Binance подверглась крупнейшей хакерской атаке в истории: заморожено более половины средств

Автор: Нэнси, PANews

30 октября внезапный инцидент с безопасностью нарушил спокойствие криптовалютного рынка.

Крупнейшая в мире криптовалютная биржа Binance столкнулась с масштабным несанкционированным выводом средств на сумму около 5,8 миллиарда долларов. В результате на рынке быстро распространилась паника, и цены на криптоактивы упали. По мере продолжения экстренных мер уже заморожено более половины затронутых средств, а чистый отток значительно сократился.

Этот внезапный «черный лебедь» не только испытывает способность Binance к экстренному реагированию и управлению рисками, но и снова выводит безопасность активов и систему контроля рисков криптобирж в центр внимания отрасли.

Около 3 миллиардов долларов заморожено, платформа обещает покрыть убытки

Сегодня около 4 часов утра несколько горячих кошельков Binance предположительно подверглись масштабной атаке, что привело к крупному несанкционированному оттоку средств.

По данным ончейн-статистики, с помеченных кошельков Binance было выведено около 5,643 миллиарда долларов. Из них около 3,528 миллиарда долларов пришлось на сеть Ethereum, около 1,449 миллиарда долларов — на сеть Bitcoin, около 628 миллионов долларов — на сеть Tron, а на сети Arbitrum, Optimism и Base в сумме — около 38 миллионов долларов. Несанкционированные транзакции затронули несколько горячих кошельков, включая Binance 14, Binance 16 и Binance Hot Wallet 34, а средства были переведены на множество новых адресов.

Последние данные Arkham показывают, что связанные с инцидентом адреса хакерского кластера в настоящее время удерживают активы на сумму около 5,76 миллиарда долларов, включая 65 видов токенов.

Столкнувшись с внезапным инцидентом, Binance быстро запустила экстренные меры, приостановила вывод средств и часть торговых услуг, а также объединила усилия с эмитентами стейблкоинов, правоохранительными органами и ончейн-командами безопасности для отслеживания и заморозки средств.

В этом инциденте несколько эмитентов стейблкоинов, включая Tether и Circle, помогли в обработке средств. Согласно публичной информации, Tether заморозил около 1,5667 миллиарда долларов USDT, Circle помог заморозить около 823 миллионов долларов USDC, а Ripple, WLFI и другие стороны также участвовали в обработке средств.

Благодаря сотрудничеству многих сторон заморозка средств продвинулась дальше. По последним данным Binance, на данный момент в общей сложности заморожено около 3 миллиардов долларов затронутых средств, и Binance заявляет, что продолжает тесное сотрудничество со всеми сторонами для отслеживания активов, а сумма заморозки может еще увеличиться.

С точки зрения масштаба активов, Binance хранит около 144 миллиардов долларов, и несанкционированный отток составляет относительно небольшую часть от хранимых активов. Binance также подчеркнула, что средства пользователей в безопасности, платформа покроет все убытки от атаки, и инцидент не повлияет на активы пользователей.

Соучредитель Binance Хэ И заявила, что платформа проводит полную проверку безопасности и сотрудничает с соответствующими организациями для отслеживания и заморозки средств. В этот период услуги пополнения и вывода средств будут временно приостановлены. После завершения расследования и проверки безопасности Binance опубликует полный отчет о результатах анализа и напомнит пользователям полагаться только на официальные каналы для получения обновлений.

Выяснилось, что атакующий заранее репетировал, но оставил следы из-за операционной ошибки

Помимо масштаба вывода средств, не менее важен и путь атаки.

Генеральный директор Blockaid Идо Бен-Натан заявил, что атака на Binance, возможно, была вызвана не кражей приватного ключа, а эксплуатацией уязвимости в системе подписи. Сообщается, что атакующий упаковал 50 запросов авторизации EIP-7702 в одну транзакцию и через вредоносную авторизацию захватил кошелек Binance, а затем перевел активы.

Основатель компании безопасности SlowMist Юй Сянь также отметил, что атакующий выбрал EIP-7702 на Ethereum в основном для удобства массовой очистки токенов из горячих кошельков Binance. Судя по ончейн-данным, его действия были довольно неаккуратными, и перед реальной кражей он несколько часов репетировал — это видно по первым пяти транзакциям соответствующего адреса. Однако сам механизм EIP-7702 не имеет проблем, и даже без этого протокола существуют другие способы достичь аналогичного эффекта.

Соучредитель Cobo Шэнь Юй также восстановил процесс атаки по ончейн-данным и отметил, что инцидент связан с механизмом авторизации EIP-7702 и не был спонтанным действием.

По его анализу, атакующий около 4:20 утра того же дня отправил транзакцию с 50 запросами авторизации и подписал ее приватным ключом горячего кошелька Binance. Примерно через 3 минуты активы начали массово переводиться. Атакующий заранее составил список из 64 токенов для перевода и провел две репетиции с тестовым кошельком, последняя из которых была примерно за 3,5 часа до реальной атаки. После начала операции атакующий переводил активы партиями через несколько кошельков и контрактных кошельков, а часть стейблкоинов, таких как USDT, обменял на ETH, чтобы снизить риск заморозки эмитентами. Судя по текущим ончейн-данным, основная проблема указывает на этап подписи, уязвимостей контрактов не обнаружено, а Binance пока не раскрыла конкретную причину утечки приватного ключа или эксплуатации системы подписи.

Директор по информационной безопасности SlowMist 23pds считает, что, исходя из исторического опыта криминалистики, атакующий смог обойти систему контроля рисков, и необходимо точно установить, был ли путь вторжения утечкой приватного ключа или взломом подписывающей машины. Лично он склоняется к гипотезе утечки приватного ключа. Кроме того, атакующий, скорее всего, использовал специализированный инструмент для вывода средств. Он рекомендует службе безопасности при отслеживании и сборе доказательств сосредоточиться на цепочке утечки приватного ключа и характеристиках аномального инструмента вывода.

Стоит отметить, что, по словам инженера протокола Джастина Калланда, предполагаемый атакующий Binance, возможно, допустил операционную ошибку при оплате комиссии за газ с помощью MetaMask, оставив потенциальный след для отслеживания.

Согласно раскрытым записям транзакций, атакующий перевел 175 миллионов USDT на новый кошелек. Примерно через 2,5 минуты этот кошелек получил 2 ETH для оплаты газа, что соответствует паттерну других кошельков атакующего. Еще примерно через две минуты кошелек вызвал функцию Gas Station MetaMask, хотя уже имел достаточно ETH для оплаты газа. Три последовательные транзакции были упакованы в один блок: пополнение ETH через Gas Station, безлимитное разрешение на использование USDT для маршрутизатора Kyber Network и оплата 127,67 USDT в Gas Station. Самое примечательное — сумма пополнения ETH точно равна сумме максимальных бюджетов газа двух последующих транзакций, вплоть до wei.

Калланд предполагает, что атакующий использовал кошелек MetaMask и в спешке ошибочно выбрал USDT для оплаты газа. MetaMask иногда устанавливает это по умолчанию, и порядок пополнения в том же блоке соответствует такой реализации. Он отметил, что использование Gas Station требует прохождения через MetaMask Sentinel, и транзакция идет через MetaMask, а не обычный RPC, что может оставить офчейн-записи в MetaMask, включая IP-метаданные. Среди всех проверенных им кошельков атакующего это единственный, который показал использование Gas Station.

Паническое падение крипторынка, давление продаж биткоина может быть ниже ожиданий

Как одна из крупнейших криптобирж мира, Binance столкнулась с серьезным кризисом в сфере безопасности с момента основания, и этот инцидент может стать одним из крупнейших краж в криптоиндустрии, быстро вызвав панику на рынке.

В результате крипторынок заметно упал. По данным CoinGecko, биткоин на короткое время опускался ниже 77 000 долларов, дневное падение составило 5,1%; Ethereum упал примерно до 2200 долларов, дневное падение — 5,9%; BNB упал до 693 долларов, дневное падение — 8,5%, другие криптоактивы также оказались под давлением.

Падение рынка вызвало масштабные принудительные ликвидации позиций с кредитным плечом. По данным CoinGlass, за последние 24 часа общая сумма ликвидаций на крипторынке превысила 1,55 миллиарда долларов, из них ликвидации биткоина превысили 480 миллионов долларов, Ethereum — 370 миллионов долларов, причем основными пострадавшими стали длинные позиции.

Однако относительно возможного последующего давления со стороны продавцов от этого инцидента отраслевые эксперты считают, что рынку, возможно, не стоит быть чрезмерно пессимистичным.

Основатель Coinkarma Бенсон Сун в своем анализе написал, что украденный биткоин в этом инциденте стоит более миллиарда долларов, но у BTC нет крупного миксера, подобного Tornado Cash, поэтому связанные адреса легко помечаются торговыми платформами и ончейн-аналитическими агентствами, и последующая реализация значительно сложнее, чем у ETH. Он привел примеры: украденные с Bitfinex в 2016 году биткоины не двигались много лет, а из примерно 1800 BTC, украденных у Coldcard в июле этого года, к началу сентября 90% все еще не были перемещены. Он отметил, что в этот раз объем BTC больше, и атакующему, возможно, придется постепенно обрабатывать их через разделение адресов, миксеры и внебиржевые сделки со скидкой, что может занять годы. Поэтому вероятность того, что эти BTC создадут крупное давление на рынок в краткосрочной перспективе, относительно невелика. Если Binance использует SAFU для компенсации и выкупит биткоин, это может даже создать покупательский спрос.

В отличие от этого, большое количество токенов ERC20 после обмена на ETH и попадания в Tornado труднее отследить, и реальный объем, который может оказать давление на рынок, составляет порядка миллиарда долларов. Бенсон Сун считает, что доверие рынка пострадает, но прямое давление продаж биткоина не так велико, как кажется, и призывает отрасль серьезно отнестись к управлению горячими кошельками, авторизации подписей и квантовой безопасности в эпоху после ИИ.

Судя по текущей ончейн-активности, атакующий еще не использовал в больших масштабах BTC — крупнейший актив в этом инциденте, а часть альткоинов постепенно обменивается на ETH. По данным ончейн-мониторинга, связанные с атакующим адреса обменивают UNI, PEPE, RLUSD и другие токены, а также часть перемещаемых стейблкоинов на ETH, чтобы снизить риск заморозки эмитентами. В настоящее время количество ETH у хакера выросло примерно до 467 000 монет стоимостью около 1,06 миллиарда долларов.

В целом, этот инцидент с безопасностью Binance снова прозвучал тревожным звонком для криптоиндустрии, особенно с ускорением развития ИИ и постоянным совершенствованием методов атак, проблемы безопасности криптоплатформ становятся все более сложными. Для Binance сейчас важнейшая задача — не только вернуть как можно больше затронутых активов и как можно скорее восстановить услуги платформы, но и через прозрачные результаты расследования и эффективные меры по исправлению доказать рынку, что ее система безопасности способна противостоять все более изощренным атакам.

В долгосрочной перспективе безопасность — это не только нижняя граница работы платформы, но и основа для построения долгосрочного доверия в криптоиндустрии.