CEO Binance onthult nieuwe bevindingen over hack van $6,3 mrd

Onderzoek breidt zich uit tot buiten de laptop

Binance heeft tijdens het onderzoek naar de hack van 6,3 miljard dollar nog meer inbraakpunten ontdekt dan de aanvankelijk verdachte laptop van een ingenieur, aldus co-CEO Richard Teng.

In een video die op 30 oktober werd gedeeld, verklaarde hij: "Dit is niet door één persoon uitgevoerd. Ons eerste onderzoek wees erop dat het beveiligingsincident mogelijk te maken had met een gecompromitteerde laptop, maar ons verdere onderzoek heeft aanvullende inbreukpunten aan het licht gebracht."

Teng beschreef de vernietiging van bewijsmateriaal:

"Dit was een complexe aanval. De aanvaller maakte ook gebruik van een zelfvernietigingsmechanisme dat gereedschappen en sporen gaandeweg vernietigde, waardoor het voor ons moeilijker werd om de aanval te traceren en te onderzoeken."

In zijn eerdere verklaring waarin hij het aanvalsproces toelichtte, benadrukte hij: "Voor alle duidelijkheid: de aanvaller heeft niet simpelweg de toegangsrechten van één ingenieur gebruikt, en dit was geen enkele 'één-klik'-actie. Het betrof een complexer aanvalsproces. Ons onderzoek heeft de verantwoordelijkheid niet aan een specifiek individu toegeschreven."

Controles op ondertekening onder de loep

Teng legde de mislukte goedkeuring als volgt uit: "De aanvaller maakte gebruik van het bekende multi-signature-protocol EIP-7702 om on-chain uitvoeringsgoedkeuring te verkrijgen voor een hot wallet. Die delegatie kwam niet door onze normale goedkeuringscontroles heen." De directeur vervolgde:

"Daarom moeten we de opnameservice tijdelijk opschorten om het gehele infrastructuursysteem te onderzoeken, opnieuw op te bouwen en opnieuw te testen."

Met de EIP-7702-functie van Ethereum kan een wallet smart contract-code machtigen om namens hem te handelen, waaronder het verplaatsen van activa. Het delegeren van kwaadaardige code kan een aanvaller controle geven over die bezittingen, terwijl goedkeuring via multisignature een afzonderlijke controle is waarvoor meerdere handtekeningen vereist zijn.

Een onafhankelijke analyse door TRM Labs van de ondertekeningssystemen van Binance wees op een inbreuk op de ondertekeningsinfrastructuur van het bedrijf over verschillende blockchains heen. Het bedrijf noemde geldige handtekeningen van wallets die verschillende sleutels en ondertekeningsschema’s gebruikten als bewijs dat aanvallers de systemen van Binance konden laten instemmen met overboekingen. Die bevinding betrof de controle over het ondertekeningsproces van transacties, terwijl Teng had gemeld dat er geen bewijs was voor een lek van privésleutels.

Los daarvan identificeerde Elliptic’s on-chain-beoordeling van het beveiligingslek 50 vooraf ondertekende autorisaties op Ethereum. Eén daarvan maakte delegatie mogelijk naar door aanvallers gecontroleerde code, die de getroffen wallet herhaaldelijk leeghaalde zodra er nieuwe middelen binnenkwamen.

Bedrijfsmiddelen ondersteunen de belofte tot dekking

De bedrijfsmiddelen die waren gereserveerd om de verliezen te dekken, bedroegen meer dan 6,34 miljard dollar, aldus Teng. Daarvan was 5 miljard dollar al aangehouden in de getroffen tokens, waaronder USDC, USDT, BTC, ETH en BNB. De resterende aankoop van tokens verliep via de markt en over-the-counter-kanalen om de door de hack getroffen activa te vervangen.

In de video beloofde de CEO van Binance dat bedrijfsmiddelen zouden worden ingezet om alle verliezen te dekken, terwijl in eerdere verklaringen ook het Secure Asset Fund for Users (SAFU) werd genoemd. Teng had klanten gerustgesteld:

"Kortom: uw geld is veilig en wij dekken elk verlies."

Hij schreef de dekking toe aan ingehouden crypto-inkomsten en beschreef herinvesteringen op lange termijn in het bedrijf en de beveiliging.

Over activa die onder beheer van de beurs worden gehouden, verklaarde hij: "We gebruiken NOOIT geld van klanten, dus dat wordt niet aangetast. Wat bij dit incident werd getroffen, was de eigen hot wallet van Binance. De activa van gebruikers worden bewaard binnen de gevestigde beveiligingsarchitectuur van Binance. Het overgrote deel bevindt zich in cold wallets en wordt alleen naar een hot wallet verplaatst wanneer een gebruiker een opname doet.”

Herstart van opnames wacht op tests

Teng schetste de voorwaarden voor het hervatten van opnames: "We zijn bezig met het opnieuw opzetten van de opnameservice en we schakelen deze pas weer in nadat deze strenge tests heeft doorstaan." Hij voegde hieraan toe:

"We hebben er alle vertrouwen in dat gebruikers nog vóór onze deadline op zondag geld kunnen opnemen; het ziet ernaar uit dat dit binnen 40 uur zal gebeuren."

Als onderdeel van de respons werden bij de bedrijfsbrede beveiligingsbeoordeling eindpunten, cloudinfrastructuur, sleutelbeheer en ondertekeningssystemen onderzocht.

Eerdere updates meldden normale stortingen, ingetrokken autorisaties voor getroffen adressen en ongeveer 3 miljard dollar aan bevroren activa van partners. Wetshandhavingsinstanties, blockchain-inlichtingenbedrijven, tokenuitgevers en andere beurzen streefden naar terugvordering en verantwoording. Teng bedankte gebruikers voor hun geduld en partners voor hun snelle hulp, en zei dat Binance non-stop werkte om gebruikers schadeloos te stellen.

Naast plannen voor een technische evaluatie nadat onderzoekers de bevindingen hadden geverifieerd, adviseerde Teng bezorgde gebruikers om hun saldi te controleren en contact op te nemen met de klantenservice. Teng beloofde een volledig ‘proof-of-reserves’-rapport tegen maandag 2 november, waarbij een eerste overzicht mogelijk eerder beschikbaar zou zijn.