CEO Binance: нові висновки щодо хакерської атаки на $6,3 млрд

Розслідування виходить за межі ноутбука

Під час розслідування хакерської атаки на суму 6,3 млрд доларів компанія Binance виявила додаткові точки проникнення, крім ноутбука інженера, який спочатку підозрювався, — повідомив співгенеральний директор Річард Тенг.

У відео, опублікованому 30 жовтня, він заявив: «Це не була справа рук однієї людини. Наше початкове розслідування вказувало на те, що інцидент із безпекою міг бути пов’язаний із зламаним ноутбуком, однак подальше розслідування виявило додаткові точки проникнення».

Тенг описав знищення доказів:

«Це була складна атака. Зловмисник також використовував механізм самознищення, який знищував інструменти та сліди по ходу дії, що ускладнило нам відстеження та розслідування».

У своїй попередній заяві, в якій він пояснював хід атаки, він наголосив: «Щоб було зрозуміло: зловмисник не просто скористався правами доступу одного інженера, і це не була окрема дія «одним кліком». Це був більш складний процес атаки. Наше розслідування не встановило відповідальності жодної конкретної особи».

Механізми контролю підписів піддаються ретельній перевірці

Пояснюючи причину відмови у затвердженні, Тенг зазначив: «Зловмисник використав відомий протокол з багатопідписом EIP-7702, щоб отримати дозвіл на виконання операції в ланцюжку через гарячий гаманець. Ця делегація не пройшла через наші звичайні механізми контролю затвердження». Керівник продовжив:

«Саме тому нам довелося призупинити послугу виведення коштів, щоб провести розслідування, перебудувати та повторно протестувати всю інфраструктуру системи».

Функція EIP-7702 в мережі Ethereum дозволяє гаманцю надавати смарт-контракту повноваження діяти від його імені, зокрема здійснювати переміщення активів. Делегування зловмисного коду може надати зловмиснику контроль над цими активами, тоді як затвердження з використанням мультипідпису є окремим механізмом контролю, що вимагає декількох підписів.

Незалежний аналіз систем підписання Binance, проведений TRM Labs, вказав на компрометацію інфраструктури підписання в різних блокчейнах. Компанія навела як доказ дійсні підписи з гаманців, що використовують різні ключі та схеми підписання, що свідчить про те, що зловмисники могли змусити системи Binance авторизувати перекази. Це виявлення стосувалося контролю над процесом підписання транзакцій, тоді як Тенг не повідомив про жодних доказів витоку приватного ключа.

Окремо, оцінка порушення, проведена Elliptic на основі даних ланцюга блоків, виявила 50 попередньо підписаних авторизацій на Ethereum. Одна з них дозволила делегувати повноваження коду, контрольованому зловмисником, який неодноразово викачував кошти з ураженого гаманця по мірі надходження нових коштів.

Кошти компанії підкріплюють зобов’язання щодо покриття збитків

За словами Тенга, корпоративні кошти, зарезервовані для покриття збитків, перевищили 6,34 млрд доларів. З них 5 млрд доларів вже було утримувано у вигляді постраждалих токенів, зокрема USDC, USDT, BTC, ETH та BNB. Решта покупок токенів здійснювалася через ринкові та позабіржові канали для заміни активів, постраждалих від хакерської атаки.

У відео генеральний директор Binance пообіцяв, що кошти компанії підуть на покриття всіх збитків, а в попередніх заявах також згадувався Фонд безпечних активів для користувачів (SAFU). Тен запевнив клієнтів:

«Підсумок такий: ваші гроші в безпеці, і ми покриємо всі збитки».

Він зазначив, що покриття збитків стало можливим завдяки накопиченим доходам від криптовалют, та розповів про довгострокові реінвестиції в бізнес та безпеку.

Щодо активів, які перебувають на зберіганні біржі, він заявив: «Ми НІКОЛИ не використовуємо кошти клієнтів, тому вони не зазнали впливу. У цьому інциденті постраждав власний «гарячий» гаманець Binance. Активи користувачів зберігаються відповідно до налагодженої архітектури безпеки Binance. Переважна більшість з них зберігається в холодних гаманцях і переміщується в гарячий гаманець лише тоді, коли користувач здійснює виведення коштів».

Відновлення виведення коштів очікує на тестування

Тенг окреслив умови відновлення виведення коштів: «Ми відновлюємо сервіс виведення коштів і не будемо його вмикати, доки він не пройде ретельне тестування». Він також додав:

«Ми дуже сподіваємося, що користувачі зможуть зняти кошти до нашого недільного терміну, який, за планом, має настати протягом 40 годин».

У рамках заходів реагування в рамках загальнокорпоративної перевірки безпеки перевірялися кінцеві точки, хмарна інфраструктура, управління ключами та системи підпису.

У попередніх оновленнях повідомлялося про нормальне надходження коштів, скасування авторизацій для уражених адрес та замороження активів партнерів на суму приблизно 3 млрд доларів. Правоохоронні органи, компанії, що спеціалізуються на аналізі блокчейнів, емітенти токенів та інші біржі працювали над відновленням коштів та встановленням відповідальності. Тенг подякував користувачам за терпіння та партнерам за оперативну допомогу, зазначивши, що Binance працювала безперервно, щоб повністю відшкодувати збитки користувачам.

Окрім планів щодо технічного аналізу після того, як слідчі перевірять отримані дані, Тенг порадив стурбованим користувачам перевірити свої баланси та звернутися до служби підтримки. Тенг пообіцяв опублікувати повний звіт про підтвердження резервів до понеділка, 2 листопада, причому попередній огляд може бути доступний раніше.