Binance, EIP-7702 yetkisini 30 Ekim'de Kore saatiyle 09.10'da kaldırdı

Binance, 30 Ekim'de para çekme işlemlerini durdurduktan sonra da Ethereum (ETH) cüzdanı “Binance 14” üzerinden EIP-7702’deki kötü amaçlı yetki devriyle varlık aktarımı sürdü. Yetki devri, çekim sisteminden ayrı olarak blokzincirde etkin kaldı.

Binance, 3 Kasım'da yayımladığı ilk raporda olaydan etkilenen varlıkları 6,34 milyar dolar (yaklaşık 8,49 trilyon won), dondurulan veya engellenen varlıkları ise 2,85 milyar dolar (yaklaşık 3,82 trilyon won) olarak hesapladı. Raporda saldırganın dahili cüzdan imzalama hizmetine izinsiz eriştiği ve normal çekim sürecinin dışında işlemler başlattığı belirtildi.

Binance, 31 Ekim itibarıyla etkilenen token varlıklarının %98'ini yerine koyduğunu açıkladı. Bu oran, çalınan varlıkların geri alınma oranından farklı.

Binance’in ilk raporunda, varlık hareketlerinin yanı sıra blokzincirdeki yetki devrini kaldırmak için yapılan müdahaleye de yer verildi.

Ethereum'daki harici sahipli hesaplar (EOA), işlemleri özel anahtarla imzalayan standart hesaplardır. EIP-7702, hesapların bir imza aracılığıyla belirli akıllı sözleşme kodlarına yetki vermesini sağlayan bir standarttır.

EIP-7702’nin resmi standardı, birden fazla işlemi tek bir işlemde birleştirmeyi veya işlem ücretini başka bir hesabın ödemesini mümkün kılıyor. Cüzdanı hedef alan bir çağrı geldiğinde, yetki verilen kod o hesapta çalışıyor.

Yetki devri, işlem tamamlandığında kendiliğinden ortadan kalkmıyor. Yeni bir kod belirlemek veya yetki adresini sıfır adres olarak ayarlamak için ayrı bir işlem gerekiyor. TokenPost, cüzdan adresini korurken yetki devrini kalıcı olarak engellemeyi amaçlayan bir taslağın sunulduğunu daha önce bildirmişti.

Blokzincir güvenlik şirketi Blockaid, olay analizinde 30 Ekim Kore saatiyle 05.20 civarında Binance’in sıcak cüzdanı “Binance 14”e gönderilen bir işlemde EIP-7702 yetkisi için 50 imza bulunduğunu açıkladı. Her imzada farklı bir nonce kullanıldı. İmzalardan biri o sırada cüzdanın nonce değeriyle eşleşince yetki, saldırganın dağıttığı sözleşmeye devredildi.

Yaklaşık üç dakika sonra saldırgan, bu cüzdandan 167.464 Ethereum, 1,615 milyar Tether (USDT) ve yaklaşık 60 farklı tokenı tek işlemde taşıdı. Blockaid, varlıkların o sıradaki değerini yaklaşık 2,5 milyar dolar (yaklaşık 3,35 trilyon won) olarak tahmin etti.

Blockaid’in analizine göre saldırgan, aynı gün Kore saatiyle 06.44'teki ilk transferin ardından cüzdana gelen 200 milyon Tether’ı ve 13 farklı tokenı da taşıdı. Binance, yetkisiz son varlık hareketinin Kore saatiyle 08.56'da blokzincirde kesinleştiğini bildirdi.

İki rapor, 50 imzanın nasıl işlendiğini farklı biçimde aktardı. Blockaid, tek bir işlemde 50 yetki imzası bulunduğunu belirtirken Binance ilk raporunda “50 imza işlemi” gönderildiğini yazdı.

Binance olayında diğer blokzincirlerdeki sıcak cüzdan varlıkları da taşındı. Blockaid, bu cüzdanlardaki varlık hareketlerinin her cüzdanın kendi anahtarıyla imzalanmış standart işlemler olduğunu değerlendirdi.

EIP-7702, Ethereum cüzdanındaki varlıkların aktarımında kullanıldı; ancak birden fazla blokzinciri kapsayan olayın tamamının nedeni değildi. Binance’in açıkladığı dahili imzalama hizmetine izinsiz erişim ile blokzincirdeki yetki devri yoluyla gerçekleşen varlık hareketlerini ayrı değerlendirmek gerekiyor.

Blockaid’in kurucu ortağı ve CEO'su İdo Ben-Natan (Ido Ben-Natan), Cointelegraph’a verdiği röportajda, “7702 olmasa da fonların çalınması mümkündü; ancak varlıkları tek seferde taşımaya ve bazı kontrolleri aşmaya yarayan bir araç olmuş olabilir” dedi. Bu açıklama, ilk erişim yoluyla varlık hareketlerinde kullanılan işlevi birbirinden ayırıyor.

Ambire’ın kurucu ortağı ve CEO'su İvo Georgiev (Ivo Georgiev) aynı röportajda, saldırgan işlem onaylama yetkisini zaten elde ettiyse EIP-7702’nin saldırı üzerindeki etkisinin sınırlı kaldığını değerlendirdi. Georgiev, olay müdahalesinde kötü amaçlı yetki devrinin kaldırılması gereğinin gözden kaçabileceğini de belirtti.

Binance, Kore saatiyle 09.10'da “Binance 14”ün yetki hedefini sıfır adres olarak değiştirdi ve kötü amaçlı kodu sildi. Para çekme işlemlerini durdurmak, önceden blokzincirde tanımlanmış yetkiyi kaldırmadığı için ayrıca bir işlem yapılması gerekti.

Binance, soruşturmanın henüz ilk aşamada olduğunu ve dış güvenlik şirketlerinden ek inceleme alacağını açıkladı.