Resumen:
Los piratas informáticos que robaron 6.300 millones de dólares de Binance la semana pasada encontraron una manera de transferir el 40% de la criptomoneda robada de una sola vez, reduciendo la posibilidad de ser detectados durante la operación. El precio que pagaron fue de sólo 15 dólares. El examen de los registros de transacciones en la cadena de bloques Ethereum muestra cómo un grupo de ladrones convirtió una característica originalmente diseñada para hacer que las billeteras de criptomonedas fueran más convenientes en una herramienta de ataque. Esta característica permite que el software de autorización de cuentas transfiera fondos en su nombre sin tener que obtener una autorización separada para cada transferencia.
La firma de seguridad Blockaid dijo que los piratas informáticos pagaron alrededor de 15 dólares en tarifas de red para establecer la autorización y luego la utilizaron para transferir alrededor de 2.500 millones de dólares en una sola transacción, equivalente al 40% del monto total robado.
Binance publicó una cronología detallada de los eventos el martes, afirmando que los intrusos utilizaron ofertas de trabajo falsas para engañar a un ingeniero para que descargara código malicioso. Binance dijo que se trataba de un "ataque sofisticado de varias etapas" que combinaba ingeniería social, dispositivos comprometidos y tecnología de inteligencia artificial.
Según los registros de la plataforma de análisis Etherscan, después de la intrusión exitosa, los piratas informáticos atacaron una "billetera activa" llamada "Binance 14", que Binance utilizaba para procesar los retiros de los clientes. Esta billetera es un poco como una caja registradora en línea; Dado que Binance es el intercambio de criptomonedas más grande del mundo, a menudo contiene grandes cantidades de ether, monedas estables y docenas de otras criptomonedas.
Atajo
La transferencia de tantos activos diferentes generalmente requiere una serie de transferencias independientes, cada una de las cuales lleva tiempo y crea una oportunidad adicional para que los sistemas de seguridad detecten anomalías.
Pero una actualización del software Ethereum llamada EIP-7702 proporciona un atajo para los piratas informáticos.
Antes de que se implemente esta actualización en mayo de 2025, una billetera básica de criptomonedas se parecerá más a una cuenta corriente y, en principio, cada transacción deberá estar firmada y autorizada por el titular. Después de la actualización, se agregó una función similar a la "deducción automática", que permite que la billetera autorice al software a actuar en su nombre y empaquetar múltiples operaciones para su ejecución.
Blockaid declaró que aproximadamente a las 20:20 UTC del 29 de octubre, el pirata informático utilizó una firma válida de la billetera Binance 14 para enviar una instrucción solicitando a la red Ethereum que permitiera que el código controlado por el atacante realizara operaciones en nombre de la cuenta. Aquí es cuando el pirata informático paga las tarifas típicas de procesamiento de red para establecer esta autorización.
La transacción en sí no mueve ningún fondo, simplemente le dice a Ethereum que permita que el software del hacker actúe en nombre de esta billetera.
La firma de investigación Blockchain Tibane Labs dijo en un informe que este programa solo hace una cosa: cuando su propietario lo solicita, vacía la billetera y transfiere los activos a la dirección especificada por el propietario.
Tres minutos y medio después, el hacker activó la trampa. Blockaid dijo que bajo la nueva autorización, el software del atacante transfirió aproximadamente 2.500 millones de dólares en una sola transacción. Los activos robados incluyen 167.464 monedas Ethereum y más de otros 60 tokens, de los cuales la moneda estable USDT de Tether vale hasta 1.600 millones de dólares.
Comentarios