Binance ha pubblicato il suo secondo aggiornamento sull'incidente di sicurezza il 30 ottobre, illustrando un piano di recupero in quattro parti per il recente hack dell'exchange e puntando ad avviare il ripristino dei prelievi entro circa 34 ore dall'annuncio. Il riavvio graduale dei prelievi rimaneva condizionato al completamento dei controlli di sicurezza, della bonifica e della validazione dei sistemi interessati, mentre depositi e altri servizi non interessati hanno continuato a operare regolarmente, secondo l'annuncio.

I co-CEO Yi He e Richard Teng hanno firmato l'aggiornamento, che ha collocato la compromissione dell'hot wallet intorno alle 20:05 UTC del 29 ottobre. Gli hot wallet sono wallet connessi a Internet che gli exchange utilizzano per elaborare i prelievi quotidiani, in contrapposizione ai sistemi di cold storage offline. Affrontando la perdita stimata di 6,3 miliardi di dollari, la dichiarazione ha sottolineato che gli utenti non ne sopporteranno il costo:

"Binance assorbirà l'impatto finanziario di questi fondi rubati, non i nostri utenti."

L'exchange si è impegnato a coprire le perdite tramite il suo Secure Asset Fund for Users (SAFU) e la tesoreria societaria, ovvero le riserve finanziarie aziendali. SAFU è una riserva di emergenza istituita da Binance nel 2018 e finanziata tramite una parte delle commissioni di trading.

Acquisti di token e congelamenti onchain

Binance ha dichiarato che oltre 6,34 miliardi di dollari di fondi aziendali erano stati accantonati per le perdite, di cui 5 miliardi già detenuti negli asset token interessati. Tali partecipazioni coprivano circa l'80% delle perdite tra asset come $USDC, $USDT, BTC, ETH e BNB, con acquisti in corso tramite canali di mercato e over-the-counter per acquisire i token corrispondenti rimanenti. Le negoziazioni over-the-counter sono accordate direttamente tra le controparti anziché eseguite sui libri degli ordini pubblici.

Circa 3 miliardi di dollari erano stati congelati onchain, ha riferito Binance, e gli sforzi di recupero proseguivano insieme alle forze dell'ordine, agli emittenti di token, alle aziende di intelligence e ad altri exchange. L'analisi indipendente della società di analisi blockchain Elliptic sui lavori di tracciamento e congelamento ha quantificato i congelamenti verificati in 2,84 miliardi di dollari alla data del suo aggiornamento delle 8:00 UTC del 30 ottobre, per lo più riguardanti $USDT e $USDC. I fondi congelati rimanevano soggetti ai lavori di recupero in corso.

Poiché il tracciamento degli asset rubati si basa sui registri pubblici delle transazioni blockchain, gli investigatori possono esaminare saldi e trasferimenti dei wallet direttamente onchain. Separatamente, Binance ha pianificato uno snapshot iniziale di proof-of-reserves entro 12 ore dal suo annuncio, con risultati attesi entro lunedì 2 novembre, che mostreranno le disponibilità della piattaforma a fronte dei saldi dei clienti. Le attestazioni di proof-of-reserves sono diventate una prassi di trasparenza diffusa tra i principali exchange dopo il crollo di FTX nel 2022.

Le indagini puntano all'accesso di firma

I rilievi iniziali indicano che il laptop compromesso di un ingegnere DevOps ha consentito l'invio di prelievi non autorizzati. Gli ingegneri DevOps gestiscono il deployment del software e l'infrastruttura di supporto. Binance ha sostenuto di non aver trovato prove di chiavi private dei wallet divulgate, le credenziali crittografiche che controllano l'accesso ai fondi onchain.

In un video separato del 30 ottobre, Teng ha descritto ulteriori punti di violazione, controlli di approvazione aggirati e un meccanismo di autodistruzione che ha cancellato strumenti e tracce. Binance ha dichiarato di aver contenuto l'infrastruttura compromessa, revocato le autorizzazioni interessate e introdotto ulteriori controlli contro attività non autorizzate, mentre specialisti interni ed esterni lavoravano per ricostruire l'intera sequenza dell'attacco.

L'analisi della società di sicurezza blockchain Hypernative ha identificato un accesso di firma compromesso e firme valide prodotte da chiavi controllate da Binance. La società ha descritto l'uso di EIP-7702, una funzionalità di Ethereum che consente a un normale wallet di eseguire codice di smart contract, per far girare codice controllato dall'attaccante attraverso un wallet di Binance.

Binance ha dichiarato di attendersi ulteriori riscontri tecnici verificati entro circa 48 ore dall'annuncio, in base alle considerazioni investigative, seguiti da una dettagliata analisi post-mortem che coprirà l'attacco e le misure di sicurezza introdotte in risposta.