CEO da Binance revela novas falhas em ataque cibernético de US$ 6,3 bi

Investigação se expande além do laptop

A Binance identificou pontos de violação adicionais além do laptop do engenheiro inicialmente suspeito durante a investigação do ataque de US$ 6,3 bilhões, afirmou o co-CEO Richard Teng.

Em um vídeo compartilhado em 30 de outubro, ele declarou: “Isso não foi realizado por uma única pessoa. Nossa investigação inicial sugeriu que o incidente de segurança pode ter envolvido um laptop comprometido; no entanto, nossa investigação subsequente revelou pontos adicionais de violação.”

Teng descreveu a destruição de evidências:

“Este foi um ataque complexo. O invasor também utilizou um mecanismo de autodestruição que destruía ferramentas e rastros à medida que avançava, tornando mais difícil para nós rastrear e investigar.”

Sua declaração anterior, explicando o processo do ataque, enfatizou: “Para ficar claro: o invasor não usou simplesmente as permissões de um único engenheiro, e isso não foi uma ação isolada do tipo ‘um clique’. Envolveu um processo de ataque mais complexo. Nossa investigação não atribuiu responsabilidade a nenhum indivíduo.”

Controles de assinatura são alvo de escrutínio

Ao explicar a falha na aprovação, Teng afirmou: “O invasor utilizou um protocolo conhecido de assinaturas múltiplas, o EIP-7702, para obter aprovação de execução na cadeia de blocos sobre uma carteira ativa. Essa delegação não passou por nossos controles normais de aprovação.” O executivo continuou:

“É por isso que precisamos suspender o serviço de saques para investigar, reconstruir e testar novamente todo o sistema de infraestrutura.”

O recurso EIP-7702 da Ethereum permite que uma carteira autorize o código de um contrato inteligente a agir em seu nome, incluindo a movimentação de ativos. Delegar código malicioso pode dar a um invasor o controle sobre esses ativos, enquanto a aprovação por assinaturas múltiplas é um controle separado que exige várias assinaturas.

Uma análise independente da TRM Labs sobre os sistemas de assinatura da Binance apontou para um comprometimento de sua infraestrutura de assinatura em todas as blockchains. A empresa citou assinaturas válidas de carteiras que utilizavam chaves e esquemas de assinatura diferentes como evidência de que invasores poderiam fazer com que os sistemas da Binance autorizassem transferências. Essa constatação dizia respeito ao controle sobre o processo de assinatura de transações, enquanto Teng não havia relatado nenhuma evidência de vazamento de chave privada.

Separadamente, a avaliação on-chain da Elliptic sobre a violação identificou 50 autorizações pré-assinadas na Ethereum. Uma delas permitia a delegação a um código controlado pelo invasor, o que esvaziava repetidamente a carteira afetada à medida que novos fundos chegavam.

Fundos da empresa garantem a promessa de cobertura

O financiamento corporativo reservado para cobrir as perdas ultrapassou US$ 6,34 bilhões, disse Teng. Desse montante, US$ 5 bilhões já estavam detidos em tokens afetados, incluindo USDC, USDT, BTC, ETH e BNB. As compras restantes de tokens estavam ocorrendo por meio de canais de mercado e de balcão para repor os ativos afetados pelo ataque.

No vídeo, o CEO da Binance comprometeu fundos da empresa para cobrir todas as perdas, enquanto declarações anteriores também mencionaram o Fundo de Ativos Seguros para Usuários (SAFU). Teng tranquilizou os clientes:

“Resumindo: seu dinheiro está seguro, e estamos cobrindo todas as perdas.”

Ele atribuiu a cobertura aos lucros retidos em criptomoedas e descreveu o reinvestimento de longo prazo no negócio e na segurança.

Sobre os ativos mantidos sob custódia da corretora, ele afirmou: “NUNCA utilizamos fundos dos clientes, portanto eles não são afetados. O que foi afetado neste incidente foi a própria carteira quente da Binance. Os ativos dos usuários são mantidos sob a arquitetura de segurança estabelecida pela Binance. A grande maioria fica em carteiras frias e só é transferida para uma carteira quente quando um usuário faz um saque.”

Retomada dos saques aguarda testes

Teng destacou as condições para restabelecer os saques: “Estamos reconstruindo o serviço de saques e não o reativaremos até que ele seja aprovado em testes rigorosos.” Ele acrescentou:

“Estamos muito otimistas de que os usuários poderão realizar saques antes do nosso prazo final no domingo, o que está a caminho de ocorrer dentro de 40 horas.”

A revisão de segurança em toda a empresa estava examinando terminais, infraestrutura em nuvem, gerenciamento de chaves e sistemas de assinatura como parte da resposta.

Atualizações anteriores relataram depósitos normais, a revogação das autorizações dos endereços afetados e aproximadamente US$ 3 bilhões em ativos congelados de parceiros. Órgãos de segurança pública, empresas de inteligência de blockchain, emissores de tokens e outras corretoras estavam buscando a recuperação dos ativos e a responsabilização dos envolvidos. Teng agradeceu aos usuários pela paciência e aos parceiros pela assistência rápida, afirmando que a Binance trabalhou sem parar para indenizar os usuários.

Além dos planos para uma análise técnica pós-incidente após os investigadores verificarem as conclusões, Teng aconselhou os usuários preocupados a verificarem seus saldos e entrarem em contato com o suporte. Teng prometeu um relatório completo de comprovação de reservas até segunda-feira, 2 de novembro, com uma prévia possivelmente disponível antes dessa data.