Współdyrektor Binance Richard Teng poinformował, że sprawcy hacku o wartości około 6,3 mld dolarów, ujawnionego 30 października, wbudowali w swoją operację mechanizmy samozniszczenia, które usuwały ich narzędzia i ślady w trakcie ataku — środek, który, jak stwierdził, znacznie utrudnił śledzenie incydentu.

Aktualizacja z 30 października wyjaśniła również, w jaki sposób atakujący uzyskali kontrolę nad portfelem hot, dlaczego dochodzenie wykrroczyło poza pierwotny trop oraz co Binance robi, aby przywrócić usługi, przeprowadzić audyt systemów i wykazać swoje rezerwy.

Teng potwierdził, że w ataku uczestniczyło wiele osób. Śledczy początkowo podejrzewali zhakowany laptop jako punkt wejścia, ale później zidentyfikowali inne punkty wejścia do systemów Binance. W rezultacie zakres przeglądu się rozszerzył, a współdyrektor stwierdził, że poszerzające się dochodzenie stało się bardziej złożone.

Narzędzia samozniszczenia i wymazane dane powiązaniowe

Zgodnie z aktualizacją mechanizmy samozniszczenia usuwały narzędzia i ślady w trakcie trwania ataku. Atakujący usunęli również dane powiązaniowe podczas wykonania, co ogranicza możliwość łatwego powiązania złośliwej aktywności przez śledczych. Zespół wciąż analizuje pozostałe dane w miarę postępu dochodzenia. To usunięcie ma duże znaczenie, ponieważ śledzenie na blockchainie zazwyczaj opiera się właśnie na tego rodzaju danych powiązaniowych do grupowania adresów i śledzenia skradzionych środków — co oznacza, że zewnętrzne firmy analityczne wspomagające obecnie Binance pracują na celowo zubożonym materiale dowodowym.

W jaki sposób atakujący przejęli kontrolę

Teng powiedział, że atakujący wykorzystali EIP-7702 — standard Ethereum umożliwiający zwykłym adresom portfeli przyjmowanie funkcjonalności inteligentnych kontraktów — aby uzyskać uprawnienia wykonawcze w łańcuchu nad portfelem hot. Ten krok ominął normalne kontrole zatwierdzeń giełdy, co oznacza, że portfel hot przenosił środki bez zwykłej wewnętrznej zgody.

Portfele hot pozostają połączone z internetem, aby giełdy mogły przetwarzać bieżące wypłaty, co czyni je naturalnym punktem zainteresowania w zakresie bezpieczeństwa giełd. Sam EIP-7702 jest stosunkowo nowy: został uruchomiony wraz z aktualizacją Ethereum Pectra w maju 2025 roku jako część wysiłków sieci na rzecz wprowadzenia funkcji kont inteligentnych do standardowych portfeli.

Incydent skutkował stratą około 6,3 mld dolarów, a środki kamuflażu utrudniły odtworzenie ścieżki atakujących przez systemy Binance, zgodnie z aktualizacją.

Wstrzymane wypłaty podczas przebudowy systemów

Binance wstrzymał wypłaty podczas przebudowy i testowania swoich systemów, powiedział Teng. Usługa pozostanie offline, dopóki nie przejdzie testów bezpieczeństwa i funkcjonalności, co oznacza, że użytkownicy nie mogą w tym czasie wypłacać środków z giełdy.

Giełda celuje w przywrócenie usług w ciągu 40 godzin — w terminie wyprzedzającym niedzielny deadline wspomniany w aktualizacji.

W ramach szerszych działań naprawczych Binance rozpoczął również pełny audyt bezpieczeństwa. Przegląd obejmuje wszystkie punkty końcowe, infrastrukturę chmurową, protokoły zarządzania kluczami oraz procedury kryptograficznego podpisywania — kontrole regulujące sposób nadawania i wykonywania uprawnień do transakcji.

Raport proof of reserves do poniedziałku

Kolejnym priorytetem jest proof of reserves. Binance kończy zakup swoich pozostałych aktywów, po czym planuje opublikować wstępny przegląd rezerw. Pełny raport jest oczekiwany do poniedziałku i ma wykazać pokrycie aktywów oraz płynność.

Raporty tego rodzaju stały się powszechną praktyką branżową po upadku FTX w 2022 roku, kiedy giełdy znalazły się pod presją, aby pokazać użytkownikom, że aktywa klientów są rzeczywiście zabezpieczone.

Współpraca z organami ścigania i partnerami branżowymi

Teng dodał, że Binance współpracuje z zewnętrznymi partnerami w celu śledzenia i odzyskania skradzionych środków. Należą do nich organy ścigania, firmy zajmujące się analizą blockchain, emitenci tokenów oraz inne giełdy. Giełda planuje również pociągnąć atakujących do odpowiedzialności prawnej i będzie koordynować działania z tymi podmiotami w miarę kontynuowania dochodzenia.

Źródło: Blockonomi