Binance связывает взлом на $6,3 млрд с заражённым ноутбуком инженера

Обновление (30 октября, 2:44 UTC): Статья обновлена с учётом предварительного расследования Binance инцидента безопасности.

Binance сообщила, что первичное расследование мультибиллионного криптовзлома указало на компрометацию ноутбука инженера DevOps.

Биржа заявила, что компрометация ноутбука могла позволить злоумышленнику получить доступ к контейнеру сервиса и отправить несанкционированные транзакции вывода. Признаков утечки приватных ключей кошельков найдено не было, однако расследование продолжается.

Ранее в четверг Бен-Натан сообщил Cointelegraph, что предварительная оценка Blockaid также указывает на «неправомерное использование ключей», когда атакующие обманывают или компрометируют систему подписи, чтобы авторизовать вредоносные транзакции без извлечения приватного ключа.

«Судя по всему, это компрометация инфраструктуры подписи. Мы не считаем, что ключ был скомпрометирован», — заявил он.

Оценка Бен-Натана основана на опыте Blockaid в аналогичных атаках и наблюдениях за ончейн-активностью.

Binance оценивает ущерб в $6,3 млрд и заморозила около $3 млрд активов

Binance оценила общий ущерб примерно в $6,3 млрд и сообщила, что совместно с партнёрами в блокчейне заморозила около $3 млрд затронутых активов в блокчейне.

Биржа заявила, что покроет все потери за счёт фонда SAFU (Secure Asset Fund for Users) и собственных средств компании, добавив, что средства пользователей в безопасности. Также будет опубликован обновлённый Proof of Reserves.

Binance временно приостановила депозиты и выводы во время проведения проверок безопасности и отменила авторизацию затронутого адреса. Ведётся сотрудничество с правоохранительными органами и партнёрами по блокчейн-аналитике для отслеживания и возврата средств.

Биржа опубликует подробный технический отчёт после завершения расследования и полной верификации фактов.

Blockaid выявила злонамеренную делегацию кошелька

В своём ончейн-анализе, опубликованном в X, Blockaid сообщила, что атакующий объединил 50 авторизаций EIP-7702 в одну транзакцию против Binance 14. Одна из авторизаций, как сообщается, совпала с требуемым nonce аккаунта и была принята.

EIP-7702 позволяет аккаунту делегировать выполнение коду смарт-контракта. Blockaid сообщила, что затронутый аккаунт был делегирован непроверенному контракту-«сборщику», позволяющему указанному оператору выводить токены и эфир.

Бен-Натан сообщил Cointelegraph, что операция могла включать несколько скомпрометированных устройств и перемещение внутри сети биржи.

До последнего обновления Binance генеральный директор Arkham Мигель Морель сообщил Cointelegraph, что информации недостаточно для определения, связан ли инцидент с украденными ключами или компрометацией инфраструктуры.

«Судя по нашим данным, хакерская атака всё ещё продолжается», — заявил он тогда.

Северная Корея и сравнение с Bybit

На вопрос, напоминает ли предполагаемая манипуляция с подписями атаку на Bybit в феврале 2025 года, Бен-Натан назвал эти инциденты «очень, очень схожими».

В том случае в опубликованном Bybit отчёте по цифровой криминалистике говорилось, что злоумышленники скомпрометировали учётные данные разработчика Safe, получили доступ к инфраструктуре провайдера кошельков и обманом заставили подписавших одобрить вредоносную транзакцию.

Бен-Натан также отметил сходство этой активности с операциями, связанными с Северной Кореей, сославшись на опыт Blockaid в расследовании подобных атак. Он указал на сложную подготовку в блокчейне, но подчеркнул, что окончательное установление причастности остаётся неутверждённым.

Binance не установила личности злоумышленников и сообщила, что сотрудничает с правоохранительными органами для их выявления.

Журнал «Подделанный реестр» сообщил об этом в Сингапуре за месяц до публикации новостей: «Азия Экспресс»