Взлом Binance на $6,3 млрд: $3 млрд заморожены, вывод остановлен

Binance оценила ущерб от атаки примерно в $6,3 млрд. Около $3 млрд удалось заморозить в блокчейнах, а недостачу биржа обещает закрыть из собственных средств. Пока остановлен вывод средств, депозиты работают как обычно.

Несколько изданий называют эту атаку крупнейшей кражей в истории индустрии криптовалют. Для рынка главный вопрос в другом: выдержит ли её крупнейшая биржа без последствий для клиентов. Пока Binance уверяет, что выдержит. Ключевых технических деталей взлома биржа всё ещё не раскрыла.

Ноутбук DevOps-инженера оказался только началом атаки

По первым данным расследования, которые Binance опубликовала 29 октября, злоумышленник мог взломать ноутбук DevOps-инженера. Через него он получил доступ к служебному контейнеру и отправил неавторизованные транзакции на вывод. Тогда биржа заявляла, что не нашла признаков утечки приватных ключей от кошельков.

Потом картина усложнилась. Binance сообщила о дополнительных точках проникновения и назвала атаку изощрённой. Представитель биржи Sisi пояснила, что заражённый компьютер был лишь стартовой точкой: взлома одного устройства или прав одного инженера не хватило бы, чтобы вывести такие суммы. Виновных среди сотрудников расследование не назвало.

Где находятся новые точки входа и как они связаны между собой, биржа не уточнила. Неизвестно и то, какие права были у взломанного контейнера. Аналитики связывают атаку с хакерами из КНДР, но официально это пока не подтверждено.

Резерв $6,34 млрд и докупка токенов через OTC

Под покрытие инцидента Binance выделила более $6,34 млрд собственных средств. Около $5 млрд из них уже лежали в тех самых токенах, которые увёл атакующий. Остальное биржа докупает на рынке и через внебиржевые OTC-сделки. Она предупредила, что по части токенов ликвидности мало, а расчёты по OTC требуют времени, поэтому закупки могут затянуться.

Важная оговорка: замороженные $3 млрд в этот резерв не входят. Их ещё предстоит вернуть и проверить. Раньше биржа называла подтверждённую сумму заморозок в $2,54 млрд, так что $6,3 млрд — это оценка общего ущерба, а не итоговый чистый убыток. Для сравнения: украденное больше чем в 6 раз превышает страховой фонд SAFU на $1 млрд, который Binance создала в 2018 году.

Заходите в наш Telegram-чат 2Bitcoins, если хотите обсудить новость с другими читателями.

Вывод средств остановлен, пока команда перестраивает защиту сервиса вывода и связанных адресов. По последнему обновлению, отток после паузы прекратился, а вывод должен заработать в течение 45 часов. Сорагендиректор Ричард Тенг говорил о 40 часах и пообещал опубликовать полный отчёт о резервах к понедельнику. Запускать вывод будут поэтапно, после проверок безопасности.

Валидные подписи ещё не доказывают утечку ключей

Главная загадка видна прямо в блокчейне. По данным Blockaid, транзакции атакующего с горячих кошельков Binance подписаны корректно. Значит, злоумышленник как-то получил подписи, которые сеть принимает как настоящие.

Женщина с планшетом у серверных стоек в дата-центре

Но валидная подпись не означает, что украден приватный ключ. Есть два варианта: атакующий получил сам ключ или воспользовался внутренней системой, которая вправе запрашивать подписи, но ключа не видит. По одним данным блокчейна их не отличить: нужны внутренние логи, настройки прав и журналы запросов на подпись.

Следите за новостями в нашем Telegram-канале 2Bitcoins.

Сооснователь Cobo Shenyu ранее предположил, что проблема в защите ключей или системы подписи, а не в уязвимости смарт-контракта. Данные Binance пока не подтверждают и не опровергают эту версию. Цепочка «взлом компьютера, доступ к контейнеру, злоупотребление сервисом подписи» остаётся гипотезой и с учётом новых точек входа может описывать только часть атаки.

Как EIP-7702 помог опустошить кошелёк Binance 14

С одним из кошельков, Binance 14, атакующий использовал EIP-7702. Этот механизм позволяет обычному адресу передать исполнение коду стороннего контракта, например для пакетных операций или оплаты газа за пользователя. Если контракт вредоносный, те же возможности позволяют вывести все активы.

Ноутбук с логотипом Binance, золотые монеты текут в кошелёк

По данным Blockaid, злоумышленник отправил набор авторизаций под разные nonce аккаунта, и одна из них совпала. После этого он выводил ETH и токены пачками, не подписывая каждую операцию отдельно. Делегирование не истекает после одной транзакции, поэтому атакующий забирал и те средства, которые поступали на адрес уже после первого опустошения.

Основатель SlowMist Cosine считает, что сам EIP-7702 не уязвим: он просто упростил атакующему сбор токенов, и то же самое можно было сделать другими способами. К тому же этот механизм не объясняет выводов с других кошельков: в других сетях, по наблюдениям Blockaid, шли обычные переводы. Делегирование на Binance 14 сняли вечером 29 октября, и биржа подтвердила отзыв авторизаций на затронутых адресах.

Заморозки, продажи токенов и позиция атакующего в Aave

Стейблкоины атакующего быстро стали мишенью. По данным Reuters, из замороженных $3 млрд более $2,3 млрд заблокировали Tether и Circle. Глава Tether Паоло Ардоино сообщил о заморозке более $1,56 млрд. Первые часы этой истории мы разбирали в материале про отток с Binance на $6 млрд.

Другие участники тоже приняли меры. Входят ли эти суммы в общие $3 млрд, неизвестно, поэтому складывать их нельзя:

• Совет безопасности Arbitrum перевёл 74,56 млн ARB и 8425 ETH на промежуточный замороженный кошелёк, по оценке ZachXBT это около $30,5 млн;
• First Digital, по данным Specter, внесла в чёрный список адрес с 3,4 млн FDUSD;
• Aave заморозил 292 резерва в версиях V3 и V4: новые депозиты и займы остановлены, а погашения, выводы и ликвидации работают.

При этом злоумышленник успел поработать с добычей. По данным Lookonchain, он продал UNI, ENA, PEPE, LINK, AAVE, ONDO и WLD за 70 480 ETH, это было около $158,25 млн. Onchain Lens отследила перевод на новые кошельки ETH больше чем на $1 млрд и начало продаж STRK. Версия о том, что деньги готовят к отправке в миксер, остаётся предположением. LlamaRisk заметила, что один из адресов внёс в Aave около 60 млн USDT и занял 19 762 WETH. На момент проверки обеспечения по этой позиции хватало.

Реакция рынка и вопросы к Binance

Новость ударила по рынку: по данным CNBC, в пятницу Биткоин подешевел более чем на 4%, до $77 994,96. Сильнее паники оказалось понимание, что убыток Binance может покрыть сама. Глава направления цифровых активов Fundstrat Шон Фаррелл назвал взлом, вероятно, крупнейшим в истории, но подчеркнул, что пока это «не похоже на событие, угрожающее платёжеспособности» биржи.

Когда Binance опубликует полный технический разбор, ей придётся ответить на несколько вопросов. Как взломали компьютер инженера? Где остальные точки входа? Какие права были у контейнера? Как появились валидные подписи? Была ли у атак на разные кошельки и сети общая точка входа? И почему внутренние согласования не остановили вывод? Пока ответов нет, версии Cobo, SlowMist и Blockaid остаются гипотезами.

Читайте также: Биткоин упал ниже $77 000 после взлома Binance на $5,9 млрд

В ближайшие дни для рынка важны три события: возобновление вывода, который обещан в течение 45 часов, отчёт о резервах к понедельнику и сроки, за которые биржа докупит недостающие токены. Если вывод запустят вовремя и резервы сойдутся, история останется проблемой безопасности. Если сроки сорвутся, вопрос перейдёт в плоскость доверия к крупнейшей бирже рынка.

ПОДПИСЫВАЙТЕСЬ НА НАШ КАНАЛ В ТЕЛЕГРАМЕ, ЧТОБЫ БЫТЬ В КУРСЕ.

Подписывайтесь на страницы новостей криптовалют - Telegram, Twitter, Facebook, OK