Ten artykuł został skompilowany i zorganizowany przez BlockWeeks
Binance opublikował swój pierwszy raport śledczy dotyczący incydentu odpływu aktywów cyfrowych o wartości około 6,34 miliarda dolarów z 29 października. Raport odtwarza łańcuch ataku rozciągający się na cztery miesiące: punktem wejścia była zmodyfikowana instalacja oprogramowania w czerwcu, podczas gdy kluczowym przełomem była starannie zaprojektowana fałszywa rozmowa kwalifikacyjna we wrześniu.
Czerwiec: Pobranie „narzędzia do programowania AI” zasiało ziarno
Według Binance, inżynier DevOps ds. portfeli pobrał w czerwcu zmodyfikowany pakiet instalacyjny Homebrew podczas poszukiwania pewnego narzędzia do programowania AI. Binance następnie odkrył oznaki naruszenia na tej maszynie, wymienił urządzenie inżyniera i zresetował poświadczenia. Jednak giełda przyznała, że ten inżynier, wraz z innymi kolegami z zespołu infrastruktury portfeli, był już w tym czasie widoczny dla atakujących.
Wrzesień: Rekruter podający się za „dyrektora projektu”
We wrześniu drugi inżynier został skontaktowany na platformie ofert pracy przez osobę podającą się za „dyrektora projektu”. Osoba ta najpierw zorganizowała rozmowę wideo z rzekomym przedstawicielem HR, następnie przeniosła drugą rundę do aplikacji czatu społecznościowego, gdzie kontakt twierdził, że prowadzi firmę, która nie istnieje, a na koniec poprosiła inżyniera o pobranie „zadania” na komputer służbowy — samo to repozytorium kodu było złośliwym oprogramowaniem.
Binance oświadczył, że to złośliwe oprogramowanie typu zero-day nie zostało wówczas wykryte przez jego narzędzia bezpieczeństwa punktów końcowych.
20 października: Wewnętrzne narzędzia AI stały się odskocznią
Binance oświadczył, że 20 października atakujący wykorzystali komputer drugiego inżyniera i zestaw wewnętrznych narzędzi AI, aby przejąć kontrolę nad kontami pierwszego i trzeciego inżyniera, oraz znaleźli token wdrożenia kontenera na maszynie pierwszego inżyniera.
29 października: Pięć gorących portfeli opróżnionych w cztery minuty
29 października atakujący użyli skradzionych poświadczeń, aby zalogować się na komputer trzeciego inżyniera, wdrożyć kontenery i uruchomić złośliwe skrypty.
Binance ujawnił, że między 20:05 a 20:09 UTC pięć gorących portfeli przelało 233,46 miliona XRP na adresy kontrolowane przez atakujących; gorące portfele Solana i Optimism utraciły odpowiednio około 970 500 SOL i 44,2 miliona OP. Następnie jeden gorący portfel przelał kolejne 18 270 BTC.
Następnie atakujący wykorzystali wewnętrzną usługę podpisywania i wykorzystali funkcję Ethereum EIP-7702 (która pozwala portfelowi delegować określone uprawnienia transakcyjne do kontraktu), aby przyznać kontrolowanemu przez atakujących kontraktowi częściowe uprawnienia nad gorącym portfelem poprzez 50 podpisanych transakcji.
MPC uratowało sytuację, ale stop-loss spóźnił się o pół taktu
Ponieważ portfel wykorzystywał architekturę obliczeń wielostronnych (MPC), żaden pojedynczy klucz prywatny nie mógł odwołać tych delegacji, więc zespół Binance musiał w locie zbudować dedykowany proces naprawczy, co wydłużyło wymagany czas. Ostatni nieautoryzowany transfer to 2961,9 ETH, który zakończył ostateczne potwierdzenie o 23:56 UTC; Binance wyczyścił odpowiednie delegacje dopiero o 00:10 30 października.
Odbudowa, audyt i podejście do rekompensat
Binance oświadczył, że odbudował dotknięte systemy portfeli i wewnętrzne narzędzia AI, wymienił odpowiednie urządzenia i wyłączył poświadczenia na nazwiska zaangażowanych inżynierów. Giełda planuje również zaangażować niezależny przegląd strony trzeciej i ustanowić fundusz badawczy ds. bezpieczeństwa, jednocześnie oświadczając, że niektóre szczegóły techniczne pozostaną poufne.
Jeśli chodzi o rekompensatę aktywów, Binance oświadczył, że na dzień 31 października 98% dotkniętych aktywów tokenowych zostało uzupełnionych. Jednak liczby w jego własnych aktualizacjach postępu odzyskiwania były niższe: 90% 31 października i około 95% 2 listopada.
