Hack bij Binance onthult 3 ‘volledig vermijdbare’ kwetsbaarheden, zegt Coinex-oprichter

Meningen van veteranen uit de sector

De oprichter van de concurrerende beurs Coinex gaf zijn mening over de grootste diefstal in de geschiedenis van cryptovaluta en verklaarde dat het beveiligingslek bij Binance „ten minste drie cruciale fouten aan het licht bracht die volledig te vermijden waren”. Yang voegde er verder aan toe dat het een gebrek aan operationele discipline betrof, in plaats van een gebrek aan geavanceerde technologie.

Zijn opmerkingen kwamen op een moment dat Binance bezig is met het verwerken van de gevolgen van een inbreuk waarbij volgens de beurs op 29 oktober ongeveer 6,34 miljard dollar aan activa uit de hot wallets is weggevloeid. De FBI schreef de aanval toe aan de Noord-Koreaanse groep Tradertraitor.

De drie fouten

De lijst van Yang luidt als volgt:

• Er was geen scheiding tussen werk- en privécomputers: Yang zei dat de ontwikkelings- en operationele omgevingen „niet volledig van elkaar waren geïsoleerd“. Medewerkers met toegang tot productiesystemen hadden volgens hem speciale apparaten moeten gebruiken (waarbij al het coderen, chatten en surfen op het web op een aparte machine plaatsvond). Dit punt komt rechtstreeks overeen met wat Binance in zijn meest recente analyse na het incident heeft bekendgemaakt.
• Eén sleutel kon de productieomgeving bedienen: Yang zei dat één enkele inlogcode voldoende was om productiediensten te bedienen, wat betekent dat één lek aanvallers volledige toegang gaf. Hij stelde een browsergebaseerde sessiemanager voor, vergelijkbaar met de Session Manager van Amazon Web Services (AWS), met hardwarebeveiligingssleutels als tweede factor, zodat één gestolen inlogcode niet direct tot een inbreuk zou leiden.
• Multi-signature bestaat alleen op papier. Yangs derde punt richtte zich op de multi-party computation (MPC)-opzet van Binance, een methode waarbij de ondertekeningsbevoegdheid over meerdere partijen wordt verdeeld. Hij zei dat de ondertekenaars transacties niet op een zinvolle manier verifieerden, waardoor het compromitteren van één knooppunt hetzelfde effect had als een enkele handtekening. Multi-signature werkt volgens hem alleen als elke ondertekenaar de transactie onafhankelijk controleert, in plaats van te vertrouwen op het verzoek dat van hogerhand komt.

Binance over de gebeurtenissen

Het eigen verslag van Binance ondersteunt de hoofdlijnen van Yangs kritiek, aangezien mede-CEO Richard Teng tegen CNBC zei dat de aanvallers na de nep-sollicitatiegesprekken „zich met geweld een weg baanden door onze interne AI-tools“ en toegang kregen tot „het systeem dat onze portemonneetransacties autoriseerde“. Zoals Bitcoin.com News meldde, werd in de analyse na afloop het beveiligingslek in verband gebracht met een nep-sollicitatiegesprek en gecompromitteerde kunstmatige-intelligentie-tools (AI).

De beurs heeft sindsdien het getroffen walletsysteem opnieuw opgebouwd, apparaten vervangen, inloggegevens ingetrokken en de risicocontroles voor de walletdienst versterkt. Teng vertelde Fox Business ook dat het „bedrijf de volledige verantwoordelijkheid draagt“, terwijl hij tevens opmerkte dat 98% van de getroffen activa is aangevuld.

Yang is niet de enige die de hack bestempelt als een falen in het risicobeheer. Austin Campbell, oprichter van Zero Knowledge Group, vertelde cryptomedia dat „crypto nooit is ontworpen met het oog op beveiliging buiten de technologische sector“, waarna hij opriep tot een 24-uurs opschorting van overboekingen ter waarde van miljarden dollars.

Een criticus met een persoonlijk belang

De kritiek van Yang speelt zich af tegen een ongebruikelijke achtergrond, aangezien hij in september aankondigde dat Coinex een ordelijke sluiting zou doorvoeren, waarbij opnames mogelijk zouden blijven tot 22 december 2026. Hij zei toen dat de veiligheids- en nalevingsrisico’s van het runnen van een beurs moeilijker te beheersen waren geworden, en voegde eraan toe dat „het nemen van onbeperkte risico’s voor beperkte inkomsten niet langer een rationele keuze is“.

Met andere woorden: de oprichter die de mislukkingen van Binance onder de loep nam, besloot dat het niet de moeite waard was om dezelfde risico’s bij zijn eigen bedrijf te lopen.

Ten slotte is het vermeldenswaard dat geen van de maatregelen die Yang heeft genomen exotisch is; d.w.z. apparaatscheiding, hardwaresleutels en controles door onafhankelijke ondertekenaars zijn allemaal standaardadvies voor elke grote onderneming. Het feit dat een bedrijf met de middelen van Binance door die hiaten werd verslagen, maakt zijn bericht des te pijnlijker.

De rekening is hoe dan ook hoog opgelopen: volgens één analyse heeft Binance mogelijk ongeveer de helft van zijn winst over vijf jaar verloren aan boetes en hacks. Nu hackers gestolen geld over 12.000 wallets hebben verspreid, zullen andere beurzen waarschijnlijk met dezelfde vraag worden geconfronteerd die Yang zojuist stelde: zijn hun basiszaken wel op orde?