonce der ville være aktivt, og sendte derfor alle 50 fuldmagter i én og samme transaktion. Én af dem ramte.
Fuldmagten, der blev godkendt, installerede en kontrakt på tegnebogen, som ifølge Blockaid kun kunne styres af afsenderadressen – en adresse finansieret gennem miksetjenesten Tornado Cash. Minutter senere tømte kontrakten tegnebogen for 1,6 milliarder dollar i USDT, 167.464 ether og over 60 andre tokens. Hvordan afsenderen fik fat i signaturer fra Binance egen nøgle, er fortsat ikke kendt; kun den nøgle, eller systemet der opbevarer den, kan producere dem.
On-chain-data gengivet af blandt andre The Defiant og International Cyber Digest viser, at forberedelserne startede næsten to døgn før selve tømningen. Afsenderadressen blev finansieret med en hævning fra Tornado Cashs 0,1 ether-pool 28. oktober klokken 07.39 amerikansk østkysttid, efterfulgt af to tilsvarende hævninger samme dag og morgenen efter. 29. oktober klokken 15.59 udrullede afsenderen kontrakten, der senere skulle tømme tegnebogen.
Klokken 20.20 og 59 sekunder samme aften blev transaktionen med de 50 fuldmagter sendt, og én blev godkendt. Fire minutter senere, klokken 20.24, hentede kontrakten USDT, ether og de øvrige tokens ud af Binance-tegnebogen. Angrebet stoppede ikke der: klokken 20.41 hentede nye kald gennem samme fuldmagt 780 millioner dollar i USDC fra en anden Binance-tegnebog, og klokken 21.44 blev yderligere 200 millioner dollar i USDT hentet ud af den oprindelige tegnebog.
Tømningen var ikke begrænset til én tegnebog eller én blockchain. En anden Binance-tegnebog på Ethereum sendte i samme periode 28.006 ether til samme modtageradresse, signeret med sin egen nøgle. Samtidig flyttede 18.270 bitcoin fra en Binance-tegnebog på Bitcoin-netværket, og omkring 613 millioner dollar i USDT på Tron-netværket blev sendt til nye tegnebøger. International Cyber Digest anslår, at mindst 5,57 milliarder dollar samlet forlod Binance-tilknyttede adresser på tværs af Ethereum, Bitcoin og Tron, mens kontoen Kairos_Res, der har kortlagt pengestrømmene adresse for adresse, oplyser, at omkring 5,0 milliarder dollar forlod Binance hot wallets inden for under en time.
I timerne efter tømningen fulgte Binance en fast række af meddelelser på X: klokken 17.16 amerikansk østkysttid oplyste selskabet, at det undersøgte et muligt sikkerhedsproblem uden at bekræfte konsekvenser for kundemidler, klokken 17.41 meldte Binance.US, at egen drift ikke var berørt, klokken 18.33 lovede Binance, at udbetalinger ville blive genoptaget, når sikkerhedsproblemet var fuldt løst og kundemidlerne trygge, og klokken 19.06 blev handlen i produktet Alpha midlertidigt standset i afventning af samme afklaring. Selskabet har omtalt kundemidlerne som »helt trygge«, uden at forklare hvordan.
Stablecoin-udstederne har i mellemtiden frosset dele af beløbet. Ifølge Kairos_Res har Tether og Circle samlet frosset omkring 2,1 milliarder dollar, inklusive 313 millioner dollar i USDT på Tron, mens intet er gået videre til Tornado Cash. The Defiant henviser til, at Circle har meldt om mere end 800 millioner dollar i frosset USDC og Tether mere end 1,567 milliarder dollar i frosset USDT. Samtidig oplyser Kairos_Res, at omkring 718 millioner dollar i ether og 500 millioner dollar i USDT fortsat kan flyttes frit, og at 17.270 af de stjålne bitcoins ligger urørt.
Kilder: International Cyber Digest, Kairos_Res, The Defiant, Blockaid, Blockscout
Du har læst det, du kan læse gratis. Med en konto får du ubegrænset adgang til alle nyheder og artikler på kaupr.io — og bliver en del af netværket af investorer, professionelle og builders, der følger onchain finance.