Аналитики компании TRM Labs выдвинули версию о причастности северокорейской хакерской группы TraderTraitor к масштабной атаке на крупнейшую криптовалютную биржу мира Binance, в результате которой злоумышленники похитили активы на сумму $6,36 млрд. В ходе расследования эксперты проанализировали транзакции в десяти различных блокчейнах и обнаружили совпадения тактик, методов и процедур (TTP) с предыдущими операциями известных пхеньянских киберпреступников.
Ключевыми индикаторами виновности TraderTraitor стали тщательная предварительная подготовка кошельков, использование сервиса микширования Tornado Cash для маскировки источников средств, а также заблаговременное получение подписанных разрешений на операции задолго до самого момента вывода активов. По данным TRM Labs, подготовка началась минимум за 36 часов до атаки. Утром 28 октября подконтрольный хакерам адрес получил несколько небольших переводов через Tornado Cash. На следующий день преступники развернули вредоносный смарт-контракт и провели его тестирование на отдельных адресах.
Для захвата контроля над одним из горячих кошельков Binance в сети Ethereum хакеры использовали механизм EIP-7702, внедренный после обновления протокола Pectra. Злоумышленники подготовили пакет из 50 подписанных разрешений с последовательными номерами транзакций. Одно из этих разрешений оказалось валидным, что позволило передать управление кошелеком вредоносному контракту. Спустя всего три минуты и 24 секунды после этого события с адреса были выведены 167 464 ETH и 63 других токена, включая стейблкоины USDT на общую сумму около $1,615 млрд. Практически одновременно начался массовый отток средств с кошельков биржи в сетях Bitcoin, Tron, Solana, XRP Ledger и ряде других блокчейнов.
Специалисты TRM Labs предполагают, что хакеры получили доступ к инфраструктуре подписания транзакций самой биржи, что объясняет возможность одновременного проведения операций в нескольких сетях с разными криптографическими алгоритмами.
Сама компания Binance ранее сообщила, что причиной инцидента стал взлом рабочего ноутбука одного из сотрудников. Предположительно, через этот канал злоумышленники проникли в служебный контейнер и инициировали несанкционированный вывод средств. При этом биржа заявила, что пока не обнаружила доказательств утечки приватных ключей, и официально не подтвердила личности атакующих.