По информации издания BlockBeats, 30 октября инженер-разработчик протоколов, Джастин Калланд, опубликовал сообщение, в котором говорится, что адрес, предположительно связанный с атакой на горячий кошелек Binance, после перевода около 175 миллионов USDT на новый кошелек, примерно через 2,5 минуты получил 2 ETH. Несмотря на наличие достаточного количества газа, был использован сервис MetaMask Gas Station. В одном и том же блоке последовательно происходили следующие события: пополнение ETH через Gas Station, предоставление неограниченного разрешения на перевод USDT через маршрутизатор Kyber, а также оплата примерно 127,67 USDT через Gas Station. Сумма пополнения ETH точно совпадала с максимальным бюджетом газа для обеих транзакций, до единицы wei.

Аналитики отмечают, что это могло произойти из-за того, что злоумышленники, используя кошелек MetaMask, поспешно выбрали USDT для оплаты газа. Транзакции, обрабатываемые через MetaMask Sentinel, проходят через специальный канал, отличный от обычного RPC, и могут оставлять внецепочные логи, содержащие, например, IP-адреса. Калланд заявил, что среди проверенных им кошельков, связанных с атакой, только этот адрес содержит записи об использовании Gas Station, и призвал компанию MetaMask сохранить соответствующие логи Web2. Адрес, участвовавший в инциденте, – 0xAa246BF639586a6Ba46762D378CE50cA4fc654a0.