RLUSD 4,275萬枚轉帳失敗後8秒，幣安（Binance）攻擊者轉出1億8,501萬7,485.5枚XRP

幣安（Binance）遭駭事件中，攻擊者首次轉移資產未能成功。攻擊者試圖轉出約4,275萬美元（約572億韓元）的RLUSD穩定幣，但收款方的XRP Ledger帳戶尚未啟用；8秒後，從幣安錢包轉出的瑞波幣（XRP）1億8,501萬7,485.5枚則成功到帳。

CertiK工程師迪克森（Dickson）於30日公開的鏈上分析指出，首次嘗試發生在韓國時間上午5時4分52秒。該筆交易試圖從幣安的XRP錢包，將約4,275萬枚RLUSD轉至攻擊者地址。迪克森分析稱，交易未獲處理，代幣並未轉入攻擊者錢包。

轉帳失敗的原因在於收款帳戶狀態。XRP Ledger官方文件說明，即使地址已存在，在存入一定數量的XRP之前，帳戶仍不會在區塊鏈上建立。若要接收RLUSD等已發行代幣，還必須另外設定信任線。

首次轉帳失敗後8秒，幣安錢包向攻擊者地址轉出1億8,501萬7,485.5枚瑞波幣，交易成功並建立了收款帳戶。迪克森分析指出，截至韓國時間上午5時9分，幣安另外4個XRP錢包也有資產流出。

之後，資金流向多個區塊鏈。迪克森的追蹤紀錄顯示，韓國時間上午5時10分有96萬5,455.1枚Solana（SOL）轉出，上午5時18分則有4,420萬枚Optimism（OP）轉出。

韓國時間上午5時20分，1萬8,270.2枚比特幣（BTC）透過11筆交易轉移。攻擊者也在同一個區塊中，把比特幣拆分為每筆1,000枚。這些紀錄涉及成功交易，與先前轉帳失敗的RLUSD金額不同。

韓國時間上午5時20分至5時22分，波場（TRX）網路上有6億1,270萬枚泰達幣（USDT）和4,640萬枚TRX轉移。上午5時30分至5時35分，Arbitrum（ARB）與Avalanche（AVAX）也陸續出現資金流出。

以太坊（ETH）網路則出現使用委託簽章的交易。韓國時間上午5時20分59秒，攻擊者在單筆交易中提交了50個與幣安14（Binance 14）錢包相關的EIP-7702委託簽章。

每個簽章使用不同的nonce。其中一個nonce與錢包當時的狀態相符，使攻擊者的智慧合約程式碼取得委託執行權限。

韓國時間上午5時24分23秒，一筆資產提領交易將16萬7,464枚以太幣及16億1,500萬枚泰達幣等資產轉至外部地址。這筆交易來自幣安14錢包。

迪克森分析稱，攻擊者在約55分鐘內，透過8條區塊鏈轉移價值約60億7,000萬美元（約8兆1,156億韓元）的資產。幣安則估計，此次事件的整體影響金額約為63億美元（約8兆4,294億韓元）。

幣安在初步調查中表示，攻擊者可能入侵一名DevOps工程師的筆記型電腦，藉此存取服務容器並提交未經授權的提領交易。幣安稱，目前未發現錢包私鑰直接外洩的證據。

迪克森在事件發生約8小時後發布的後續貼文中，將遭竊金額列為63億美元（約8兆4,294億韓元），其中28億3,000萬美元（約3兆7,865億韓元）已遭凍結，另有32億1,000萬美元（約4兆2,950億韓元）仍可轉移。他並轉述，TRM將此事件指向與北韓有關的TraderTraitor活動。

迪克森在同一篇貼文中表示，Arbitrum安全委員會已凍結約3,100萬美元（約415億韓元）的以太坊與Arbitrum資產。他也指出，留在以太坊上的資產正被賣出換成以太幣。

本報先前報導指出，幣安遭資產轉出的錢包內持有用於支撐客戶餘額的加密資產。這次分析則按時間順序呈現RLUSD首次轉帳失敗、8秒後成功轉出XRP，以及後續資金流向多條區塊鏈的過程。