On-chain-data viser at én av 50 fullmakter i samme transaksjon ble godkjent av Binance sin lommebok og installerte en kontrakt som tømte 1,6 mrd. dollar i USDT og 167 464 ether på fire minutter. Minst 5,57 mrd. dollar forlot Binance-adresser totalt.
Kaupr har i en egen artikkel omtalt hvordan Binance ble rammet av et mistenkt tyveri i milliardklassen 29. oktober, og hvordan både Binance selv og stablecoin-utstederne Tether og Circle svarte i timene etterpå. I timene siden har uavhengige on-chain-analytikere gått gjennom transaksjonsdataene og rekonstruert nøyaktig hvordan pengene forsvant fra Binance sine lommebøker, og hvor de tok veien videre.
Sentralt i forklaringen står EIP-7702, en oppdatering av Ethereum fra 2025 som lar en vanlig lommebok midlertidig knytte til seg kode og dermed oppføre seg som en smart kontrakt. Funksjonen er laget for å gjøre transaksjoner enklere og billigere, men forutsetter en signatur fra lommebokens egen private nøkkel – nøyaktig den samme typen signatur som i dette tilfellet ble brukt til å tømme den.
Ifølge en analyse fra kontoen International Cyber Digest, bygget på on-chain-data og funn fra sikkerhetsselskapet Blockaid, hadde den som tømte en av Binance sine Ethereum-lommebøker 50 fullmakter signert med lommebokens egen private nøkkel. En slik fullmakt under EIP-7702 er bare gyldig for lommebokens neste transaksjonsnummer, kalt nonce. Fordi Binance sin lommebok fortsatt sendte transaksjoner i samme periode, beveget tallet seg hele tiden. Avsenderen visste ikke hvilket nonce som ville være aktivt, og sendte derfor alle 50 fullmaktene i én og samme transaksjon. Én av dem traff.
Fullmakten som ble godkjent, installerte en kontrakt på lommeboken som ifølge Blockaid bare kunne styres av avsenderadressen – en adresse finansiert gjennom miksetjenesten Tornado Cash. Minutter senere tømte kontrakten lommeboken for 1,6 milliarder dollar i USDT, 167 464 ether og over 60 andre tokens. Hvordan avsenderen fikk tak i signaturer fra Binance sin egen nøkkel, er fortsatt ikke kjent; bare den nøkkelen, eller systemet som oppbevarer den, kan produsere dem.
On-chain-data gjengitt av blant annet The Defiant og International Cyber Digest viser at forberedelsene startet nesten to døgn før selve tømmingen. Avsenderadressen ble finansiert med et uttak fra Tornado Cashs 0,1 ether-pool 28. oktober klokken 07.39 amerikansk østkysttid, etterfulgt av to tilsvarende uttak samme dag og morgenen etter. 29. oktober klokken 15.59 distribuerte avsenderen kontrakten som senere skulle tømme lommeboken.
Klokken 20.20 og 59 sekunder samme kveld ble transaksjonen med de 50 fullmaktene sendt, og én ble godkjent. Fire minutter senere, klokken 20.24, hentet kontrakten ut USDT, ether og de øvrige tokenene fra Binance-lommeboken. Angrepet stoppet ikke der: klokken 20.41 hentet nye kall gjennom samme fullmakt 780 millioner dollar i USDC fra en annen Binance-lommebok, og klokken 21.44 ble ytterligere 200 millioner dollar i USDT hentet ut fra den opprinnelige lommeboken.
Tømmingen var ikke begrenset til én lommebok eller én blokkjede. En annen Binance-lommebok på Ethereum sendte i samme periode 28 006 ether til samme mottakeradresse, signert med sin egen nøkkel. Samtidig flyttet 18 270 bitcoin fra en Binance-lommebok på Bitcoin-nettverket, og rundt 613 millioner dollar i USDT på Tron-nettverket ble sendt til nye lommebøker. International Cyber Digest anslår at minst 5,57 milliarder dollar samlet forlot Binance-tilknyttede adresser på tvers av Ethereum, Bitcoin og Tron, mens kontoen Kairos_Res, som har kartlagt pengestrømmene adresse for adresse, oppgir at om lag 5,0 milliarder dollar forlot Binance sine hot wallets i løpet av under en time.
I timene etter tømmingen fulgte Binance en fast rekke med meldinger på X: klokken 17.16 amerikansk østkysttid opplyste selskapet at det undersøkte et mulig sikkerhetsproblem uten å bekrefte konsekvenser for kundemidler, klokken 17.41 meldte Binance.US at egen drift ikke var berørt, klokken 18.33 lovet Binance at uttak ville gjenopptas når sikkerhetsproblemet var fullt ut løst og kundemidlene trygge, og klokken 19.06 ble handel i produktet Alpha midlertidig stanset i påvente av samme avklaring. Selskapet har omtalt kundemidlene som «helt trygge», uten å forklare hvordan.
Stablecoin-utstederne har i mellomtiden fryst deler av beløpet. Ifølge Kairos_Res har Tether og Circle samlet fryst om lag 2,1 milliarder dollar, inkludert 313 millioner dollar i USDT på Tron, mens ingenting har gått videre til Tornado Cash. The Defiant viser til at Circle har meldt om mer enn 800 millioner dollar i fryst USDC og Tether mer enn 1,567 milliarder dollar i fryst USDT. Samtidig oppgir Kairos_Res at om lag 718 millioner dollar i ether og 500 millioner dollar i USDT fortsatt kan flyttes fritt, og at 17 270 av de stjålne bitcoinene ligger urørt.
Kilder: International Cyber Digest, Kairos_Res, The Defiant, Blockaid, Blockscout
Du har lest det du kan lese gratis. Med en konto får du ubegrenset tilgang til alle nyheter og artikler på kaupr.io — og blir en del av nettverket av investorer, profesjonelle og builders som følger onchain finance.