Binance возобновит вывод средств после взлома на $6,3 млрд: план восстановления

Перед поэтапным возобновлением вывода средств будут проведены проверки безопасности

30 октября в своём втором отчёте о инциденте безопасности Binance изложила план восстановления после хакерской атаки, состоящий из четырёх этапов, с целью возобновления вывода средств примерно через 34 часа после публикации отчёта. Поэтапное возобновление вывода средств оставалось зависимым от завершения проверок безопасности, устранения неполадок и проверки работоспособности затронутых систем. Согласно заявлению, пополнение счетов и другие не затронутые инцидентом услуги продолжали функционировать.

Со-генеральные директора И Хэ и Ричард Тенг подписали это обновление, в котором время взлома «горячих» кошельков было указано как примерно 20:05 по Гринвичу 29 октября. Касательно предполагаемого ущерба в размере 6,3 млрд долларов в заявлении было подчеркнуто:

«Binance возьмет на себя финансовые последствия кражи этих средств, а не наши пользователи».

Биржа обязалась покрыть убытки за счет своего Фонда защиты активов пользователей (SAFU) и корпоративной казны, то есть финансовых резервов компании.

Покупка токенов и замораживание активов — залог восстановления

По данным Binance, из более чем 6,34 млрд долларов средств компании, зарезервированных на покрытие убытков, 5 млрд долларов уже находились в виде затронутых токенов. Эти активы покрывали примерно 80 % убытков, связанных с такими активами, как USDC, USDT, BTC, ETH и BNB. Велись покупки через рыночные и внебиржевые каналы с целью приобретения оставшихся токенов, необходимых для покрытия убытков.

По данным Binance, в цепочке блоков было заморожено примерно 3 млрд долларов, в то время как продолжались усилия по возврату средств при участии правоохранительных органов, эмитентов токенов, аналитических компаний и других бирж. Независимый анализ компании Elliptic, специализирующейся на аналитике блокчейна, по отслеживанию и замораживанию похищенных активов показал, что на 8:00 UTC 30 октября сумма подтвержденных замороженных средств составила 2,84 млрд долларов, причем в основном речь шла о USDT и USDC. В отношении замороженных средств продолжались усилия по их возврату.

Следователи, отслеживающие похищенные активы, могут проверять остатки на кошельках и переводы через публичные записи транзакций в блокчейне. Кроме того, Binance планировала провести первоначальный снэпшот для подтверждения резервов в течение 12 часов после своего объявления. Результаты ожидались к понедельнику, 2 ноября, и должны были показать активы платформы в сопоставлении с остатками на счетах клиентов.

Расширенное расследование проверяет доступ к подписанию

Первоначальные выводы по делу о взломе ноутбука указывают на то, что компьютер скомпрометированного инженера DevOps позволил отправить запросы на несанкционированный вывод средств. Инженеры DevOps отвечают за развертывание программного обеспечения и обслуживание поддерживающей его инфраструктуры. Binance утверждала, что не обнаружила никаких доказательств утечки закрытых ключей кошельков.

В отдельном видео от 30 октября Тенг описал дополнительные точки проникновения, обойденные механизмы контроля утверждений и механизм самоуничтожения, который уничтожил инструменты и следы. Binance заявила, что локализовала скомпрометированную инфраструктуру, аннулировала затронутые авторизации и ввела дополнительные меры контроля против несанкционированной деятельности. Внутренние и внешние специалисты работали над реконструкцией полной последовательности атаки.

Анализ компании Hypernative, специализирующейся на безопасности блокчейнов, выявил скомпрометированный доступ к подписанию и действительные подписи, сделанные с помощью ключей, контролируемых Binance. В нём описывалось использование EIP-7702 — функции Ethereum, позволяющей обычному кошельку выполнять код смарт-контракта, — для запуска кода, контролируемого злоумышленником, через кошелёк Binance. Binance ожидала получения дополнительных подтвержденных технических выводов в течение примерно 48 часов после своего заявления, с учетом требований расследования, после чего планировалось опубликовать подробный отчет с анализом атаки и мер безопасности.