Глава Binance раскрыл подробности взлома на 6,3 млрд долларов

Расследование выходит за рамки ноутбука

В ходе расследования хакерской атаки на сумму 6,3 млрд долларов компания Binance обнаружила дополнительные точки проникновения, помимо ноутбука инженера, который первоначально подозревался в причастности к инциденту, сообщил со-генеральный директор Ричард Тенг.

В видео, опубликованном 30 октября, он заявил: «Это не было делом рук одного человека. Наше первоначальное расследование показало, что инцидент с безопасностью, возможно, был связан с взломанным ноутбуком, однако в ходе последующего расследования были выявлены дополнительные точки проникновения».

Тенг рассказал об уничтожении доказательств:

«Это была сложная атака. Злоумышленник также использовал механизм самоуничтожения, который уничтожал инструменты и следы по мере продвижения, что затруднило нам отслеживание и расследование».

В своём более раннем заявлении, объясняющем процесс атаки, он подчеркнул: «Чтобы было ясно: злоумышленник не просто воспользовался правами доступа одного инженера, и это не было единичным действием «в один клик». Речь шла о более сложном процессе атаки. В ходе нашего расследования ответственность не была возложена ни на одного конкретного человека».

Механизмы контроля подписи подвергаются тщательной проверке

Объясняя причину сбоя в системе утверждения, Тенг заявил: «Злоумышленник использовал известный протокол с несколькими подписями EIP-7702, чтобы получить одобрение на выполнение операций в цепочке через «горячий» кошелек. Эта делегация не прошла через наши стандартные механизмы контроля утверждения». Руководитель продолжил:

«Именно поэтому нам необходимо приостановить работу службы вывода средств, чтобы провести расследование, перестроить и повторно протестировать всю инфраструктурную систему».

Функция EIP-7702 в Ethereum позволяет кошельку уполномочивать код смарт-контракта действовать от его имени, в том числе перемещать активы. Делегирование вредоносного кода может дать злоумышленнику контроль над этими активами, в то время как утверждение с помощью мультиподписи представляет собой отдельный механизм контроля, требующий нескольких подписей.

Независимый анализ систем подписи Binance, проведенный TRM Labs, указал на компрометацию инфраструктуры подписи компании во всех блокчейнах. Компания привела в качестве доказательства действительные подписи из кошельков, использующих разные ключи и схемы подписи, что свидетельствует о том, что злоумышленники могли заставить системы Binance авторизовать переводы. Этот вывод касался контроля над процессом подписания транзакций, в то время как Тенг не сообщил о каких-либо доказательствах утечки закрытого ключа.

Кроме того, в ходе оценки инцидента, проведенной Elliptic на уровне цепочки блоков, было выявлено 50 предварительно подписанных авторизаций в сети Ethereum. Одна из них позволяла делегировать полномочия коду, контролируемому злоумышленниками, который неоднократно опустошал затронутый кошелек по мере поступления новых средств.

Средства компании обеспечивают выполнение обязательств по покрытию убытков

По словам Тенга, корпоративные средства, зарезервированные для покрытия убытков, превысили 6,34 млрд долларов. Из них 5 млрд долларов уже были размещены в затронутых токенах, включая USDC, USDT, BTC, ETH и BNB. Остальные покупки токенов осуществлялись через рыночные и внебиржевые каналы для замены активов, пострадавших в результате взлома.

В видео генеральный директор Binance пообещал, что средства компании пойдут на покрытие всех убытков, а в более ранних заявлениях также упоминался Фонд безопасных активов для пользователей (SAFU). Тэн заверил клиентов:

«В итоге — ваши деньги в безопасности, и мы покрываем все убытки».

Он отметил, что покрытие убытков стало возможным благодаря накопленным доходам от криптовалют, и рассказал о долгосрочных реинвестициях в бизнес и систему безопасности.

Что касается активов, находящихся на хранении у биржи, он заявил: «Мы НИКОГДА не используем средства клиентов, поэтому они не пострадали. В данном инциденте пострадал собственный «горячий» кошелек Binance. Активы пользователей хранятся в соответствии с установленной архитектурой безопасности Binance. Подавляющее большинство находится в холодных кошельках и перемещается в «горячий» кошелек только тогда, когда пользователь осуществляет вывод средств».

Возобновление вывода средств ожидает тестирования

Тенг изложил условия возобновления вывода средств: «Мы восстанавливаем сервис вывода средств и не будем возобновлять его работу, пока он не пройдет тщательное тестирование». Кроме того, он добавил:

«Мы очень надеемся, что пользователи смогут вывести средства до нашего крайнего срока в воскресенье, который, по текущим прогнозам, наступит в течение 40 часов».

В рамках мер реагирования в ходе общекорпоративной проверки безопасности были проанализированы конечные точки, облачная инфраструктура, управление ключами и системы подписи.

В предыдущих обновлениях сообщалось о нормальном поступлении средств, отмене авторизаций затронутых адресов и замороженных активах партнеров на сумму около 3 млрд долларов. Правоохранительные органы, компании, занимающиеся анализом блокчейна, эмитенты токенов и другие биржи принимали меры по возврату средств и установлению ответственности. Тенг поблагодарил пользователей за терпение и партнеров за оперативную помощь, отметив, что Binance работала без перерыва, чтобы полностью возместить убытки пользователям.

Наряду с планами проведения технического анализа после того, как следователи подтвердят выводы, Тенг посоветовал обеспокоенным пользователям проверить свои балансы и обратиться в службу поддержки. Тенг пообещал предоставить полный отчет о подтверждении резервов к понедельнику, 2 ноября, при этом предварительные данные могут быть доступны раньше.