CEO Binance: nuove scoperte sull’hackeraggio da 6,3 miliardi$

L’indagine si estende oltre il portatile

Binance ha individuato ulteriori punti di violazione oltre al portatile dell’ingegnere inizialmente sospettato durante le indagini sull’attacco hacker da 6,3 miliardi di dollari, ha dichiarato il co-CEO Richard Teng.

In un video condiviso il 30 ottobre, ha dichiarato: "Non si è trattato di un'azione compiuta da una sola persona. La nostra indagine iniziale suggeriva che l'incidente di sicurezza potesse aver coinvolto un laptop compromesso, tuttavia le indagini successive hanno portato alla luce ulteriori punti di violazione." Teng ha descritto la distruzione delle prove:

«Si è trattato di un attacco complesso. L’autore dell’attacco ha anche utilizzato un meccanismo di autodistruzione che ha eliminato strumenti e tracce man mano che procedeva, rendendo più difficile per noi rintracciare e indagare».

Nella sua precedente dichiarazione, in cui spiegava il processo dell’attacco, aveva sottolineato: «Per essere chiari: l’autore dell’attacco non si è limitato a utilizzare le autorizzazioni di un singolo ingegnere, e non si è trattato di una singola azione “con un clic”. Si è trattato di un processo di attacco più complesso. La nostra indagine non ha attribuito la responsabilità a nessun individuo».

I controlli sulle firme sotto esame

Spiegando il fallimento dell’approvazione, Teng ha dichiarato: «L’autore dell’attacco ha utilizzato un protocollo a firme multiple noto, l’EIP-7702, per ottenere l’approvazione all’esecuzione on-chain su un hot wallet. Tale delega non ha superato i nostri normali controlli di approvazione». Il dirigente ha proseguito:

«Ecco perché dobbiamo sospendere il servizio di prelievo per indagare, ricostruire e testare nuovamente l’intero sistema infrastrutturale».

La funzionalità EIP-7702 di Ethereum consente a un wallet di autorizzare il codice di uno smart contract ad agire per suo conto, compreso il trasferimento di asset. La delega di codice dannoso può consentire a un hacker di assumere il controllo di tali asset, mentre l’approvazione multisignature rappresenta un controllo separato che richiede più firme.

Un’analisi indipendente condotta da TRM Labs sui sistemi di firma di Binance ha evidenziato una compromissione della sua infrastruttura di firma su diverse blockchain. L’azienda ha citato firme valide provenienti da portafogli che utilizzavano chiavi e schemi di firma diversi come prova del fatto che gli aggressori potessero indurre i sistemi di Binance ad autorizzare i trasferimenti. Tale scoperta riguardava il controllo sul processo di firma delle transazioni, mentre Teng non aveva segnalato alcuna prova di una fuga di chiavi private.

Separatamente, la valutazione on-chain della violazione condotta da Elliptic ha identificato 50 autorizzazioni pre-firmate su Ethereum. Una di queste consentiva la delega a codice controllato dall’autore dell’attacco, che ha ripetutamente prosciugato il portafoglio interessato man mano che arrivavano nuovi fondi.

I fondi aziendali sostengono l’impegno di copertura

I fondi aziendali riservati a copertura delle perdite hanno superato i 6,34 miliardi di dollari, ha affermato Teng. Di questi, 5 miliardi di dollari erano già detenuti in token interessati, tra cui USDC, USDT, BTC, ETH e BNB. Gli acquisti dei token rimanenti stavano procedendo attraverso canali di mercato e over-the-counter per sostituire le risorse colpite dall’attacco.

Nel video, il CEO di Binance ha stanziato fondi aziendali per coprire tutte le perdite, mentre dichiarazioni precedenti avevano già menzionato il Secure Asset Fund for Users, o SAFU. Teng aveva rassicurato i clienti:

«In sintesi: i vostri soldi sono al sicuro e copriremo ogni perdita».

Ha attribuito ai profitti in criptovalute trattenuti il merito di aver reso possibile tale copertura e ha descritto il reinvestimento a lungo termine nell’attività e nella sicurezza. Riguardo alle risorse detenute sotto la custodia dell’exchange, ha dichiarato: «Non utilizziamo MAI i fondi dei clienti, quindi questi non subiscono alcun impatto. Ciò che è stato colpito in questo incidente è stato l’hot wallet di Binance stesso. Le risorse degli utenti sono custodite secondo l’architettura di sicurezza consolidata di Binance. La stragrande maggioranza si trova in cold wallet e viene trasferita in un hot wallet solo quando un utente effettua un prelievo.”

La ripresa dei prelievi è in attesa di test

Teng ha illustrato le condizioni per il ripristino dei prelievi: «Stiamo ricostruendo il servizio di prelievo e non lo riattiveremo finché non avrà superato test rigorosi». Ha inoltre aggiunto:

"Siamo molto fiduciosi che gli utenti potranno effettuare prelievi prima della nostra scadenza di domenica, che, secondo le previsioni, avverrà entro 40 ore."

La revisione della sicurezza a livello aziendale stava esaminando gli endpoint, l’infrastruttura cloud, la gestione delle chiavi e i sistemi di firma come parte della risposta.

Aggiornamenti precedenti avevano segnalato depositi regolari, la revoca delle autorizzazioni degli indirizzi interessati e circa 3 miliardi di dollari in asset congelati presso i partner. Le forze dell’ordine, le società di intelligence blockchain, gli emittenti di token e altre piattaforme di scambio stavano perseguendo il recupero dei fondi e l’attribuzione delle responsabilità. Teng ha ringraziato gli utenti per la loro pazienza e i partner per la loro rapida assistenza, affermando che Binance ha lavorato senza sosta per risarcire gli utenti.

Oltre ai piani per un’analisi tecnica post-incidente una volta che gli investigatori avessero verificato i risultati, Teng ha consigliato agli utenti preoccupati di controllare i propri saldi e di contattare l’assistenza. Teng ha promesso un rapporto completo sulla prova delle riserve entro lunedì 2 novembre, con una prima anteprima potenzialmente disponibile prima di tale data.