Śledztwo Binance w sprawie niedawnego naruszenia bezpieczeństwa wykracza poza pierwotną teorię, że incydent wywołał pojedynczy zhakowany laptop. Współdyrektor Richard Teng poinformował, że śledczy zidentyfikowali dodatkowe punkty włamania i ustalili, w jaki sposób atakujący uzyskał zgodę on-chain na jeden z hot walletów giełdy. Dodał, że nie ma dowodów na wyciek kluczy prywatnych. Binance zobowiązał się pokryć wszystkie straty ze środków własnych oraz z Secure Asset Fund for Users (SAFU) — funduszu awaryjnego utworzonego przez giełdę w 2018 roku na pokrycie strat w skrajnych przypadkach.

Atak był bardziej złożony niż włamanie jednym kliknięciem

W poście na X współdyrektor Richard Teng powiedział, że Binance początkowo podejrzewał, iż atak rozpoczął się od zhakowanego laptopa. Kolejne ustalenia ujawniły więcej punktów włamania, co czyni atak znacznie bardziej złożonym niż włamanie jednym kliknięciem.

Według Tenga atakujący uzyskał dostęp do kontenera serwisowego, a następnie wysłał nieautoryzowane transakcje wypłaty. Podkreślił, że incydent nie był przypadkiem nadużycia uprawnień przez pojedynczego pracownika, a Binance nie przypisał odpowiedzialności żadnej konkretnej osobie.

Śledczy poinformowali, że atakujący użył mechanizmu samozniszczenia, aby wymazać narzędzia i ślady, co spowolniło postęp zespołu bezpieczeństwa w rekonstrukcji ścieżki ataku. Taktyki wymazywania tego typu, w branży bezpieczeństwa określane jako techniki antyforensyczne, mają na celu utrudnienie odtworzenia zdarzeń po incydencie.

Teng dodał również, że atakujący wykorzystał EIP-7702 — funkcję autoryzacji Ethereum — aby uzyskać zgodę on-chain na wykonanie operacji na hot wallecie Binance. Umożliwiło mu to obejście standardowych kontroli autoryzacyjnych giełdy. EIP-7702 został uruchomiony w ramach aktualizacji Ethereum Pectra w maju 2025 roku i pozwala zwykłym kontom użytkowników tymczasowo przyjmować funkcjonalność smart kontraktów, np. grupowanie wielu operacji w ramach jednej autoryzacji.

Giełda nie zgłosiła żadnej wady samego EIP-7702, wskazując zamiast tego, że atakujący wykorzystał tę funkcję do obejścia wewnętrznych kontroli. Binance oświadczył, że nie znalazł dowodów na to, iż klucze prywatne walletów zostały ujawnione. Śledztwo trwa, a giełda planuje opublikować techniczne podsumowanie po weryfikacji ustaleń.

Binance rezerwuje 6,34 miliarda dolarów na pokrycie strat

Teng powiedział, że środki klientów nie zostały dotknięte i że Binance zrekompensuje użytkownikom straty. Giełda zarezerwowała ponad 6,34 miliarda dolarów ze środków własnych na pokrycie skradzionych aktywów, zgodnie z wcześniejszą aktualizacją Tenga.

Według Tenga około 5 miliardów dolarów jest już utrzymywane w tych samych aktywach, które były zaangażowane w incydent, w tym BTC, ETH, BNB, USDT i USDC. Binance pracuje nad pozyskaniem pozostałej kwoty poprzez zakupy rynkowe i transakcje over-the-counter.

Giełda oszacowała łączny wpływ naruszenia na około 6,3 miliarda dolarów i poinformowała, że około 3 miliardów zamrożono on-chain przy wsparciu partnerów blockchainowych. Teng zauważył, że większość aktywów klientów przechowywana jest w zimnych walletach i przenoszona do hot walletów dopiero na żądanie wypłaty przez użytkowników. Zimne wallety przechowują klucze prywatne offline, podczas gdy hot wallety pozostają połączone z internetem w celu obsługi wypłat użytkowników — to właśnie ta warstwa znajduje się obecnie w centrum śledztwa i działań naprawczych.