Binance wznawia wypłaty i plan naprawczy po ataku hakerów za 6,3 mld USD

Wypłaty podlegają kontrolom bezpieczeństwa przed stopniowym wznowieniem

30 października w drugiej aktualizacji dotyczącej incydentu bezpieczeństwa Binance przedstawiło czteroczęściowy plan naprawy skutków ataku hakerskiego, zakładający wznowienie wypłat w ciągu około 34 godzin od opublikowania aktualizacji. Stopniowe wznowienie wypłat pozostawało uzależnione od zakończenia kontroli bezpieczeństwa, naprawy i walidacji systemów, których dotyczyła awaria. Zgodnie z komunikatem wpłaty i inne usługi, które nie uległy naruszeniu, nadal funkcjonowały.

Współprezesi Yi He i Richard Teng podpisali komunikat, w którym podano, że do włamania do portfela typu hot wallet doszło około godziny 20:05 czasu UTC 29 października. Odnosząc się do szacowanej straty w wysokości 6,3 mld dolarów, w oświadczeniu podkreślono:

„To Binance poniesie finansowe konsekwencje kradzieży tych środków, a nie nasi użytkownicy”.

Giełda zobowiązała się do pokrycia strat ze środków funduszu Secure Asset Fund for Users (SAFU) oraz z rezerw finansowych firmy.

Zakup tokenów i zamrożenie aktywów jako podstawa odbudowy

Binance poinformowało, że ponad 6,34 mld dolarów środków firmowych zarezerwowanych na pokrycie strat obejmowało 5 mld dolarów już posiadanych w postaci dotkniętych incydentem aktywów tokenowych. Aktywa te pokrywały około 80% strat dotyczących aktywów takich jak USDC, USDT, BTC, ETH i BNB. Trwały zakupy na rynku oraz w obrocie pozagiełdowym w celu pozyskania pozostałych tokenów o tej samej wartości.

Binance poinformowało, że w łańcuchu bloków zamrożono około 3 mld dolarów, a działania mające na celu odzyskanie środków były kontynuowane we współpracy z organami ścigania, emitentami tokenów, firmami wywiadowczymi oraz innymi giełdami. Niezależna analiza firmy Elliptic, zajmującej się analityką łańcucha bloków, dotycząca śledzenia i zamrożenia skradzionych aktywów wykazała, że na dzień 30 października o godz. 8:00 czasu UTC wartość zweryfikowanych zamrożonych środków wynosiła 2,84 mld dolarów, przy czym dotyczyły one głównie USDT i USDC. Zamrożone środki nadal były przedmiotem działań mających na celu ich odzyskanie.

Śledczy zajmujący się namierzaniem skradzionych aktywów mogą sprawdzać salda portfeli i przelewy za pomocą publicznych rejestrów transakcji w łańcuchu bloków. Osobno Binance zaplanowało wykonanie wstępnego zrzutu ekranu potwierdzającego rezerwy w ciągu 12 godzin od ogłoszenia. Wyniki miały być znane do poniedziałku, 2 listopada, i miały przedstawiać stan aktywów platformy w porównaniu z saldami klientów.

Rozszerzone śledztwo dotyczy uprawnień do podpisywania transakcji

Wstępne ustalenia dotyczące włamania do laptopa sugerowały, że komputer inżyniera DevOps, który padł ofiarą ataku, umożliwił złożenie nieautoryzowanych zleceń wypłat. Inżynierowie DevOps zajmują się wdrażaniem oprogramowania oraz obsługą infrastruktury je wspierającej. Binance utrzymywało, że nie znalazło żadnych dowodów na wyciek prywatnych kluczy do portfeli.

W osobnym filmie z 30 października Teng opisał dodatkowe punkty naruszenia, ominięte mechanizmy kontroli zatwierdzania oraz mechanizm samozniszczenia, który zniszczył narzędzia i ślady. Binance poinformowało, że zneutralizowało zainfekowaną infrastrukturę, cofnęło dotknięte tym incydentem uprawnienia oraz wprowadziło dodatkowe mechanizmy kontroli zapobiegające nieautoryzowanej aktywności. Specjaliści wewnętrzni i zewnętrzni pracowali nad odtworzeniem pełnej sekwencji ataku.

Analiza przeprowadzona przez firmę Hypernative, zajmującą się bezpieczeństwem łańcuchów bloków, wykazała naruszenie dostępu do podpisywania oraz obecność ważnych podpisów pochodzących z kluczy kontrolowanych przez Binance. Opisano w niej wykorzystanie EIP-7702 – funkcji sieci Ethereum, która pozwala zwykłemu portfelowi na wykonywanie kodu kontraktu inteligentnego – w celu uruchomienia kodu kontrolowanego przez atakującego za pośrednictwem portfela Binance. Binance spodziewało się dalszych zweryfikowanych ustaleń technicznych w ciągu około 48 godzin od ogłoszenia, z zastrzeżeniem wyników dochodzenia, a następnie opublikowania szczegółowej analizy po incydencie obejmującej atak i środki zabezpieczające.