Aktualizacja (30 października o 2:44 UTC): artykuł został zaktualizowany o wstępne ustalenia dochodzenia Binance w sprawie naruszenia bezpieczeństwa.

Wstępne dochodzenie Binance w sprawie wielomiliardowego naruszenia bezpieczeństwa wskazuje na skompromitowany laptop inżyniera DevOps. Giełda poinformowała w piątek, że kompromitacja mogła umożliwić atakującemu dostęp do kontenera serwisowego i złożenie nieautoryzowanych transakcji wypłaty. Dodała, że nie znaleziono dowodów na wyciek prywatnego klucza portfela, podkreślając jednocześnie, że dochodzenie trwa.

Wstępna ocena firmy Blockaid wskazuje ten sam kierunek. W rozmowie z Cointelegraph w czwartek prezes Blockaidu, Ido Ben-Natan, powiedział, że incydent najprawdopodobniej wiązał się z „nadużyciem klucza”, gdy atakujący nakłonili lub skompromitowali system podpisywania do autoryzacji złośliwych transakcji bez wydobycia leżącego u podstaw prywatnego klucza.

„Wygląda to na … kompromitację infrastruktury podpisywania. Nie sądzimy, aby klucz został wyciekniony” — powiedział. Ocena Ben-Natana opierała się na doświadczeniu Blockaidu z podobnymi atakami i jego obserwacjach aktywności onchain.

Binance szacuje skutki na 6,3 mld dolarów, zamraża około 3 mld

Binance ogłosiła swoje wstępne ustalenia w oświadczeniu na X, szacując całkowite skutki incydentu na około 6,3 mld dolarów i informując, że wraz z partnerami blockchain zamroziła około 3 mld dolarów skradzionych aktywów onchain. Jeśli potwierdzono by to szacunek, przekroczyłby on kradzież z Bybit z lutego 2025 roku — dotychczas największy udokumentowany hack w historii kryptowalut.

Giełda oświadczyła, że pokryje wszystkie straty z Secure Asset Fund for Users (SAFU) oraz środków własnych firmy, dodając, że środki użytkowników są bezpieczne. SAFU to utworzony przez Binance w 2018 roku fundusz ubezpieczeniowy na wypadek awarii, finansowany z części opłat transakcyjnych i mający pokrywać straty użytkowników w skrajnych przypadkach. Giełda zobowiązała się również opublikować zaktualizowany dowód rezerw (Proof of Reserves) — kryptograficzną metodę, za pomocą której giełdy wykazują, że posiadają aktywa pokrywające salda klientów.

Wpłaty i wypłaty zostały tymczasowo zawieszone na czas kontroli bezpieczeństwa, a Binance poinformowała, że cofnęła autoryzację dotkniętego adresu. Firma współpracuje z organami ścigania oraz partnerami zajmującymi się analizą blockchain w celu śledzenia i odzyskania środków oraz oświadczyła, że opublikuje szczegółowe techniczne podsumowanie zdarzenia po zakończeniu dochodzenia i pełnym zweryfikowaniu faktów.

Blockaid identyfikuje złośliwą delegację portfela

W analizie onchain opublikowanej na X Blockaid podał, że atakujący zgrupowali 50 autoryzacji EIP-7702 w jednej transakcji wymierzonej w Binance 14. Jedna z autoryzacji — jak podano — odpowiadała wymaganemu numerowi nonce konta, dzięki czemu została zaakceptowana.

EIP-7702, który wszedł w życie wraz z aktualizacją Ethereum Pectra w maju 2025 roku, pozwala kontu delegować wykonywanie do kodu inteligentnego kontraktu. Blockaid doprecyzował dalej, że dotknięte konto zostało zdelegowane do niezweryfikowanego kontraktu „sweeper”, który pozwalał wyznaczonemu operatorowi na osuszanie tokenów i Ethera.

Powiązane: Hack na Binance wstrząsa rynkami krypto, BNB spada o 7%, Bitcoin traci

Ben-Natan powiedział Cointelegraph, że operacja mogła obejmować wiele skompromitowanych urządzeń oraz przemieszczanie się po wewnętrznej sieci giełdy.

Przed najnowszą aktualizacją Binance prezes Arkham, Miguel Morel, powiedział Cointelegraph, że brakuje informacji, by stwierdzić, czy atak wiązał się z kradzieżą kluczy czy kompromitacją infrastruktury. „Z tego, co można ustalić, hack najwyraźniej nadal trwa” — powiedział wówczas.

Porównanie do Korei Północnej i Bybit

Pytany, czy podejrzewana manipulacja przy podpisywaniu przypominała atak na Bybit z lutego 2025 roku, Ben-Natan określił oba zdarzenia jako „bardzo, bardzo podobne”. W tamtym przypadku, zgodnie z opublikowaną aktualizacją śledczą Bybit, atakujący skompromitowali dane uwierzytelniające dewelopera Safe, uzyskali dostęp do infrastruktury dostawcy portfela i wprowadzili podpisujących w błąd, skłaniając ich do zatwierdzenia złośliwej transakcji. FBI przypisało tę kradzież, szacowaną na około 1,5 mld dolarów, hakerom powiązanym z Koreą Północną.

Ben-Natan dodał również, że aktywność przypominała operacje powiązane z Koreą Północną, powołując się na znajomość takich ataków przez Blockaid. Wskazał na wyrafinowane przygotowania onchain, ale podkreślił, że przypisanie odpowiedzialności pozostaje niepotwierdzone.

Binance nie zidentyfikowała atakujących, informując, że współpracuje z organami ścigania w celu ustalenia ich tożsamości.

Magazyn: Tampered Ledger zgłoszony w Singapurze miesiąc przed ujawnieniem wiadomości: Asia Express