Binance opublikował 30 października drugą aktualizację w sprawie incydentu bezpieczeństwa, przedstawiając czteroczęściowy plan naprawczy po niedawnym ataku na giełdę i zakładając rozpoczęcie przywracania wypłat w ciągu około 34 godzin od ogłoszenia. Etapowe wznowienie wypłat pozostaje uzależnione od ukończenia kontroli bezpieczeństwa, działań naprawczych i walidacji dotkniętych systemów, podczas gdy wpłaty i inne niedotknięte awarią usługi działały normalnie – poinformowała giełda.

Współdyrektorzy generalni Yi He i Richard Teng podpisali aktualizację, która datowała przejęcie portfela hot na około 20:05 UTC 29 października. Portfele hot to połączone z internetem portfele, których giełdy używają do obsługi bieżących wypłat, w odróżnieniu od offline'owych systemów zimnego przechowywania. Odnosząc się do szacowanych strat w wysokości 6,3 mld dolarów, oświadczenie podkreśliło, że kosztu nie poniosą użytkownicy:

„Binance poniesie skutki finansowe tych skradzionych środków, a nie nasi użytkownicy.”

Giełda zobowiązała się pokryć straty z Secure Asset Fund for Users (SAFU) oraz ze swojego skarbca korporacyjnego, czyli rezerw finansowych firmy. SAFU to fundusz awaryjny utworzony przez Binance w 2018 roku i zasilany częścią opłat transakcyjnych.

Zakupy tokenów i zamrożenia na łańcuchu

Binance poinformował, że ponad 6,34 mld dolarów środków firmy zostało zarezerwowanych na pokrycie strat, w tym 5 mld dolarów już ulokowanych w dotkniętych atakiem aktywach tokenowych. Te holdingi pokrywały około 80% strat w aktywach takich jak $USDC, $USDT, BTC, ETH i BNB, a zakupy na rynku i w obrocie pozagiełdowym trwają, aby nabyć pozostałe pasujące tokeny. Transakcje pozagiełdowe (OTC) są negocjowane bezpośrednio między kontrahentami, a nie realizowane na publicznych arkuszach zleceń.

Około 3 mld dolarów zostało zamrożonych na łańcuchu – poinformował Binance – a działania odzyskowe trwają we współpracy z organami ścigania, emitentami tokenów, firmami wywiadowczymi i innymi giełdami. Niezależna analiza firmy analitycznej Elliptic dotycząca śledzenia i zamrażania skradzionych aktywów wykazała potwierdzone zamrożenia na kwotę 2,84 mld dolarów według stanu na aktualizację z godziny 8:00 UTC 30 października, głównie w $USDT i $USDC. Zamrożone środki nadal podlegają działaniom odzyskowym.

Ponieważ śledzenie skradzionych aktywów opiera się na publicznych zapisach transakcji na łańcuchu, śledczy mogą analizować salda portfeli i transfery bezpośrednio onchain. Binance zaplanował też pierwszy skrót dowodu rezerw (proof-of-reserves) w ciągu 12 godzin od ogłoszenia, a wyniki mają być znane do poniedziałku, 2 listopada, pokazując stan posiadania platformy w odniesieniu do sald klientów. Atestacje proof-of-reserves stały się powszechną praktyką transparentności wśród największych giełd po upadku FTX w 2022 roku.

Śledztwo wskazuje na dostęp do podpisywania

Wstępne ustalenia wskazują, że przejęty laptop inżyniera DevOps umożliwił nieautoryzowane zgłoszenia wypłat. Inżynierowie DevOps utrzymują wdrażanie oprogramowania oraz wspierającą je infrastrukturę. Binance podtrzymuje, że nie znalazł dowodów na wyciek prywatnych kluczy portfeli, czyli kryptograficznych poświadczeń kontrolujących dostęp do środków na łańcuchu.

W osobnym nagraniu wideo z 30 października Teng opisał dodatkowe punkty włamania, ominięte mechanizmy zatwierdzania oraz mechanizm autodestrukcji, który zniszczył narzędzia i ślady. Binance oświadczył, że opanował przejętą infrastrukturę, cofnął dotknięte autoryzacje i wprowadził dalsze zabezpieczenia przed nieautoryzowaną aktywnością, podczas gdy wewnętrzni i zewnętrzni specjaliści odtwarzają pełny przebieg ataku.

Analiza firmy zajmującej się bezpieczeństwem blockchaina Hypernative zidentyfikowała przejęty dostęp do podpisywania oraz ważne podpisy wygenerowane kluczami kontrolowanymi przez Binance. Firma opisała wykorzystanie EIP-7702 – funkcji Ethereum pozwalającej zwykłemu portfelowi wykonywać kod smart kontraktów – do uruchomienia kodu kontrolowanego przez atakującego za pośrednictwem portfela Binance.

Binance poinformował, że oczekuje kolejnych potwierdzonych ustaleń technicznych w ciągu około 48 godzin od ogłoszenia, z zastrzeżeniem okoliczności śledztwa, a następnie szczegółowego raportu powydarzeniowego obejmującego atak oraz wprowadzone zabezpieczenia.