Обновление (30 октября, 02:44 UTC): статья обновлена с учетом предварительного расследования Binance по инциденту безопасности.

Первичное расследование Binance многомиллиардного взлома указывает на скомпрометированный ноутбук DevOps-инженера. Биржа сообщила в пятницу, что компрометация могла позволить злоумышленнику получить доступ к сервисному контейнеру и отправить несанкционированные транзакции на вывод средств. Она также заявила, что не обнаружила признаков утечки приватных ключей кошельков, подчеркнув, что расследование продолжается.

Предварительная оценка Blockaid указывает в том же направлении. В разговоре с Cointelegraph в четверг генеральный директор Blockaid Идо Бен-Натан заявил, что инцидент, по-видимому, связан со «злоупотреблением ключами», когда злоумышленники обманули или скомпрометировали систему подписания, заставив ее авторизовать вредоносные транзакции без извлечения самого приватного ключа.

«Похоже, это … компрометация инфраструктуры подписания. Мы не считаем, что ключ был украден», — сказал он. Оценка Бен-Натана основана на опыте Blockaid в борьбе с подобными атаками и наблюдениях за активностью в блокчейне.

Binance оценивает ущерб в $6,3 млрд и замораживает около $3 млрд

Binance объявила предварительные результаты в заявлении в X, оценив общий ущерб от инцидента примерно в $6,3 млрд и сообщив, что совместно с блокчейн-партнерами заморозила в блокчейне около $3 млрд украденных активов. Если оценка подтвердится, она превысит кражу у Bybit в феврале 2025 года — до сих пор крупнейший зафиксированный взлом в истории криптовалют.

Биржа заявила, что покроет все убытки за счет фонда Secure Asset Fund for Users (SAFU) и собственных средств, добавив, что средства пользователей в безопасности. SAFU — это резервный страховой фонд, созданный Binance в 2018 году, который финансируется за счет части торговых комиссий и предназначен для покрытия потерь пользователей в экстремальных ситуациях. Биржа также пообещала опубликовать обновленное Proof of Reserves — криптографический метод, с помощью которого биржи подтверждают наличие активов, обеспечивающих балансы клиентов.

Депозиты и вывод средств были временно приостановлены на время проверок безопасности, и Binance сообщила, что отозвала авторизацию затронутого адреса. Компания сотрудничает с правоохранительными органами и партнерами по блокчейн-аналитике для отслеживания и возврата средств, а также обещает опубликовать подробный технический разбор после завершения расследования и полной проверки фактов.

Blockaid выявила вредоносное делегирование кошелька

В анализе блокчейн-активности, опубликованном в X, Blockaid сообщила, что злоумышленник объединил 50 авторизаций EIP-7702 в одну транзакцию, нацеленную на Binance 14. По имеющимся данным, одна из авторизаций совпала с требуемым nonce аккаунта, что позволило ее принять.

EIP-7702, заработавший с обновлением Ethereum Pectra в мае 2025 года, позволяет аккаунту делегировать исполнение коду смарт-контракта. Blockaid уточнила далее, что затронутый аккаунт был делегирован непроверенному sweeper-контракту, который позволял назначенному оператору выводить токены и Ether.

Связанная статья: Взлом Binance пошатнул криптовалютные рынки: BNB упала на 7%, Bitcoin снижается

Бен-Натан сообщил Cointelegraph, что операция могла включать несколько скомпрометированных устройств и перемещение по внутренней сети биржи.

До последнего обновления Binance генеральный директор Arkham Мигель Морел говорил Cointelegraph, что информации недостаточно, чтобы определить, была ли атака связана с кражей ключей или с компрометацией инфраструктуры. «Насколько мы можем судить, похоже, что взлом еще продолжается», — сказал он тогда.

Сравнение с Северной Кореей и Bybit

Когда Бен-Натана спросили, напоминает ли предполагаемая манипуляция подписанием атаку на Bybit в феврале 2025 года, он назвал эти инциденты «очень, очень похожими». В том случае, согласно опубликованному криминалистическому обновлению Bybit, злоумышленники скомпрометировали учетные данные разработчика Safe, получили доступ к инфраструктуре провайдера кошелька и обманом заставили подписантов утвердить вредоносную транзакцию. ФБР связало эту кражу, оцененную примерно в $1,5 млрд, с хакерами, связанными с Северной Кореей.

Бен-Натан также заявил, что активность напоминает операции, связанные с Северной Кореей, сославшись на знакомство Blockaid с такими атаками. Он указал на сложную подготовку в блокчейне, но подчеркнул, что атрибуция остается неподтвержденной.

Binance не назвала злоумышленников, сообщив, что сотрудничает с правоохранительными органами для установления их личностей.

Журнал: Tampered Ledger сообщил в Сингапуре за месяц до того, как новость стала публичной: Asia Express