Binance publiceerde op 30 oktober zijn tweede Security Incident Update, met een herstelplan in vier delen voor de recente hack van de beurs, met als doel de hervatting van opnames binnen ongeveer 34 uur na de aankondiging te starten. De gefaseerde herstart van opnames bleef afhankelijk van voltooide beveiligingscontroles, herstelmaatregelen en validatie van de getroffen systemen, terwijl stortingen en andere onaangetaste diensten normaal bleven functioneren, aldus de aankondiging.

Co-CEO's Yi He en Richard Teng hebben de update ondertekend, waarin de compromittering van de hot wallet werd geplaatst op ongeveer 29 oktober 20:05 UTC. Hot wallets zijn met internet verbonden wallets die beurzen gebruiken voor dagelijkse opnames, in tegenstelling tot offline cold-storage-systemen. Met betrekking tot het geschatte verlies van $6,3 miljard benadrukte het statement dat gebruikers de kosten niet dragen:

“Binance zal de financiële impact van deze gestolen fondsen opvangen, niet onze gebruikers.”

De beurs beloerde de verliezen te dekken via het Secure Asset Fund for Users (SAFU) en de corporate treasury, dus de financiële reserves van het bedrijf. SAFU is een noodreserve die Binance in 2018 heeft opgericht en financier via een deel van de handelskosten.

Tokenaankopen en on-chain bevriezingen

Binance zei dat meer dan $6,34 miljard aan bedrijfsfondsen was gereserveerd voor verliezen, waaronder $5 miljard die al in de getroffen tokenactiva was aangehouden. Deze holdings dekten ongeveer 80% van de verliezen over activa als $USDC, $USDT, BTC, ETH en BNB, terwijl aankopen via markt- en over-the-counter-kanalen lopen om de resterende matching tokens te verwerven. Over-the-counter-transacties worden rechtstreeks tussen partijen onderhandeld in plaats van uitgevoerd op openbare orderboeken.

Ongeveer $3 miljard was on-chain bevroren, meldde Binance, en de herstelinspanningen gaan door samen met wetshandhavers, tokenuitgevers, intelligence-bedrijven en andere beurzen. De onafhankelijke analyse van blockchain-analysebedrijf Elliptic van het traceren en bevriezen van gestolen activa stelde de geverifieerde bevriezingen op $2,84 miljard per de update van 30 oktober 8:00 UTC, voornamelijk in $USDT en $USDC. Bevroren fondsen blijven onderdeel van lopende herstelwerkzaamheden.

Omdat het traceren van gestolen activa steunt op openbare blockchain-transactieregistraties, kunnen onderzoekers walletsaldi en transfers rechtstreeks on-chain bekijken. Daarnaast plande Binance een eerste proof-of-reserves-snapshot binnen 12 uur na de aankondiging, met resultaten verwacht uiterlijk maandag 2 november, die de holdings van het platform afzetten tegen de saldi van klanten. Proof-of-reserves-verklaringen werden een wijdverbreide transparantiepraktijk bij grote beurzen na de ineenstorting van FTX in 2022.

Onderzoek wijst op tekentoegang

Eerste bevindingen gaven aan dat een gecompromitteerde laptop van een DevOps-engineer ongeautoriseerde opnameverzoeken mogelijk maakte. DevOps-engineers beheren software-implementatie en de bijbehorende infrastructuur. Binance hield vol dat er geen aanwijzingen zijn voor gelekte private keys van wallets, de cryptografische inloggegevens die de toegang tot on-chain fondsen beheren.

In een afzonderlijke video op 30 oktober beschreef Teng extra toegangspunten, omzeilde goedkeuringscontroles en een zelfvernietigingsmechanisme dat tools en sporen vernietigde. Binance zei de gecompromitteerde infrastructuur te hebben ingedamd, getroffen autorisaties te hebben ingetrokken en verdere controles tegen ongeautoriseerde activiteit te hebben ingevoerd, terwijl interne en externe specialisten de volledige aanvalsvolgorde reconstrueerden.

De analyse van blockchain-beveiligingsbedrijf Hypernative identificeerde gecompromitteerde tekentoegang en geldige handtekeningen van door Binance beheerde keys. Het bedrijf beschreef het gebruik van EIP-7702, een Ethereum-functie waarmee een gewone wallet smart-contractcode kan uitvoeren, om door de aanvaller gecontroleerde code via een Binance-wallet te draaien.

Binance verwacht binnen ongeveer 48 uur na de aankondiging verdere geverifieerde technische bevindingen, onder voorbehoud van onderzoeksaspecten, gevolgd door een gedetailleerde post-mortem over de aanval en de als reactie ingevoerde beveiligingsmaatregelen.