Binance poinformował 3 listopada, że hakerzy wykorzystali fałszywe rozmowy kwalifikacyjne, złośliwe oprogramowanie i przejęte wewnętrzne narzędzie AI, aby uzyskać dostęp do jego systemów portfelowych i ukraść 6,34 miliarda dolarów 29 października.
Podsumowanie
- Napastnicy wykorzystali przejęte komputery pracowników i skradzione dane uwierzytelniające do wdrożeń, aby dotrzeć do infrastruktury podpisywania portfeli Binance.
- Złośliwe autoryzacje Ethereum pozwoliły na kontynuowanie przelewów po zawieszeniu przez Binance normalnych usług wypłat.
- Binance twierdzi, że około 2,85 miliarda dolarów zostało zamrożonych lub przechwyconych, a straty klientów zostały pokryte.
- Eksperci oczekują większego popytu na zabezpieczenia powiernicze, ostrzegając jednocześnie, że regulowane platformy nadal są narażone na ryzyko.
Zgodnie ze wstępnym raportem incydentu Binance, atak rozwijał się przez kilka miesięcy, łącząc oszustwo wobec pracowników z przejętym oprogramowaniem i nieautoryzowanym dostępem do systemów wewnętrznych.
Giełda podała, że do 31 października uzupełniła 98% dotkniętych aktywów tokenowych i kupowała pozostałe, mniej płynne kryptowaluty. Dyrektor generalny Richard Teng powiedział, że wypłaty zostały w dużej mierze wznowione, a użytkownicy nie poniosą żadnych strat.
Napastnicy atakujący Binance przeszli od narzędzi deweloperskich do systemów portfelowych
Raport śledzi wczesne zdarzenie do czerwca, kiedy inżynier DevOps ds. portfeli pobrał zmodyfikowaną instalację Homebrew podczas poszukiwania narzędzia AI do kodowania. Personel bezpieczeństwa wykrył anomalię, wymienił urządzenie i zmienił powiązane dane uwierzytelniające.
Jednak Binance podał, że zdarzenie ujawniło rolę inżyniera i współpracowników pracujących nad infrastrukturą portfeli.
We wrześniu do drugiego inżyniera zwrócił się za pośrednictwem legalnej platformy rekrutacyjnej ktoś podający się za dyrektora projektu. Po rozmowie wideo z rzekomym przedstawicielem działu kadr odbyła się kolejna rozmowa z domniemanym dyrektorem generalnym fikcyjnej firmy.
Pod koniec inżynierowi polecono pobrać repozytorium z zadaniem na komputer służbowy. Złośliwy kod uruchomił się podczas konfiguracji, zastępując legalne narzędzie deweloperskie pyenv przejętą wersją.
Binance opisał złośliwe oprogramowanie jako wcześniej niewykryte przez jego narzędzia bezpieczeństwa punktów końcowych i podał, że ukrywało aktywność i usuwało ślady.
20 października napastnik wykorzystał przejęty komputer i wewnętrzne narzędzie AI, aby przejąć kontrolę nad komputerami dwóch inżynierów ds. portfeli. Jeden z nich zawierał token wdrożenia kontenera.
Kilka dni później, 29 października, napastnik wykorzystał te skradzione dane uwierzytelniające do wdrożenia kontenera i uruchomienia złośliwego skryptu, który dotarł do operacji podpisywania portfeli.
Uprawnienia Ethereum pozwoliły na kontynuowanie przelewów po zatrzymaniu wypłat
Według raportu, między 20:05 a 20:09 UTC 29 października pięć gorących portfeli Binance przelało 233,46 miliona XRP na adres kontrolowany przez napastnika. Inne portfele wysłały około 970 500 SOL, 44,2 miliona OP i 18 270 BTC.
Następnie napastnik wykorzystał usługę podpisywania do ustanowienia złośliwych uprawnień za pośrednictwem mechanizmu EIP-7702 Ethereum, który pozwala portfelowi delegować wykonanie do kodu inteligentnego kontraktu.
Wcześniejsze ustalenia dotyczące ataku na portfel wyjaśniały, w jaki sposób napastnik wykorzystał funkcję EIP-7702 Ethereum, aby dać złośliwemu inteligentnemu kontraktowi uprawnienie do przenoszenia środków z gorącego portfela Binance znanego jako Binance 14.
Binance podał, że zawieszenie wypłat nie mogło unieważnić uprawnień już ustanowionych w Ethereum. Jego portfel z obliczeniami wielostronnymi wymagał specjalnej procedury ich odwołania, ponieważ nie był dostępny pojedynczy klucz prywatny do natychmiastowego odwołania.
Ostatni nieautoryzowany przelew, obejmujący 2 961,9 ETH, został sfinalizowany o 23:56 UTC po wcześniejszym rozgłoszeniu i pozostawaniu w stanie oczekiwania. Binance wyczyścił delegację Binance 14 o 00:10 UTC 30 października.
W biuletynie z 31 października alert, FBI przypisało kradzież północnokoreańskiej działalności TraderTraitor. Agencja poinformowała, że współpracuje z U.S. Secret Service i IRS Criminal Investigation, i wezwała dostawców usług do blokowania transakcji powiązanych ze zidentyfikowanymi adresami.
Eksperci przewidują kontynuację adopcji, z naciskiem na ochronę powierniczą
Joe Sticco, współzałożyciel i CEO Cryptex Finance, powiedział crypto.news, że nie spodziewa się, aby incydent spowodował wieloletni regres w adopcji.
Wskazał na działania Tether, Circle i protokołów DeFi mające na celu zamrożenie dotkniętych aktywów jako dowód, że uczestnicy branży potrafią koordynować działania podczas poważnych zakłóceń. Sticco oczekuje, że incydent może zwiększyć popyt na regulowane giełdy i silniejsze praktyki powiernicze, w tym przechowywanie w zimnym portfelu.
James Butterfill, szef działu badań w CoinShares, podkreślił ochronę prawną związaną z powiernictwem.
„Incydent podkreśla, dlaczego ramy prawne regulujące powiernictwo mają znaczenie. MiCA zapewnia istotnie silniejsze zabezpieczenia dla klientów autoryzowanych podmiotów, takich jak Coinbase Luxembourg, w tym segregację aktywów klientów i odpowiedzialność za straty powiernicze spowodowane incydentami przypisywalnymi dostawcy” – powiedział Butterfill crypto.news.
„Te zabezpieczenia wzmacniają odpowiedzialność, ale autoryzacja nie może zapobiec każdemu atakowi hakerskiemu, uchronić inwestorów przed stratami rynkowymi ani zapewnić ogólnego programu rekompensat dla inwestorów.”
Butterfill dodał, że regulowane powiernictwo kryptowalut oferuje silniejsze zabezpieczenia, nie czyniąc jednak posiadanych aktywów równoważnymi depozytom bankowym objętym systemem gwarantowania depozytów.
Binance odbudowuje dotknięte systemy i zleca przeglądy
Binance poinformował, że około 2,85 mld dolarów zostało zamrożonych lub przechwyconych, z zastrzeżeniem uzgodnień i zmian cen rynkowych. Jego wcześniejsze zobowiązanie do odzyskania środków przeznaczyło więcej niż pełną szacowaną stratę na zastąpienie dotkniętych aktywów.
Giełda poinformowała, że odbudowała dotknięte środowisko portfela i wewnętrzne narzędzie AI, wymieniła skompromitowane urządzenia, wycofała z użycia poświadczenia i przeskanowała urządzenia pracowników.
Binance angażuje niezależne firmy cyberbezpieczeństwa do przeglądu incydentu i planuje zwiększone wydatki na bezpieczeństwo programistów, ochronę punktów końcowych i monitorowanie behawioralne.
