Инцидент безопасности Binance на $6,3 млрд оставил без ответа вопрос о том, как биржа управляла своими горячими кошельками и ограничивала объём средств, доступных злоумышленникам. Раскрытие информации привлекло внимание исследователей безопасности и руководителей отрасли, которые отмечают, что публичные блокчейн-данные сами по себе не позволяют установить, работали ли внутренние механизмы риск-контроля платформы должным образом.

Со-генеральный директор Binance Ричард Тенг сообщил 30 октября, что атака затронула собственный горячий кошелёк биржи. По его словам, большая часть активов клиентов хранилась в офлайн-холодном хранилище и переводилась на горячие кошельки только по запросам пользователей на вывод средств. Горячие кошельки — это подключённые к интернету аккаунты, используемые для обработки вывода средств клиентами, в отличие от офлайн-холодного хранения.

Однако балансы кошельков дают лишь частичное представление о подверженности биржи атаке. Публичные блокчейн-записи могут показать движение средств, но не позволяют установить внутренние механизмы контроля, регулирующие эти переводы, рассказал аналитик CertiK Джонатан Рисс изданию Cointelegraph.

В первом отчёте, опубликованном во вторник, Binance сообщила, что злоумышленники получили доступ к внутреннему сервису подписи транзакций и перемещали средства в обход обычного процесса вывода. Подобные сервисы подписи составляют основу инфраструктуры вывода средств биржи, определяя, когда разрешено движение средств. Биржа сообщила, что некоторые технические детали останутся конфиденциальными для предотвращения новых атак. Binance не ответила на вопросы Cointelegraph о балансах своих кошельков и мерах защиты.

Конкуренты, включая Coinbase, Gate и Upbit, после атаки раскрыли свои показатели холодного хранения. Публикуют ли другие биржи сопоставимые данные и предоставит ли Binance дополнительную информацию о мерах защиты — открытые вопросы на фоне оценки инцидента отраслью.

Что могут показать блокчейн-записи

Рисс сообщил, что сумма в $6,3 млрд представляет совокупную стоимость затронутых активов в 10 блокчейнах. В сети Ethereum злоумышленники неоднократно опустошали горячий кошелёк по мере поступления новых депозитов.

Когда злоумышленники могут получать действительные подписи, их потенциальный доступ зависит от того, что система подписи позволяет им переводить с течением времени, отметил Рисс. Баланс кошелька в отдельный момент не отражает эту подверженность риску.

Лимиты транзакций, применяемые приложением, запрашивающим подпись, могут быть обойдены, если это приложение скомпрометировано, сообщил Рисс. Лимиты, применяемые независимо системой подписи, могут по-прежнему ограничивать переводы.

«Сравнение с другими биржами извне фактически невозможно, — добавил Рисс. — Публичной информации о внутренней архитектуре подписи мало повсюду, а данные о распределении резервов и подтверждения proof-of-reserves показывают, что и где находится, но не то, как авторизуется вывод средств».

Директор по продуктам BitGo Юджин Хар также отказался строить предположения о внутренних мерах защиты Binance. «Разбивка схем custody — это вопрос, на который лучше всего ответить самой Binance», — сказал он.

Сколько биржи должны держать на горячих кошельках?

Соучредитель и директор по продуктам Fireblocks Идан Офрат сообщил, что биржи обычно держат на горячих кошельках достаточно средств для покрытия нескольких дней ожидаемых выводов, что часто составляет низкий однозначный процент от активов под управлением.

По его словам, биржи, как правило, хранят основную часть активов клиентов в холодном хранилище, при этом некоторые используют промежуточные кошельки, требующие ручного одобрения для переводов на горячие кошельки.

Технический директор базирующегося на Telegram криптокошелька Walt Алекс Тобол отметил, что хранение миллиардов долларов на горячих кошельках не является чем-то необычным для биржи масштаба Binance. Горячие кошельки, как правило, обрабатывают выводы автоматически, отметил Тобол, однако их пополнение из холодного хранилища должно требовать отдельного казначейского решения и ручного одобрения.

Хар сообщил, что меры контроля, применяемые до подписания транзакции, включая лимиты транзакций, одобренные адреса вывода и дополнительные требования авторизации, могут помочь сдержать потери при компрометации системы.