Binance riprende prelievi, piano risanamento da 6,3 miliardi dopo hacker

I prelievi devono superare i controlli di sicurezza prima della ripresa graduale

Il 30 ottobre, nel suo secondo aggiornamento sugli incidenti di sicurezza, Binance ha delineato un piano di recupero dall’attacco hacker articolato in quattro fasi, con l’obiettivo di avviare il ripristino dei prelievi entro circa 34 ore dall’aggiornamento. La ripresa graduale dei prelievi rimaneva subordinata al completamento dei controlli di sicurezza, alle misure correttive e alla convalida dei sistemi interessati. I depositi e gli altri servizi non interessati sono rimasti operativi, secondo l’annuncio.

I co-amministratori delegati Yi He e Richard Teng hanno firmato l’aggiornamento, in cui si stima che la violazione dell’hot wallet sia avvenuta alle 20:05 circa (UTC) del 29 ottobre. Riguardo alla perdita stimata di 6,3 miliardi di dollari, la dichiarazione ha sottolineato:

"Binance si farà carico dell’impatto finanziario di questi fondi rubati, non i nostri utenti."

L’exchange si è impegnata a coprire le perdite attraverso il proprio Secure Asset Fund for Users (SAFU) e la tesoreria aziendale, ovvero le riserve finanziarie della società.

Gli acquisti di token e il congelamento degli asset sostengono la ripresa

Dei oltre 6,34 miliardi di dollari di fondi aziendali riservati alle perdite, 5 miliardi erano già detenuti nelle attività in token interessate, ha affermato Binance. Tali partecipazioni corrispondevano a circa l’80% delle perdite relative ad asset quali USDC, USDT, BTC, ETH e BNB. Erano in corso acquisti tramite canali di mercato e over-the-counter per ottenere i token rimanenti necessari a coprire le perdite. Circa 3 miliardi di dollari erano stati congelati on-chain, ha riferito Binance, mentre proseguivano le operazioni di recupero in collaborazione con le forze dell’ordine, gli emittenti di token, le società di intelligence e altre piattaforme di scambio. L’analisi indipendente condotta dalla società di analisi blockchain Elliptic sul tracciamento e il congelamento delle risorse rubate ha stimato i congelamenti verificati a 2,84 miliardi di dollari al momento dell’aggiornamento delle 8:00 UTC del 30 ottobre, riguardanti prevalentemente USDT e USDC. I fondi congelati rimanevano oggetto di operazioni di recupero.

Gli investigatori che rintracciano le risorse rubate possono esaminare i saldi dei portafogli e i trasferimenti attraverso i registri pubblici delle transazioni sulla blockchain. Separatamente, Binance ha pianificato un primo snapshot di prova delle riserve entro 12 ore dal proprio annuncio. I risultati erano attesi per lunedì 2 novembre e avrebbero mostrato le disponibilità della piattaforma a fronte dei saldi dei clienti.

L’indagine ampliata esamina gli accessi di firma

I primi risultati relativi alla compromissione del portatile suggerivano che il computer di un ingegnere DevOps compromesso avesse consentito l’invio di richieste di prelievo non autorizzate. Gli ingegneri DevOps si occupano della distribuzione del software e dell’infrastruttura che lo supporta. Binance ha affermato di non aver trovato prove di fughe di chiavi private dei portafogli.

Un altro video di Teng, pubblicato il 30 ottobre, descriveva ulteriori punti di violazione, controlli di approvazione aggirati e un meccanismo di autodistruzione che ha eliminato strumenti e tracce. Binance ha dichiarato di aver isolato l’infrastruttura compromessa, revocato le autorizzazioni interessate e introdotto ulteriori controlli contro le attività non autorizzate. Specialisti interni ed esterni stavano lavorando per ricostruire l’intera sequenza dell’attacco.

L’analisi della società di sicurezza blockchain Hypernative ha identificato un accesso di firma compromesso e firme valide provenienti da chiavi controllate da Binance. Ha descritto l’uso dell’EIP-7702, una funzionalità di Ethereum che consente a un normale portafoglio di eseguire codice di smart contract, per far funzionare codice controllato dall’autore dell’attacco attraverso un portafoglio Binance. Binance prevedeva di disporre di ulteriori risultati tecnici verificati entro circa 48 ore dall’annuncio, fatte salve le considerazioni relative alle indagini, seguiti da un’analisi post-mortem dettagliata riguardante l’attacco e le misure di protezione.