On-chain-data visar att en av 50 fullmakter i samma transaktion godkändes av Binance egen plånbok och installerade en kontrakt som tömde 1,6 mdr dollar i USDT och 167 464 ether på fyra minuter. Minst 5,57 mdr dollar lämnade Binance-adresser totalt.
Kaupr har i en egen artikel rapporterat om hur Binance drabbades av en misstänkt stöld i miljardklassen 29 oktober, och hur både Binance själv och stablecoin-utgivarna Tether och Circle svarade under timmarna efteråt. Under timmarna sedan dess har oberoende on-chain-analytiker gått igenom transaktionsdata och rekonstruerat exakt hur pengarna försvann från Binance plånböcker, och vart de tog vägen.
Centralt i förklaringen står EIP-7702, en uppdatering av Ethereum från 2025 som låter en vanlig plånbok tillfälligt knyta till sig kod och därmed uppträda som en smart kontrakt. Funktionen är tänkt att göra transaktioner enklare och billigare, men förutsätter en signatur från plånbokens egen privata nyckel – exakt samma typ av signatur som i det här fallet användes för att tömma den.
Enligt en analys från kontot International Cyber Digest, baserad på on-chain-data och fynd från säkerhetsbolaget Blockaid, hade den som tömde en av Binance Ethereum-plånböcker 50 fullmakter signerade med plånbokens egen privata nyckel. En sådan fullmakt under EIP-7702 gäller bara för plånbokens nästa transaktionsnummer, kallat nonce. Eftersom Binance plånbok fortfarande skickade transaktioner under samma period rörde sig siffran hela tiden. Avsändaren visste inte vilket nonce som skulle vara aktivt, och skickade därför alla 50 fullmakterna i en och samma transaktion. En av dem träffade.
Fullmakten som godkändes installerade en kontrakt på plånboken som enligt Blockaid bara kunde styras av avsändaradressen – en adress finansierad genom mixningstjänsten Tornado Cash. Minuter senare tömde kontraktet plånboken på 1,6 miljarder dollar i USDT, 167 464 ether och över 60 andra tokens. Hur avsändaren fick tag i signaturer från Binance egen nyckel är fortfarande okänt; bara den nyckeln, eller systemet som förvarar den, kan producera dem.
On-chain-data som återgetts av bland andra The Defiant och International Cyber Digest visar att förberedelserna inleddes nästan två dygn före själva tömningen. Avsändaradressen finansierades med ett uttag från Tornado Cashs 0,1 ether-pool den 28 oktober klockan 07.39 amerikansk östkusttid, följt av två liknande uttag samma dag och morgonen därpå. Den 29 oktober klockan 15.59 distribuerade avsändaren kontraktet som senare skulle tömma plånboken.
Klockan 20.20 och 59 sekunder samma kväll skickades transaktionen med de 50 fullmakterna, och en godkändes. Fyra minuter senare, klockan 20.24, hämtade kontraktet ut USDT, ether och övriga tokens från Binance-plånboken. Attacken stannade inte där: klockan 20.41 hämtade nya anrop via samma fullmakt 780 miljoner dollar i USDC från en annan Binance-plånbok, och klockan 21.44 hämtades ytterligare 200 miljoner dollar i USDT ur den ursprungliga plånboken.
Tömningen var inte begränsad till en plånbok eller en blockkedja. En annan Binance-plånbok på Ethereum skickade under samma period 28 006 ether till samma mottagaradress, signerat med sin egen nyckel. Samtidigt flyttade 18 270 bitcoin från en Binance-plånbok på Bitcoin-nätverket, och omkring 613 miljoner dollar i USDT på Tron-nätverket skickades till nya plånböcker. International Cyber Digest uppskattar att minst 5,57 miljarder dollar sammanlagt lämnade Binance-anknutna adresser över Ethereum, Bitcoin och Tron, medan kontot Kairos_Res, som har kartlagt penningflödena adress för adress, uppger att omkring 5,0 miljarder dollar lämnade Binance hot wallets inom loppet av mindre än en timme.
Under timmarna efter tömningen följde Binance en fast rad meddelanden på X: klockan 17.16 amerikansk östkusttid uppgav bolaget att det undersökte ett möjligt säkerhetsproblem utan att bekräfta konsekvenser för kundmedel, klockan 17.41 meddelade Binance.US att den egna driften inte var påverkad, klockan 18.33 lovade Binance att uttag skulle återupptas när säkerhetsproblemet var fullt löst och kundmedlen trygga, och klockan 19.06 stoppades handeln i produkten Alpha tillfälligt i väntan på samma besked. Bolaget har beskrivit kundmedlen som »helt trygga«, utan att förklara hur.
Stablecoin-utgivarna har under tiden frusit delar av beloppet. Enligt Kairos_Res har Tether och Circle sammanlagt frusit omkring 2,1 miljarder dollar, inklusive 313 miljoner dollar i USDT på Tron, medan ingenting har gått vidare till Tornado Cash. The Defiant uppger att Circle har meddelat mer än 800 miljoner dollar i fryst USDC och Tether mer än 1,567 miljarder dollar i fryst USDT. Samtidigt uppger Kairos_Res att omkring 718 miljoner dollar i ether och 500 miljoner dollar i USDT fortfarande kan flyttas fritt, och att 17 270 av de stulna bitcoinen ligger orörda.
Källor: International Cyber Digest, Kairos_Res, The Defiant, Blockaid, Blockscout
Du har läst det du kan läsa gratis. Med ett konto får du obegränsad tillgång till alla nyheter och artiklar på kaupr.io — och blir en del av nätverket av investerare, professionella och builders som följer onchain finance.