Binance poinformował, że pokrył 90% około 6,3 miliarda dolarów skradzionych w czwartkowym ataku, w porównaniu z 80% w poprzedniej aktualizacji. Jeśli dane się potwierdzą, kwota ta przewyższyłaby największą kradzież kryptowalut w historii — około 1,5 miliarda dolarów z Bybita w lutym 2025 roku, ataku, który śledczy również powiązali z Koreą Północną. Giełda planuje wznowić wypłaty 1 listopada, informując, że proces rozpocznie się etapami.

„Uzupełniliśmy już 90% skradzionych aktywów i zobowiązujemy się pokryć pozostałe 10%. Nasi użytkownicy nie poniosą skutków finansowych tego incydentu” — powiedział współdyrektor generalny Richard Teng w sobotę na X (post).

W trzeciej i najnowszej aktualizacji Binance podał, że 10 największych dotkniętych tokenów jest „w pełni zabezpieczonych w 100%”. Są to BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD i ZEC. Pozostałe 10% stanowią mniej płynne tokeny spoza tej grupy, których pozyskanie może potrwać dłużej.

Źródła środków na zastąpienie aktywów

Binance powiedział, że wykorzystał trzy źródła do zastąpienia skradzionych aktywów: częściowe uruchomienie Secure Asset Fund for Users (SAFU), część funduszu ubezpieczeniowego Futures oraz kapitał własny firmy.

Firma później potwierdziła w poście na X, że transfer z SAFU został zakończony, wskazując na widoczny w blockchainie transfer 7 499 BTC. Transfer można obejrzeć za pośrednictwem adresu Bitcoin wskazanego przez Binance (eksplorator blockchaina).

SAFU to rezerwa awaryjna utworzona w lipcu 2018 roku na wypadek incydentów, w tym naruszeń bezpieczeństwa. Jest ona przechowywana przez Nest Clearing and Custody Limited, dom rozliczeniowy regulowany w Abu Zabi. Binance powiedział, że uzupełni fundusz do około 1 miliarda dolarów.

Fundusz ubezpieczeniowy Futures chroni traderów przed stratami z tytułu deficytu na pozycjach bankrutów i ogranicza wymuszone likwidacje, znane również jako auto-deleveraging. Binance powiedział, że uwolnił jedynie kwotę przekraczającą wymagany rozmiar funduszu, podczas gdy pozostałe saldo jest wymogiem regulacyjnym. Giełda oświadczyła, że fundusz pozostaje powyżej wymaganego poziomu pokrycia, choć żadna giełda nie może całkowicie uniknąć auto-deleveragingu.

Wypłaty i proof of reserves

Binance zawiesił wypłaty po ataku, który — jak podała giełda — rozpoczął się, gdy portfele hot zostały skompromitowane około 20:05 UTC w czwartek. Portfele hot pozostają połączone z internetem w celu przetwarzania bieżących transferów, co czyni je bardziej narażonymi niż offline'owe zimne magazyny, których giełdy zazwyczaj używają dla większości środków klientów. Wpłaty i inne niedotknięte usługi pozostają sprawne.

Giełda wcześniej informowała, że wypłaty wznowią się w ciągu 48 godzin. Teraz podaje, że wypłaty zostaną wznowione etapami 1 listopada.

Binance opublikował również nowy zrzut Proof of Reserves wykonany o północy UTC w sobotę. Ujawnienia proof-of-reserves upowszechniły się na dużych giełdach po upadku FTX w 2022 roku. Wygenerowanie pełnego dowodu wiedzy zerowej zajmie według szacunków od 40 do 50 godzin. Firma powiedziała, że posiadacze 10 objętych tokenów będą mogli następnie zweryfikować zabezpieczenie w stosunku co najmniej 1:1, co według jej szacunków będzie możliwe we wtorek. We wcześniejszej aktualizacji Binance informował, że wyniki będą gotowe do poniedziałku.

Śledztwo trwa

n
Wstępna ocena Binance wskazywała na skompromitowanego laptopa inżyniera. Druga aktualizacja mówiła, że śledztwo „ujawniło dodatkowe punkty włamania”. Teng opisał „złożony atak” z udziałem skompromitowanego laptopa oraz złośliwego oprogramowania zaprojektowanego w celu usuwania dowodów. Binance powiedział, że nie znalazł dowodów na wyciek prywatnych kluczy portfeli. Takie klucze, jeśli zostaną skompromitowane, dawałyby atakującemu bezpośrednią kontrolę nad chronionymi przez nie środkami.

Według Binance około 3 miliardy dolarów skradzionych aktywów zostało zamrożonych on-chain. Zamrożenia on-chain opierają się na emitentach tokenów obsługujących czarne listy adresów — możliwości powszechnej wśród emitentów stablecoinów — podczas gdy aktywów bez emitenta, takich jak bitcoin, nie można w ten sposób zablokować. Ta kwota jest niezależna od wskaźnika 90%, który odzwierciedla zastępowanie aktywów, a nie ich odzyskiwanie.

Aktualizacje Binance nie wskazały sprawców. TRM Labs i Chainalysis powiązały atak z Koreą Północną, zgodnie z wcześniejszym raportem TechNext24 (raport). Binance oświadczył, że oczekuje przekazania dalszych ustaleń technicznych w ciągu około 48 godzin od drugiej aktualizacji i opublikuje pełny raport powykonawczy.