Binance відновлює виведення коштів після хакерської атаки на $6,3 млрд

Виведення коштів підлягають перевіркам безпеки перед поетапним відновленням

30 жовтня у своєму другому оновленні щодо інциденту з безпекою Binance оприлюднила чотириетапний план відновлення після хакерської атаки, запланувавши початок відновлення виведення коштів приблизно через 34 години після опублікування оновлення. Поетапне відновлення виведення коштів залишалося залежним від завершення перевірок безпеки, усунення недоліків та перевірки працездатності уражених систем. Згідно з повідомленням, поповнення рахунків та інші послуги, що не зазнали впливу, продовжували працювати.

Співголови компанії І Хе та Річард Тенг підписали це оновлення, в якому зазначено, що злом гарячого гаманця стався приблизно о 20:05 за UTC 29 жовтня. Коментуючи збитки, які, за оцінками, становлять 6,3 млрд доларів, у заяві підкреслюється:

«Binance покриє фінансові наслідки викрадення цих коштів, а не наші користувачі».

Біржа пообіцяла покрити збитки за рахунок свого Фонду захисту активів користувачів (SAFU) та корпоративних фінансових резервів.

Відновлення забезпечується купівлею токенів та заморожуванням активів

З понад 6,34 млрд доларів коштів компанії, зарезервованих на покриття збитків, 5 млрд доларів вже були вкладені в токени, що зазнали збитків, повідомила Binance. Ці активи покривали приблизно 80% збитків, пов’язаних з такими активами, як USDC, USDT, BTC, ETH та BNB. Для придбання решти необхідних токенів тривали операції через ринкові та позабіржові канали.

За даними Binance, у ланцюжку було заморожено приблизно 3 млрд доларів, тоді як заходи з відновлення продовжувалися за участю правоохоронних органів, емітентів токенів, розвідувальних компаній та інших бірж. За даними незалежного аналізу компанії Elliptic, що спеціалізується на аналітиці блокчейнів, щодо відстеження та заморожування викрадених активів, станом на о 8:00 за UTC 30 жовтня підтверджена сума заморожених коштів становила 2,84 млрд доларів, переважно у вигляді USDT та USDC. Заморожені кошти залишалися предметом заходів з їх повернення.

Слідчі, які відстежують викрадені активи, можуть перевіряти залишки на гаманцях та перекази через публічні записи транзакцій у блокчейні. Окремо Binance запланувала провести першу знімку підтвердження резервів протягом 12 годин після свого оголошення. Результати очікувалися до понеділка, 2 листопада, і мали показати активи платформи у порівнянні з залишками клієнтів.

Розширене розслідування вивчає доступ до підпису

Попередні висновки щодо злому ноутбука вказували на те, що комп’ютер інженера DevOps, який зазнав атаки, дозволив подавати несанкціоновані запити на зняття коштів. Інженери DevOps відповідають за розгортання програмного забезпечення та інфраструктуру, що його підтримує. Binance стверджувала, що не виявила жодних доказів витоку приватних ключів гаманців.

В окремому відео від 30 жовтня Тенг описав додаткові точки проникнення, обхід механізмів контролю затвердження та механізм самознищення, який знищив інструменти та сліди. Binance заявила, що локалізувала уражену інфраструктуру, скасувала відповідні повноваження та запровадила додаткові заходи контролю проти несанкціонованої діяльності. Внутрішні та зовнішні фахівці працювали над відтворенням повної послідовності атаки.

Аналіз компанії Hypernative, що спеціалізується на безпеці блокчейнів, виявив скомпрометований доступ до підпису та дійсні підписи з ключів, що перебувають під контролем Binance. У ньому йшлося про використання EIP-7702 — функції Ethereum, яка дозволяє звичайному гаманцю виконувати код смарт-контракту, — для запуску коду, контрольованого зловмисником, через гаманець Binance. Binance очікувала отримати додаткові перевірені технічні висновки протягом приблизно 48 годин після свого оголошення, з урахуванням особливостей розслідування, після чого має бути опубліковано детальний аналіз, що охоплюватиме хід атаки та заходи захисту.