CEO Binance: nowe luki, ustalenia o ataku hakerskim za 6,3 mld USD

Śledztwo wykracza poza laptop

W trakcie śledztwa w sprawie ataku hakerskiego o wartości 6,3 mld dolarów firma Binance odkryła dodatkowe punkty naruszenia bezpieczeństwa poza początkowo podejrzanym laptopem inżyniera – poinformował współprezes Richard Teng.

W filmie opublikowanym 30 października stwierdził: „Nie była to sprawka jednej osoby. Nasze wstępne dochodzenie sugerowało, że incydent bezpieczeństwa mógł wiązać się z przejęciem laptopa, jednak dalsze śledztwo ujawniło dodatkowe punkty naruszenia”.

Teng opisał zniszczenie dowodów:

„Był to złożony atak. Atakujący wykorzystał również mechanizm samozniszczenia, który na bieżąco niszczył narzędzia i ślady, utrudniając nam śledzenie i prowadzenie dochodzenia”.

W swoim wcześniejszym oświadczeniu wyjaśniającym przebieg ataku podkreślił: „Żeby było jasne: atakujący nie wykorzystał po prostu uprawnień jednego inżyniera i nie była to pojedyncza akcja typu »jedno kliknięcie«. Był to bardziej złożony proces ataku. Nasze dochodzenie nie wskazało żadnej konkretnej osoby jako odpowiedzialnej”.

Kontrola podpisów pod lupą

Wyjaśniając przyczynę niepowodzenia procesu zatwierdzania, Teng stwierdził: „Atakujący wykorzystał znany protokół wielopodpisowy EIP-7702, aby uzyskać zgodę na wykonanie transakcji w łańcuchu bloków za pośrednictwem gorącego portfela. Delegacja ta nie przeszła przez nasze standardowe mechanizmy kontroli zatwierdzania”. Dyrektor dodał:

„Właśnie dlatego musimy wstrzymać usługę wypłat, aby przeprowadzić dochodzenie, przebudować i ponownie przetestować cały system infrastruktury”.

Funkcja EIP-7702 w sieci Ethereum pozwala portfelowi upoważnić kod inteligentnego kontraktu do działania w jego imieniu, w tym do przenoszenia aktywów. Delegowanie złośliwego kodu może dać atakującemu kontrolę nad tymi aktywami, podczas gdy zatwierdzanie wielopodpisowe stanowi odrębny mechanizm kontroli wymagający wielu podpisów.

Niezależna analiza systemów podpisywania Binance przeprowadzona przez TRM Labs wskazała na naruszenie bezpieczeństwa infrastruktury podpisywania w różnych łańcuchach bloków. Firma przytoczyła jako dowód ważne podpisy z portfeli korzystających z różnych kluczy i schematów podpisywania, wskazujące, że atakujący mogli skłonić systemy Binance do autoryzowania przelewów. Ustalenie to dotyczyło kontroli nad procesem podpisywania transakcji, podczas gdy Teng nie zgłosił żadnych dowodów na wyciek klucza prywatnego.

Osobno, ocena naruszenia przeprowadzona przez firmę Elliptic w łańcuchu bloków zidentyfikowała 50 wstępnie podpisanych autoryzacji w sieci Ethereum. Jedna z nich umożliwiła delegowanie uprawnień do kodu kontrolowanego przez atakującego, który wielokrotnie opróżniał dotknięty problemem portfel w miarę napływania nowych środków.

Fundusze firmy zabezpieczają zobowiązanie do pokrycia strat

Środki korporacyjne zarezerwowane na pokrycie strat przekroczyły 6,34 mld dolarów – powiedział Teng. Z tej kwoty 5 mld dolarów było już utrzymywane w postaci dotkniętych atakiem tokenów, w tym USDC, USDT, BTC, ETH i BNB. Pozostałe zakupy tokenów odbywały się za pośrednictwem kanałów rynkowych i pozagiełdowych w celu zastąpienia aktywów dotkniętych atakiem.

W filmie dyrektor generalny Binance zobowiązał się do pokrycia wszystkich strat ze środków firmy, a we wcześniejszych oświadczeniach wspomniano również o Funduszu Bezpiecznych Aktywów dla Użytkowników (SAFU). Teng zapewnił klientów:

„Podsumowując – wasze pieniądze są bezpieczne, a my pokryjemy każdą stratę”.

Jako źródło pokrycia strat wskazał zyski z kryptowalut zatrzymane w firmie oraz opisał długoterminowe reinwestycje w działalność i bezpieczeństwo.

W odniesieniu do aktywów przechowywanych pod nadzorem giełdy stwierdził: „NIGDY nie korzystamy ze środków klientów, więc nie mają one na to wpływu. Incydent ten dotknął wyłącznie własny portfel gorący Binance. Aktywa użytkowników są przechowywane w ramach sprawdzonej architektury bezpieczeństwa Binance. Zdecydowana większość z nich znajduje się w portfelach zimnych i jest przenoszona do portfela gorącego dopiero wtedy, gdy użytkownik dokonuje wypłaty”.

Wznowienie wypłat czeka na testy

Teng nakreślił warunki przywrócenia wypłat: „Odbudowujemy usługę wypłat i nie włączymy jej ponownie, dopóki nie przejdzie rygorystycznych testów”. Dodał również:

„Mamy wielką nadzieję, że użytkownicy będą mogli dokonać wypłat przed naszym niedzielnym terminem, który zgodnie z planem ma nastąpić w ciągu 40 godzin”.

W ramach działań naprawczych przeprowadzono ogólnofirmowy przegląd bezpieczeństwa, obejmujący punkty końcowe, infrastrukturę chmurową, zarządzanie kluczami oraz systemy podpisywania.

Wcześniejsze komunikaty informowały o normalnym przyjmowaniu wpłat, cofnięciu uprawnień dla adresów, których dotyczyła awaria, oraz o zamrożeniu aktywów od partnerów o wartości około 3 miliardów dolarów. Organy ścigania, firmy zajmujące się analizą danych blockchain, emitenci tokenów oraz inne giełdy dążyły do odzyskania środków i ustalenia odpowiedzialności. Teng podziękował użytkownikom za cierpliwość, a partnerom za szybką pomoc, dodając, że Binance pracowało bez przerwy, aby zrekompensować straty użytkowników.

Oprócz planów przeprowadzenia technicznej analizy po zweryfikowaniu ustaleń przez śledczych, Teng poradził zaniepokojonym użytkownikom, aby sprawdzili swoje salda i skontaktowali się z obsługą klienta. Teng zobowiązał się do przedstawienia pełnego raportu potwierdzającego rezerwy do poniedziałku, 2 listopada, przy czym wstępne informacje mogą być dostępne wcześniej.