Sự kiện Binance trên chuỗi được tổng hợp lại: 8 ví nóng của Binance bị đánh cắp 6.28 tỷ USD

Tác giả: Dickson（@DicksonWuML）
Biên soạn: Thâm Triều TechFlow

**Thâm Triều Đọc: ** Ví nóng của Binance bị đánh cắp là sự kiện lớn nhất trong thị trường tiền điện tử hôm nay. Kỹ sư CertiK, thành viên SEAL Dickson đã theo dõi từng giao dịch trên chuỗi, phục hồi quá trình kẻ tấn công rút tiền từ Tornado Cash, ủy quyền tiếp quản ví nóng Ethereum của Binance bằng EIP-7702, đến việc cùng Tether, Circle và các bên phát hành khác đóng băng để giành thời gian. Số tiền và thời gian trong bài viết đều là thống kê trên chuỗi của tác giả tính đến thời điểm đăng bài (giờ Bắc Kinh 30 tháng 10 khoảng 8 giờ), thời gian là UTC (+8 giờ tức giờ Bắc Kinh), chưa được Binance xác nhận chính thức.

Ví nóng của Binance hôm nay đã mất khoảng 6.28 tỷ USD trên 8 chuỗi. Trong đó, 6.07 tỷ USD đã bị chuyển đi trong 55 phút đầu tiên, sau đó kẻ tấn công đã liên tục dọn dẹp một ví Ethereum trong hơn hai giờ.

Sau đó, Tether, Circle, Ripple, Paxos, World Liberty và Binance đã đóng băng khoảng 2.8 tỷ USD. Vẫn còn khoảng 3.27 tỷ USD có thể chuyển nhượng tự do, chủ yếu là BTC và ETH.

Tôi đã theo dõi toàn bộ sự việc trên chuỗi, bao gồm cách kẻ tấn công chuyển tiền trước khi bị đóng băng 🧵

Nguồn gốc của 6.28 tỷ USD (tính theo giá UTC 20:24):

• Ethereum 3.74 tỷ USD

• Bitcoin 18,270.2 BTC, 1.47 tỷ USD

• Tron 612.7 triệu USDT + 46.4 triệu TRX, 627.5 triệu USD

• XRP 233.5 triệu XRP, 296.5 triệu USD

• Solana 970,522 SOL, 96.1 triệu USD

• Arbitrum 8,426 ETH + 7.46 triệu ARB, 31.8 triệu USD

• Avalanche 1.81 triệu AVAX + 841,000 USDt, 24.3 triệu USD

• Optimism 44.2 triệu OP, 4.8 triệu USD

3.74 tỷ USD trên Ethereum đã được chuyển ra năm đợt:

• 20:24:23, thực hiện một lần sweep() cho Binance 14: 167,464.25 ETH, 1.615 tỷ USDT và 61 loại token khác, tổng cộng 2.53 tỷ USD

• 20:41 và 20:59, chuyển từ một ví thông minh Binance 14 tin cậy 780 triệu + 43 triệu USDC, tổng cộng 822.6 triệu USD

• 20:24:47, Binance 16 ký 9 giao dịch chuyển thẳng cho kẻ tấn công: 28,005.6 ETH, 55.7 triệu USDT, 25.9 triệu RLUSD, 84.5 WBTC, 820,000 UNI, 1,199 XAUt, 18.8 triệu ENA, 304,600 LINK, 583.6 tỷ PEPE, tổng cộng 174.2 triệu USD

• 21:04 và 21:44, bổ sung hai lần cho Binance 14: 2,070 ETH và 20.43 triệu USDT, tổng cộng 20.96 triệu USD

• 22:39, lần dọn dẹp cuối cùng đến một ví mới: 128.5 ETH và 122 loại tiền nhỏ, khoảng 500,000 USD

Phân theo tài sản: USDT 1.87 tỷ USD, USDC 822.6 triệu USD, ETH 457 triệu USD (197,668 ETH), RLUSD 88.5 triệu USD, wBETH 76.8 triệu USD, XAUt 50.5 triệu USD, UNI 49.6 triệu USD, ENA 44.7 triệu USD, PEPE 40.1 triệu USD, LINK 29.6 triệu USD, USD1 27.8 triệu USD, còn khoảng 50 loại token nhỏ khác.

Chuẩn bị đã bắt đầu từ ngày hôm trước. Vào lúc 07:39 UTC ngày 28 tháng 10, ví chính của kẻ tấn công 0x7c8601d4645b93cea45f71e118a729332e6b5ca0 lần đầu tiên rút 0.1 ETH từ Tornado Cash, sau đó đã rút thêm hai lần. Tiếp theo, ví thứ hai đã rút 1 ETH từ Tornado và chuyển cho ví chính vào lúc 18:20 ngày 29 tháng 10.

Vào lúc 02:28 ngày 29 tháng 10, họ đã triển khai một hợp đồng dọn dẹp (sweeper). Từ 13:51 đến 16:47, họ đã thực hiện một buổi diễn tập trên ví của mình: ủy quyền bằng EIP-7702, dọn dẹp USDT và USDC dùng thử, sau đó rút đi. Vào lúc 15:59, họ đã ra mắt phiên bản v2 với hàm gọi chung, chính hàm này đã chuyển đi 822.6 triệu USDC sau này.

UTC 20:04:52, bước đầu tiên đã thất bại. Ví XRP của Binance đã gửi 42,750,000.1 RLUSD cho kẻ tấn công, nhưng tài khoản XRP của kẻ tấn công lúc đó chưa tồn tại, giao dịch bị trả lại.

8 giây sau, giao dịch 185,017,485.5 XRP đã thành công, và từ đó tài khoản này được tạo ra. Đến 20:09, bốn ví XRP khác của Binance cũng đã bị dọn sạch.

Sau đó, chuỗi sự kiện diễn ra:

20:10 Solana, giao dịch đơn lẻ chuyển đi 965,455.1 SOL

20:18 Optimism, 44.2 triệu OP

20:20 Bitcoin, 11 giao dịch chuyển đi 18,270.2 BTC, và trong cùng một khối đã chia thành mỗi phần 1,000 BTC

20:20 đến 20:22 Tron, 612.7 triệu USDT + 46.4 triệu TRX

20:30 đến 20:35 Arbitrum và Avalanche

Ethereum đã tiết lộ phương pháp tấn công. Vào lúc 20:20:59, kẻ tấn công phát đi một giao dịch, mang theo 50 ủy quyền EIP-7702, tất cả đều được ký bởi khóa riêng của Binance 14, tương ứng với nonce 18,914,775 đến 18,914,824.

Binance 14 vừa sử dụng nonce 18,914,775 vào lúc 20:17:47, cho thấy những ủy quyền này đã được ký trong vài phút trước khi sử dụng.

Trong số đó, ủy quyền có nonce 18,914,809 đã khớp. Binance 14 đã sử dụng nonce 18,914,808 cho giao dịch của chính mình trong cùng một khối, từ khoảnh khắc này, mã của kẻ tấn công đã được thực thi trên Binance 14.

20:24:23, một lần sweep() đã chuyển đi 167,464 ETH và 1.615 tỷ USDT. 24 giây sau, Binance 16 đã ký 9 giao dịch chuyển thẳng cho kẻ tấn công. Vào lúc 20:41 và 20:59, kẻ tấn công đã lợi dụng Binance 14, chuyển đi 822.6 triệu USDC từ một ví thông minh Binance tin cậy.

Tiếp theo là cuộc đua với việc đóng băng. Kẻ tấn công nhanh chóng phân tách USDT:

• 20:30, 500 triệu USDT chuyển đến 0x9749…c762. Đến 20:59, trong số đó 325 triệu đã được đổi thành ETH qua RFQ, số còn lại 175 triệu tiếp tục được chuyển đi

• 20:33, 200 triệu USDT chuyển đến 0x0ddf…697e. Khoảng 10 triệu đã được bán trên DEX, 190 triệu chuyển đến 0x8d53…639a, ví sau đã gửi 60 triệu vào Aave và vay ETH

Danh sách đen đầu tiên của Tether có hiệu lực vào lúc 21:01:35: 0x5227, trong đó có 971 triệu USDT; và 0x9749, lúc đó đã bị chuyển trống. Circle đã đóng băng 822.6 triệu USDC vào lúc 21:04:59.

Một số tiền đã thoát ra trong những giây cuối cùng:

• 21:01:59, 0x8d53 đã chuyển 130 triệu USDT cho 0x77ed…c3eb. 48 giây sau, vào lúc 21:02:47, Tether đã đóng băng 0x8d53

• Từ 21:04 đến 21:06, 0x77ed đã bán khoảng 50 triệu USDT trên DEX và chuyển 80 triệu cho 0x7aa4…bfd1

• Từ 21:08 đến 21:11, 0x7aa4 đã bán khoảng 50 triệu và chuyển đi 30 triệu cuối cùng. Tether đã đóng băng 0x7aa4 vào lúc 21:12:35, lúc đó nó đã bị chuyển trống

• 21:16:11, 0xccbe…a263 đã chuyển ra 30 triệu này. 36 giây sau, Tether đã đóng băng 0xccbe, và vào lúc 21:18:59 đã chặn được 30 triệu này tại 0xb171…c8c3

• 0x9749 chuyển ra 175 triệu vẫn dừng ở 0xaa24…54a0, cho đến khi Tether đóng băng vào lúc 21:14:59

Tổng cộng, trong 1.875 tỷ USDT trên Ethereum, khoảng 435 triệu đã bị bán trước khi bị đưa vào danh sách đen. 1.38 tỷ đã bị đóng băng, 60 triệu làm tài sản thế chấp Aave bị mắc kẹt.

Các hành động của các bên phát hành khác, theo thứ tự thời gian:

• 20:57:47 World Liberty đưa 48.5 triệu WLFI từ 0x5227 vào danh sách đen

• 21:07:55 Tether đóng băng 8.41 triệu USDt trên Avalanche. Kẻ tấn công đã cố gắng chuyển vào lúc 21:40:47, giao dịch bị quay ngược lại

• Từ 21:09 đến 21:21 Tether đóng băng 378.7 triệu USDT trong ba ví trên Tron. Trước đó đã có 234 triệu được đổi thành TRX qua SunSwap

• 21:11:23 Tether đóng băng 12,574 XAUt (khoảng 50 triệu USD)

• 22:00:59 Ripple đóng băng RLUSD. Kẻ tấn công đã chuyển nó đến 0xe702…958d vào lúc 21:33 và bán 48 triệu để đổi lấy ETH, giao dịch bán cuối cùng và việc đóng băng rơi vào cùng một khối. Chặn lại 40.5 triệu

• 22:10:35 World Liberty đóng băng 27.8 triệu USD1

• 22:30:47 Paxos đóng băng 1,907 PAXG

• 22:48:35 Binance đưa 29,934 wBETH (khoảng 75 triệu USD) vào danh sách đen, kẻ tấn công trước đó đã chuyển nó đến 0x7f9d…15e3 vào lúc 21:52

345 triệu FDUSD của First Digital hiện vẫn có thể chuyển nhượng.

Binance 14 vẫn ở trạng thái được ủy thác cho hợp đồng của kẻ tấn công, do đó đã biến thành một cuộc chiến kéo co:

• 21:04 và 21:44, kẻ tấn công lại quét sạch: trước tiên là 1,700 ETH, sau đó là 370 ETH và 200.4 triệu USDT. Số USDT này rơi vào 0x5227, và địa chỉ đó đã bị Tether đóng băng

• 22:06:23, Tether đưa Binance 14 vào danh sách đen. Giao dịch chuyển USDT do Binance tự phát từ địa chỉ đó đã thất bại vào lúc 22:15 và 23:01

• 22:39, kẻ tấn công lại quét sạch, lần này chuyển đến một ví mới: 128.5 ETH và 122 loại tiền nhỏ

• Từ 22:55 đến 23:07, Binance tự làm sạch Binance 14: thực hiện 46 giao dịch chuyển token đến Binance 8, khoảng mỗi 12 giây một giao dịch

• Từ 23:36 đến 23:38, kẻ tấn công đã gọi bốn lần sweep(), cả bốn lần đều không thành công

Ngoài Ethereum:

• Arbitrum, từ 21:35 đến 21:38: tất cả 8,426 ETH và 74.6 triệu ARB được chuyển vào một ví mới 7702 0x3e2b…32d5, ví này đã được ủy quyền ARB cho giao dịch vào lúc 21:41. Đến 23:50 vẫn ở nguyên vị trí

• Avalanche, 21:45:34: 1,813,999 AVAX được chuyển vào 0x8035…c397. Sau đó 200,005 AVAX được chuyển ra từ 0xc39e…9824, vào lúc 23:27:35 cùng địa chỉ đó nhận được 1,563,812.78 USDC qua cầu nối CCTP của Circle trên Ethereum. Bốn phút sau, vào lúc 23:31:59, Circle đưa nó vào danh sách đen

• Tiền trên Bitcoin, XRP, Solana và Optimism vẫn chưa di chuyển. BTC phân bố trong 19 ví, trong đó 17 ví mỗi ví giữ đúng 1,000 BTC

Tình trạng tính đến khoảng 23:50 UTC:

Đã bị đóng băng, khoảng 2.8 tỷ USD

• 1.38 tỷ USDT trên Ethereum, 378.7 triệu trên Tron, 8.41 triệu (Tether)

• 824.6 triệu USDC (Circle)

• 40.5 triệu RLUSD (Ripple), 27.8 triệu USD1 (World Liberty), 12,574 XAUt (Tether), 29,934 wBETH (Binance), 1,907 PAXG (Paxos), 48.5 triệu WLFI

Chưa bị đóng băng, khoảng 3.27 tỷ USD

• 18,270 BTC, 1.42 tỷ USD

• 458,770 ETH phân bố trong 9 ví, 1.03 tỷ USD

• 233.5 triệu XRP, 289 triệu USD

• 684.6 triệu TRX, 243 triệu USD

• Khoảng 136 triệu USD của các token khác trên Ethereum

• 970,500 SOL, 93 triệu USD, cộng với ARB, AVAX và OP, khoảng 48 triệu USD

Còn 60 triệu USDT làm tài sản thế chấp Aave bị mắc kẹt.

Ghi chú: Các giao dịch và chuyển khoản trên BTC, XRP và Tron được liên kết thông qua thời gian và dấu vân tay giao dịch: cùng một khoảng thời gian, địa chỉ nhận hoàn toàn mới, và phí giao dịch và định dạng khác với việc rút tiền của Binance. Số tiền bị đánh cắp được tính theo giá vào lúc 20:24 UTC; số dư hiện tại được tính theo giá vào khoảng 23:50 UTC.

Mỗi giao dịch và chứng từ trên chuỗi đã bị đóng băng đều được đính kèm trong bài viết bên dưới. Nếu bạn phát hiện tôi bỏ lỡ điều gì, xin vui lòng cho tôi biết!