Atacul cibernetic asupra Binance a expus 3 vulnerabilități, spune Coinex

Părerile veteranilor din industrie

Fondatorul bursei rivale Coinex și-a exprimat opinia cu privire la cel mai mare furt din istoria criptomonedelor, afirmând că breșa de securitate de la Binance a scos la iveală „cel puțin trei greșeli critice care ar fi putut fi evitate în totalitate”. Yang a adăugat, de asemenea, că a fost vorba mai degrabă de o lipsă de disciplină operațională decât de o lipsă de tehnologie sofisticată.

Comentariile sale au venit într-un moment în care Binance se confruntă cu consecințele unei breșe de securitate care, potrivit bursei, a dus la sustragerea a aproximativ 6,34 miliarde de dolari în active din portofelele sale „hot” pe 29 octombrie. FBI a atribuit atacul grupului nord-coreean Tradertraitor.

Cele trei greșeli

Lista lui Yang este următoarea:

• Nu s-a făcut distincția între activitatea profesională și cea personală: Yang a afirmat că mediile de dezvoltare și de operațiuni „nu erau complet izolate”. El a susținut că personalul cu acces la sistemele de producție ar fi trebuit să utilizeze dispozitive dedicate (toate activitățile de programare, chat și navigare pe web fiind gestionate pe un computer separat). Acest aspect corespunde exact cu ceea ce a dezvăluit Binance în cea mai recentă analiză post-incident.
• O singură cheie putea rula serviciile de producție: Yang a afirmat că o singură credențială era suficientă pentru a opera serviciile de producție, ceea ce înseamnă că o singură scurgere de informații le-a oferit atacatorilor acces deplin. El a sugerat un manager de sesiuni bazat pe browser, similar cu Session Manager-ul de la Amazon Web Services (AWS), cu chei de securitate hardware ca al doilea factor de autentificare, astfel încât o singură credențială furată să nu conducă la o breșă de securitate.
• Multisemnătura există doar pe hârtie. Al treilea punct al lui Yang a vizat configurația de calcul multipartit (MPC) a Binance, o metodă care împarte autoritatea de semnare între mai multe părți. El a afirmat că semnatarii nu verificau tranzacțiile în mod semnificativ, astfel încât compromiterea unui singur nod avea același efect ca o singură semnătură. Semnătura multiplă funcționează, a susținut el, doar atunci când fiecare semnatar verifică independent tranzacția, în loc să se bazeze pe cererea venită din amonte.

Relatarea evenimentelor de către Binance

Propria relatare a Binance susține esența criticii lui Yang, întrucât co-CEO-ul Richard Teng a declarat pentru CNBC că, după interviurile false, atacatorii „au pătruns cu forță prin instrumentele noastre interne de IA” și au obținut acces la „sistemul care autoriza tranzacțiile din portofelul nostru”. Așa cum a raportat Bitcoin.com News, analiza ulterioară a legat breșa de securitate de un interviu fals de angajare și de instrumentele de inteligență artificială (IA) compromise.

De atunci, bursa a reconstruit sistemul de portofele afectat, a înlocuit dispozitivele, a revocat acreditările și a consolidat controalele de risc ale serviciului de portofele. Teng a mai declarat pentru Fox Business că „compania își asumă întreaga responsabilitate”, menționând totodată că 98% din activele afectate au fost refăcute.

Yang nu este singura voce care prezintă atacul cibernetic ca pe un eșec al gestionării riscurilor. Fondatorul Zero Knowledge Group, Austin Campbell, a declarat pentru mass-media din domeniul criptomonedelor că „criptomonedele nu au fost concepute niciodată pentru a asigura securitatea în afara sectorului tehnologic”, solicitând ulterior suspendarea pentru 24 de ore a transferurilor de miliarde de dolari.

Un critic cu interese directe

Critica lui Yang are un context neobișnuit, întrucât, în septembrie, el a anunțat că Coinex va începe o închidere ordonată, retragerile fiind permise până pe 22 decembrie 2026. El a afirmat atunci că riscurile legate de securitate și conformitate asociate operării unei burse deveniseră mai greu de controlat, adăugând că „asumarea unor riscuri nelimitate pentru venituri limitate nu mai este o alegere rațională”.

Cu alte cuvinte, fondatorul care a analizat eșecurile Binance a decis că nu merită să-și asume aceleași riscuri în cadrul propriei sale firme.

În cele din urmă, merită menționat faptul că niciuna dintre soluțiile propuse de Yang nu este neobișnuită; adică, separarea dispozitivelor, cheile hardware și verificările independente ale semnăturilor sunt toate recomandări standard pentru orice firmă importantă. Faptul că o firmă cu resursele Binance a fost învinsă din cauza acestor lacune este ceea ce face ca postarea sa să fie dureroasă.

Costul a fost oricum unul uriaș, o analiză estimând că Binance ar fi pierdut aproximativ jumătate din profiturile înregistrate în ultimii cinci ani din cauza amenzilor și a atacurilor cibernetice. Având în vedere că hackerii au împrăștiat fondurile furate în 12.000 de portofele, este probabil ca și alte platforme de tranzacționare să se confrunte cu aceeași întrebare pe care tocmai a pus-o Yang: sunt oare măsurile de bază cu adevărat în vigoare?