Resumo:
Os hackers que roubaram US$ 6,3 bilhões da Binance na semana passada encontraram uma maneira de transferir 40% da criptomoeda roubada de uma só vez, reduzindo a chance de serem detectados durante a operação. O preço que pagaram foi de apenas US$ 15. O exame dos registros de transações no blockchain Ethereum mostra como um grupo de ladrões transformou um recurso originalmente projetado para tornar as carteiras de criptomoedas mais convenientes em uma ferramenta de ataque. Este recurso permite que o software de autorização de conta transfira fundos em seu nome sem a necessidade de obter autorização separada para cada transferência.
A Binance divulgou um cronograma detalhado dos eventos na terça-feira, afirmando que os invasores usaram vagas de emprego falsas para enganar um engenheiro e fazê-lo baixar código malicioso. A Binance disse que foi um “ataque sofisticado em vários estágios” que combinou engenharia social, dispositivos comprometidos e tecnologia de IA.
De acordo com registros da plataforma de análise Etherscan, após a invasão bem-sucedida, os hackers tiveram como alvo uma “carteira quente” chamada “Binance 14”, que a Binance usou para processar retiradas de clientes. Esta carteira é um pouco como uma caixa registradora online; como a Binance é a maior bolsa de criptomoedas do mundo, ela geralmente contém grandes quantidades de éter, stablecoins e dezenas de outras criptomoedas.
Atalho
A transferência de tantos ativos diferentes geralmente requer uma série de transferências independentes, cada uma das quais leva tempo e cria uma oportunidade adicional para os sistemas de segurança detectarem anomalias.
Mas uma atualização de software Ethereum chamada EIP-7702 fornece um atalho para hackers.
Antes que esta atualização seja implementada em maio de 2025, uma carteira básica de criptomoedas será mais parecida com uma conta corrente e, em princípio, cada transação precisará ser assinada e autorizada pelo titular. Após a atualização, uma função semelhante à “dedução automática” foi adicionada, permitindo que a carteira autorize o software a agir em seu nome e empacote múltiplas operações para execução.
A Blockaid afirmou que aproximadamente às 20h20 UTC do dia 29 de outubro, o hacker usou uma assinatura válida da carteira Binance 14 para enviar uma instrução solicitando à rede Ethereum que permitisse que o código controlado pelo invasor realizasse operações em nome da conta. É quando o hacker paga taxas típicas de processamento de rede para estabelecer essa autorização.
A transação em si não movimenta nenhum fundo, ela simplesmente diz ao Ethereum para permitir que o software do hacker atue em nome desta carteira.
A empresa de pesquisa de blockchain Tibane Labs disse em um relatório que este programa só faz uma coisa: quando seu proprietário solicita, ele esvazia a carteira e transfere os ativos para o endereço especificado pelo proprietário.
Três minutos e meio depois, o hacker ativou a armadilha. A Blockaid disse que, sob a nova autorização, o software do invasor transferiu aproximadamente US$ 2,5 bilhões em uma única transação. Os ativos roubados incluem 167.464 moedas Ethereum e mais de 60 outros tokens, dos quais a stablecoin USDT da Tether vale até US$ 1,6 bilhão.
Comentários