Μόλις 15 δολάρια χρειάστηκαν οι χάκερ που επιτέθηκαν στην Binance για να αποκτήσουν τη δυνατότητα να μεταφέρουν 2,5 δισ. δολάρια με μία και μόνο συναλλαγή. Η επίθεση, από την οποία εκλάπησαν συνολικά κρυπτονομίσματα αξίας 6,3 δισ. δολαρίων, αποκαλύπτει πώς μια τεχνολογική καινοτομία που δημιουργήθηκε για να απλοποιήσει τη χρήση των ψηφιακών πορτοφολιών μπορεί να μετατραπεί σε εξαιρετικά αποτελεσματικό εργαλείο στα χέρια κυβερνοεγκληματιών.
Η ανάλυση των συναλλαγών που έχουν καταγραφεί στο blockchain του Ethereum δείχνει ότι οι δράστες εκμεταλλεύτηκαν μια λειτουργία η οποία επιτρέπει σε ένα ψηφιακό πορτοφόλι να εξουσιοδοτεί λογισμικό να πραγματοποιεί συναλλαγές για λογαριασμό του, χωρίς να απαιτείται ξεχωριστή έγκριση για κάθε μεταφορά.
Σύμφωνα με την εταιρεία κυβερνοασφάλειας Blockaid, οι χάκερ πλήρωσαν περίπου 15 δολάρια σε τέλη δικτύου για να ενεργοποιήσουν αυτή την εξουσιοδότηση και στη συνέχεια απέσπασαν περίπου 2,5 δισ. δολάρια σε μία συναλλαγή, ποσό που αντιστοιχεί στο 40% της συνολικής λείας.
Με αυτόν τον τρόπο περιόρισαν δραστικά τον χρόνο που απαιτούνταν για τη μεταφορά των κρυπτονομισμάτων, μειώνοντας παράλληλα τις πιθανότητες να εντοπιστούν εγκαίρως από τα συστήματα ασφαλείας.
Η παγίδα με τις ψεύτικες αγγελίες εργασίας
Η επίθεση δεν ξεκίνησε από το blockchain, αλλά από έναν πολύ πιο συνηθισμένο στόχο: έναν εργαζόμενο της Binance.
Την Τρίτη, το μεγαλύτερο ανταλλακτήριο κρυπτονομισμάτων στον κόσμο παρουσίασε το χρονολόγιο της παραβίασης, περιγράφοντας μια σύνθετη επιχείρηση που περιλάμβανε παραπλανητικές αγγελίες εργασίας, κακόβουλο λογισμικό και τεχνικές τεχνητής νοημοσύνης.
Οι δράστες χρησιμοποίησαν πλαστές επαγγελματικές ευκαιρίες για να εξαπατήσουν έναν μηχανικό της εταιρείας και να τον οδηγήσουν στη λήψη κακόβουλου κώδικα.
Η Binance χαρακτήρισε την επίθεση «εξελιγμένη εκστρατεία πολλαπλών σταδίων», η οποία βασίστηκε σε τεχνικές κοινωνικής μηχανικής, παραβιασμένες συσκευές και χρήση AI.
Αφού απέκτησαν πρόσβαση στα συστήματα, οι εισβολείς επικεντρώθηκαν σε ένα ψηφιακό πορτοφόλι γνωστό ως Binance 14, το οποίο χρησιμοποιείται για την επεξεργασία αναλήψεων πελατών.
Πρόκειται για ένα λεγόμενο hot wallet, δηλαδή ένα πορτοφόλι συνδεδεμένο στο διαδίκτυο, το οποίο λειτουργεί ουσιαστικά ως διαδικτυακό ταμείο.
Επειδή η Binance είναι το μεγαλύτερο ανταλλακτήριο κρυπτονομισμάτων παγκοσμίως, το συγκεκριμένο πορτοφόλι διαχειρίζεται τακτικά μεγάλες ποσότητες Ether, stablecoins και δεκάδων άλλων ψηφιακών περιουσιακών στοιχείων.
Το «παραθυράκι» του Ethereum που επέτρεψε την κλοπή
Υπό κανονικές συνθήκες, η μεταφορά τόσο μεγάλου αριθμού διαφορετικών κρυπτονομισμάτων θα απαιτούσε σειρά ξεχωριστών συναλλαγών.
Κάθε συναλλαγή θα χρειαζόταν χρόνο για να εκτελεστεί, δημιουργώντας επιπλέον ευκαιρίες για τα συστήματα ασφαλείας να εντοπίσουν ύποπτη δραστηριότητα.
Ωστόσο, μια τεχνολογική αναβάθμιση του Ethereum, γνωστή ως EIP-7702, προσέφερε στους δράστες μια πολύ ταχύτερη διαδρομή.
Πριν από την εφαρμογή της, τον Μάιο του 2025, ένα συνηθισμένο πορτοφόλι κρυπτονομισμάτων λειτουργούσε περίπου όπως ένας τραπεζικός λογαριασμός, στον οποίο ο κάτοχος έπρεπε να εγκρίνει κάθε μεταφορά ξεχωριστά.
Η νέα λειτουργία πρόσθεσε κάτι αντίστοιχο με την πάγια εντολή πληρωμής: τη δυνατότητα ενός πορτοφολιού να παραχωρεί σε λογισμικό την εξουσία να ενεργεί για λογαριασμό του και να συνδυάζει πολλές ενέργειες σε μία συναλλαγή.
Η συγκεκριμένη δυνατότητα σχεδιάστηκε για να κάνει τα ψηφιακά πορτοφόλια ευκολότερα στη χρήση.
Στην περίπτωση της Binance, όμως, αποδείχθηκε καθοριστική για την επιτυχία της επίθεσης.
Πώς έφυγαν 2,5 δισ. δολάρια μέσα σε τριάμισι λεπτά
Στις 29 Οκτωβρίου, περίπου στις 22:20 ώρα Ελλάδας, οι χάκερ υπέβαλαν στο δίκτυο Ethereum μια εντολή με έγκυρη ψηφιακή υπογραφή από το πορτοφόλι Binance 14.
Η εντολή επέτρεπε σε κώδικα που ελεγχόταν από τους επιτιθέμενους να ενεργεί για λογαριασμό του συγκεκριμένου πορτοφολιού.
Σε αυτό ακριβώς το στάδιο καταβλήθηκαν τα περίπου 15 δολάρια σε τέλη δικτύου.
Η πρώτη συναλλαγή δεν μετέφερε χρήματα. Απλώς παραχωρούσε τις απαραίτητες εξουσίες στο λογισμικό των δραστών.
Όπως εξήγησε η εταιρεία ερευνών blockchain Tibane Labs, το πρόγραμμα είχε μία και μοναδική λειτουργία: όταν το ζητούσε ο χειριστής του, άδειαζε το πορτοφόλι, μεταφέροντας τα περιουσιακά στοιχεία σε διεύθυνση της επιλογής του.
Τριάμισι λεπτά αργότερα, η παγίδα ενεργοποιήθηκε.
Με τη νέα εξουσιοδότηση σε ισχύ, το κακόβουλο λογισμικό μετέφερε περίπου 2,5 δισ. δολάρια με μία συναλλαγή.
Σύμφωνα με την Blockaid, το ποσό περιλάμβανε 167.464 Ether και περισσότερα από 60 διαφορετικά ψηφιακά tokens.
Το μεγαλύτερο μέρος της λείας προερχόταν από το stablecoin USDT της Tether, αξίας περίπου 1,6 δισ. δολαρίων.
Γιατί η Binance δεν μπορούσε να σταματήσει αμέσως τις μεταφορές
Το πλέον ανησυχητικό χαρακτηριστικό της επίθεσης ήταν ότι η εξουσιοδότηση των δραστών παρέμενε ενεργή στο ίδιο το δίκτυο Ethereum.
Αυτό σήμαινε ότι ακόμη και αν η Binance απενεργοποιούσε τις αναλήψεις ή ανέστελλε τη λειτουργία των διαδικτυακών πορτοφολιών της, η συγκεκριμένη ενέργεια δεν ακύρωνε αυτομάτως την εξουσιοδότηση που είχαν αποκτήσει οι χάκερ.
«Σε μια επίθεση, ο αμυνόμενος θέλει να επιβραδύνει τον επιτιθέμενο», εξήγησε ο Νταν Κάσπι, συνιδρυτής και επικεφαλής τεχνολογίας της Hypernative.
Όπως σημείωσε, η λειτουργία EIP-7702 βοήθησε τους χάκερ να κινηθούν ταχύτερα και να διατηρήσουν τον έλεγχο του πορτοφολιού ακόμη και μετά τον εντοπισμό της παραβίασης από την Binance.
Η κατάσταση περιπλέχθηκε περαιτέρω από το γεγονός ότι οι καταθέσεις στο Binance 14 δεν είχαν διακοπεί.
Έτσι, νέα κεφάλαια εξακολουθούσαν να εισρέουν στο πορτοφόλι, προσφέροντας στους δράστες επιπλέον δυνατότητες μεταφοράς χρημάτων.
Σύμφωνα με την εταιρεία ανάλυσης blockchain Elliptic, οι χάκερ χρησιμοποίησαν τελικά την ίδια εξουσιοδότηση για να αποσπάσουν περίπου 3,6 δισ. δολάρια.
Στο ποσό αυτό περιλαμβάνονταν η αρχική μεταφορά των 2,5 δισ. δολαρίων, επιπλέον 823 εκατ. δολάρια από άλλον λογαριασμό της Binance και τέσσερις μεταγενέστερες κινήσεις αφαίρεσης κεφαλαίων από το Binance 14.
Τι απαντά η Binance
Εκπρόσωπος της Binance επιβεβαίωσε ότι η αναβάθμιση EIP-7702 διαδραμάτισε σημαντικό ρόλο στην επίθεση.
Παράλληλα, ανέφερε ότι το ανταλλακτήριο έχει ήδη προχωρήσει σε παρεμβάσεις για την αντιμετώπιση του συγκεκριμένου κινδύνου.
«Ανακαλέσαμε την επηρεαζόμενη εξουσιοδότηση, ανακατασκευάσαμε την υποδομή του πορτοφολιού και επικαιροποιήσαμε τους ελέγχους υπογραφών και παρακολούθησης», δήλωσε.
Όπως εξήγησε, τα νέα μέτρα περιλαμβάνουν αυστηρότερες πολιτικές για συναλλαγές παραχώρησης εξουσιοδότησης, ενισχυμένη παρακολούθηση ύποπτης συμπεριφοράς, πρόσθετους ελέγχους σε επίπεδο συναλλαγής και διαδικασίες έκτακτης ανάκλησης δικαιωμάτων.
Η Binance έχει επίσης ενισχύσει τους μηχανισμούς ελέγχου πρόσβασης, ώστε να αποτραπεί η επανάληψη της μεθόδου που χρησιμοποιήθηκε για την αρχική διείσδυση.
Ο εκπρόσωπος διαβεβαίωσε ότι τα κεφάλαια των πελατών παραμένουν προστατευμένα και ότι η Binance έχει απορροφήσει την οικονομική επίπτωση της παραβίασης.
Το FBI δείχνει τη Βόρεια Κορέα
Η επίθεση θεωρείται η μεγαλύτερη κλοπή κρυπτονομισμάτων που έχει καταγραφεί μέχρι σήμερα, ξεπερνώντας σε μέγεθος προηγούμενες μεγάλες παραβιάσεις στην αγορά ψηφιακών περιουσιακών στοιχείων.
Το FBI αποδίδει την επιχείρηση στη Βόρεια Κορέα, η οποία έχει κατηγορηθεί και στο παρελθόν για εκτεταμένες κυβερνοεπιθέσεις με στόχο την απόκτηση κρυπτονομισμάτων.
Η Πιονγκγιάνγκ αρνείται οποιαδήποτε εμπλοκή.
Η υπόθεση αναδεικνύει έναν νέο κίνδυνο για την αγορά των ψηφιακών περιουσιακών στοιχείων: τη δυνατότητα κακόβουλων παραγόντων να αξιοποιούν νόμιμες λειτουργίες των blockchain, οι οποίες έχουν σχεδιαστεί για την απλοποίηση των συναλλαγών.
Το πρόβλημα δεν ήταν μόνο ότι οι χάκερ κατάφεραν να εισβάλουν στα συστήματα της Binance. Ήταν ότι, αφού απέκτησαν πρόσβαση, μια λειτουργία που προοριζόταν να εξυπηρετεί τους χρήστες τούς επέτρεψε να μεταφέρουν δισεκατομμύρια δολάρια σε ελάχιστο χρόνο.
Και αυτό αποτελεί μια ιδιαίτερα σημαντική προειδοποίηση για τον κλάδο, καθώς η μεγαλύτερη ευκολία στη χρήση των ψηφιακών πορτοφολιών μπορεί να συνοδεύεται από νέες, πολύ πιο σύνθετες προκλήσεις ασφάλειας.
Σχολίασε εδώ
Για να σχολιάσεις, χρησιμοποίησε ένα ψευδώνυμο.