Binance опубликовала второе обновление о инциденте безопасности 30 октября, представив четырехэтапный план восстановления после недавнего взлома биржи и нацелившись на начало возобновления вывода средств примерно через 34 часа после анонса. Поэтапный перезапуск выводов оставался условием завершения проверок безопасности, устранения уязвимостей и валидации затронутых систем, при этом депозиты и другие незатронутые сервисы продолжали работать в обычном режиме, согласно заявлению.

Обновление подписали со-генеральные директоры И Хе и Ричард Тенг; в нем время компрометации горячего кошелька указано примерно на 20:05 UTC 29 октября. Горячие кошельки — это подключенные к интернету кошельки, которые биржи используют для обработки повседневных выводов, в отличие от автономных систем холодного хранения. Комментируя оценочные убытки в размере $6,3 млрд, в заявлении подчеркивалось, что пользователи не понесут этих расходов:

«Binance возьмет на себя финансовые последствия хищения этих средств, а не наши пользователи».

Биржа обязалась покрыть убытки через свой Фонд безопасных активов для пользователей (SAFU) и корпоративную казну, то есть финансовые резервы компании. SAFU — это резервный фонд, созданный Binance в 2018 году и финансируемый за счет части торговых комиссий.

Закупка токенов и блокчейн-заморозки

Binance сообщила, что более $6,34 млрд средств компании были зарезервированы для покрытия убытков, включая $5 млрд, уже размещенных в затронутых токенах. Эти активы покрывали примерно 80% убытков по таким активам, как $USDC, $USDT, BTC, ETH и BNB; идет закупка оставшихся недостающих токенов через рыночные и внебиржевые каналы. Внебиржевые сделки заключаются напрямую между контрагентами, а не исполняются в открытых ордербуках.

По данным Binance, на блокчейне было заморожено около $3 млрд, а работа по возврату средств продолжается совместно с правоохранительными органами, эмитентами токенов, разведывательными компаниями и другими биржами. Независимый анализ блокчейн-аналитической компании Elliptic по отслеживанию и заморозке похищенных активов установил подтвержденный объем заморозок в $2,84 млрд по состоянию на обновление в 8:00 UTC 30 октября, преимущественно в $USDT и $USDC. Замороженные средства остаются предметом продолжающейся работы по возврату.

Поскольку отслеживание похищенных активов опирается на публичные записи транзакций блокчейна, следователи могут изучать балансы кошельков и переводы непосредственно в блокчейне. Отдельно Binance запланировала первый снимок подтверждения резервов (proof-of-reserves) в течение 12 часов после анонса; результаты ожидаются к понедельнику, 2 ноября, и покажут активы платформы в сопоставлении с балансами клиентов. Подтверждения резервов стали широко распространенной практикой прозрачности среди крупных бирж после краха FTX в 2022 году.

Расследование указывает на доступ к подписанию

Первоначальные выводы свидетельствуют, что скомпрометированный ноутбук инженера DevOps позволил осуществить несанкционированные заявки на вывод средств. Инженеры DevOps поддерживают развертывание программного обеспечения и обслуживающую его инфраструктуру. Binance утверждает, что не обнаружила признаков утечки приватных ключей кошельков — криптографических учетных данных, контролирующих доступ к средствам в блокчейне.

В отдельном видео от 30 октября Тенг описал дополнительные точки проникновения, обход механизмов согласования и механизм самоуничтожения, уничтоживший инструменты и следы. Binance сообщила, что изолировала скомпрометированную инфраструктуру, отозвала затронутые полномочия и ввела дополнительные меры контроля против несанкционированной активности, а внутренние и внешние специалисты работали над восстановлением полной последовательности атаки.

Анализ компании по безопасности блокчейна Hypernative выявил скомпрометированный доступ к подписанию и валидные подписи, созданные ключами под контролем Binance. Компания описала использование EIP-7702 — функции Ethereum, позволяющей обычному кошельку исполнять код смарт-контрактов, — для запуска контролируемого злоумышленником кода через кошелек Binance.

Binance ожидает появления дополнительных подтвержденных технических выводов в течение примерно 48 часов после анонса с учетом аспектов расследования, за которыми последует детальный разбор инцидента, охватывающий атаку и введенные меры защиты.