Binance провела предварительное расследование масштабного взлома и выявила, что источником атаки стал скомпрометированный ноутбук инженера отдела инфраструктуры. Через этот ноутбук злоумышленники получили доступ к внутренним системам биржи и совершили несанкционированные операции вывода средств.
По данным биржи, приватные ключи кошельков не попали в руки атакующих. Компания Blockaid, анализировавшая произошедшее на основе данных блокчейна, пришла к выводу, что речь идёт о манипуляции системой подписей — атакующие заставили инфраструктуру одобрить вредоносные транзакции, не получив сами приватные ключи.
Масштаб убытков и восстановление
Binance оценила общий размер убытков в $6,3 млрд. Благодаря работе с партнёрами по блокчейну, биржа удалось заморозить примерно $3 млрд затронутых активов прямо в сети. Компания пообещала покрыть все потери за счёт своего резервного фонда безопасности (SAFU) и собственных средств.
Binance временно приостановила операции пополнения и вывода средств для проведения проверок безопасности, отозвала доступ затронутого адреса и уже начала работу с правоохранительными органами и аналитическими компаниями для отслеживания и возврата активов. Детальный технический отчёт о причинах взлома будет опубликован после завершения расследования.
Как работала атака
По анализу Blockaid, атакующие упаковали 50 авторизаций стандарта EIP-7702 в одну транзакцию, нацеленную на адрес Binance. Одна из авторизаций соответствовала требуемому номеру операции и была принята системой. Затем учётная запись была передана под контроль неверифицированного смарт-контракта, который позволил оператору вывести токены и эфириум.
«Похоже, это была компрометация системы подписей. Мы не считаем, что ключ был украден», — рассказал представитель Blockaid.
Сравнение с другими взломами
Техника атаки на Binance напоминает февральский взлом биржи Bybit, когда атакующие скомпрометировали учётные данные разработчика, получили доступ к инфраструктуре провайдера кошельков и убедили подписантов одобрить вредоносную транзакцию. Blockaid также усмотрела сходство с операциями, связываемыми с хакерами из Северной Кореи, хотя окончательное подтверждение авторства отсутствует.
Binance пока не назвала имён атакующих и продолжает работу с правоохранительными органами для установления их личности.