CEO de Binance revela puntos vulnerables tras ciberataque de $6.3B

La investigación se amplía más allá del ordenador portátil

Binance ha encontrado otros puntos de brecha más allá del portátil del ingeniero, inicialmente sospechoso, mientras investigaba el hackeo de 6.3 mil millones de dólares, según ha declarado el codirector ejecutivo Richard Teng.

En un vídeo compartido el 30 de octubre, declaró: «Esto no lo llevó a cabo una sola persona. Nuestra investigación inicial sugería que el incidente de seguridad podría haber estado relacionado con un ordenador portátil comprometido; sin embargo, nuestra investigación posterior ha revelado puntos de intrusión adicionales». Teng describió la destrucción de pruebas:

«Se trató de un ataque complejo. El atacante también utilizó un mecanismo de autodestrucción que eliminaba las herramientas y los rastros a medida que avanzaba, lo que nos dificultó el seguimiento y la investigación».

En su declaración anterior, en la que explicaba el proceso del ataque, hizo hincapié en lo siguiente: «Que quede claro: el atacante no se limitó a utilizar los permisos de un solo ingeniero, y no se trató de una simple acción de “un solo clic”. Implicó un proceso de ataque más complejo. Nuestra investigación no ha atribuido la responsabilidad a ninguna persona en concreto».

Los controles de firma, bajo la lupa

Al explicar el fallo en la aprobación, Teng declaró: «El atacante utilizó un protocolo conocido de multifirma, el EIP-7702, para obtener la aprobación de ejecución en cadena sobre un monedero activo. Esa delegación no superó nuestros controles de aprobación habituales». El ejecutivo continuó:

«Por eso tenemos que suspender el servicio de retiradas para investigar, reconstruir y volver a probar todo el sistema de infraestructura».

La función EIP-7702 de Ethereum permite que una cartera autorice al código de un contrato inteligente a actuar en su nombre, incluida la transferencia de activos. La delegación de código malicioso puede otorgar a un atacante el control sobre esos activos, mientras que la aprobación mediante multifirma es un control independiente que requiere varias firmas.

Un análisis independiente de TRM Labs sobre los sistemas de firma de Binance señaló una vulneración de su infraestructura de firma en todas las cadenas de bloques. La empresa citó firmas válidas procedentes de carteras que utilizaban diferentes claves y esquemas de firma como prueba de que los atacantes podían hacer que los sistemas de Binance autorizaran transferencias. Ese hallazgo se refería al control sobre el proceso de firma de transacciones, mientras que Teng no había informado de ninguna prueba de fuga de claves privadas.

Por otra parte, la evaluación en cadena de la brecha realizada por Elliptic identificó 50 autorizaciones prefirmadas en Ethereum. Una de ellas permitía la delegación a código controlado por el atacante, lo que vaciaba repetidamente la cartera afectada a medida que llegaban nuevos fondos.

Los fondos de la empresa respaldan el compromiso de cobertura

Los fondos corporativos reservados para cubrir las pérdidas superaron los 6.34 mil millones de dólares, según Teng. De esa cantidad, 5.000 millones de dólares ya se encontraban en tokens afectados, entre ellos USDC, USDT, BTC, ETH y BNB. Las compras restantes de tokens se estaban llevando a cabo a través del mercado y de canales extrabursátiles para reemplazar los activos afectados por el hackeo.

En el vídeo, el director ejecutivo de Binance se comprometió a destinar fondos de la empresa para cubrir todas las pérdidas, mientras que en declaraciones anteriores también se había mencionado el Fondo de Activos Seguros para los Usuarios (SAFU, por sus siglas en inglés). Teng había tranquilizado a los clientes:

«En definitiva: vuestro dinero está a salvo y cubriremos todas las pérdidas».

Atribuyó a los beneficios retenidos en criptomonedas el haber hecho posible dicha cobertura y describió la reinversión a largo plazo en el negocio y en la seguridad. En cuanto a los activos custodiados por la plataforma, declaró: «NUNCA utilizamos fondos de los clientes, por lo que estos no se ven afectados. Lo que se vio afectado en este incidente fue la propia cartera caliente de Binance. Los activos de los usuarios se mantienen bajo la arquitectura de seguridad establecida por Binance. La gran mayoría se encuentra en carteras frías y solo se transfieren a una cartera caliente cuando un usuario realiza una retirada».

La reanudación de los retiros está pendiente de pruebas

Teng describió las condiciones para restablecer los retiros: «Estamos reconstruyendo el servicio de retiros y no lo reactivaremos hasta que supere unas pruebas rigurosas». Además, añadió:

«Tenemos muchas esperanzas de que los usuarios puedan realizar retiradas antes de nuestro plazo límite del domingo, que, según lo previsto, se cumplirá en un plazo de 40 horas».

La revisión de seguridad a nivel de toda la empresa estaba examinando los puntos finales, la infraestructura en la nube, la gestión de claves y los sistemas de firma como parte de la respuesta.

En actualizaciones anteriores se informó de que los depósitos se realizaban con normalidad, se habían revocado las autorizaciones de las direcciones afectadas y se habían congelado activos por valor de aproximadamente 3.000 millones de dólares de los socios. Las fuerzas del orden, las empresas de inteligencia de blockchain, los emisores de tokens y otras plataformas de intercambio estaban trabajando para recuperar los fondos y exigir responsabilidades. Teng agradeció a los usuarios su paciencia y a los socios su rápida ayuda, y afirmó que Binance trabajaba sin descanso para resarcir a los usuarios.

Además de los planes para realizar un análisis técnico a posteriori una vez que los investigadores hubieran verificado las conclusiones, Teng aconsejó a los usuarios preocupados que comprobaran sus saldos y se pusieran en contacto con el servicio de atención al cliente. Teng se comprometió a presentar un informe completo de prueba de reservas antes del lunes 2 de noviembre, aunque podría haber un avance disponible antes.