Основатель Binance CZ назвал заявление о краже 335 млн записей «фейком/скамом»

CZ, отвечая в X 9 ноября, заявил, что любой, у кого есть рабочие приватные ключи, вывел бы криптовалюту, а не пытался бы продать информацию. Он сказал, что видел это заявление накануне и счёл его проблемы очевидными.

«Видел это вчера, думал, что всё очевидно, но многие СМИ всё равно ухватились за заголовки», — написал он.

Его ответ цитировал пост ThreatMon, описывающий рекламу на подпольном форуме, приписываемую ShinyHunters. В описании листинга от самого мониторингового аккаунта говорилось, что предполагаемая утечка не была независимо проверена.

Binance оспаривает предполагаемую утечку 335 миллионов записей

Binance оспорила рекламу ещё до вмешательства своего основателя. Предварительная проверка биржи охарактеризовала листинг как вероятный скам и не нашла признаков того, что рекламируемая информация свидетельствует о взломе её систем.

Представитель компании сообщил, что компания активно расследует заявления и изучила описание и образцы информации, доступные на тот момент.

Биржа выявила несколько несоответствий. Она заявила, что не хранит пароли от аккаунтов в открытом виде и не хранит приватные ключи от внешних кошельков клиентов. По словам представителя, в листинге упоминались юрисдикции, где Binance больше не работает.

Binance предположила, что подобные рекламы в прошлом содержали информацию, собранную вредоносным ПО-стилером с устройств отдельных пользователей. В заявлении не утверждалось, что именно этот набор данных получен от такого вредоносного ПО.

Продавец заявил о 335,9 миллиона строк из 170 стран

Пост ThreatMon описывал набор данных, содержащий 335 900 000 строк, связанных с пользователями примерно из 170 стран. Рекламируемое содержимое включало удостоверения личности и паспорта, адреса электронной почты, номера телефонов, пароли от аккаунтов, истории транзакций и детали внутренней инфраструктуры.

Продавец утверждал, что владеет приватными ключами кошельков и информацией об активах в горячих кошельках Binance. По данным мониторингового аккаунта, запрашиваемая цена составляла 900 000 долларов в биткоинах или Monero, с угрозой опубликовать материал, если Binance не заплатит.

Образец, как сообщается, был размещён за платным доступом на форуме. ThreatMon особо охарактеризовал заявления о горячих кошельках и приватных ключах как непроверенные.

Критика CZ была сосредоточена на том, как СМИ подали это заявление, но его пост не называл конкретные издания и не выделял отдельные заголовки. Он привёл аргумент против заявления продавца о приватных ключах, не публикуя технического анализа рекламируемых записей.

В более ранних рекламах указывались другие цены

Компания по безопасности Brandefense задокументировала четыре версии похожей рекламы, датированные с 30 октября по 2 ноября. В её исследовании описывались почти идентичные формулировки, появлявшиеся под тремя именами аккаунтов в Telegram, что не позволило определить, был ли замешан один продавец или несколько репостеров.

Рекламируемая цена различалась. В версии от 1 ноября запрашивались договорные 500 000 долларов, а в двух версиях от 2 ноября упоминались 900 000 долларов, причём в одной предполагалось, что цена может упасть до 500 000 долларов.

Brandefense сочла смешанное содержимое и предложение приватных ключей более соответствующими переработанной информации или скаму. Компания заявила, что по состоянию на 3 ноября не открывала и не тестировала образец.

В её анализе различалось рекламируемое количество строк и количество пострадавших людей: 335,9 миллиона строк не означают, что у 335,9 миллиона отдельных клиентов была украдена информация.

У октябрьской атаки на кошелёк был задокументированный след транзакций

В отчёте об инциденте от 3 ноября Binance описала отдельную кражу на 6,34 миллиарда долларов 29 октября, связанную с несанкционированным доступом к сервису подписи кошельков.

В описании атаки биржа проследила вторжение через скомпрометированные устройства сотрудников и украденные учётные данные для развёртывания. В отчёте говорилось, что злоумышленники использовали разрешения Ethereum, чтобы продолжать перемещать активы после приостановки обычных выводов.

Binance сообщила, что последний несанкционированный перевод 2 961,9 ETH был завершён в 23:56 UTC 29 октября. В отчёте цитировалась атрибуция ФБР этой атаки Северной Корее.

Отдельно сентябрьское предупреждение Binance о фишинговых SMS описывало сообщения, в которых утверждалось о подозрительных входах или изменениях аккаунта и которые направляли получателей через сокращённые ссылки. Биржа заявила, что никогда не просит клиентов подтверждать или защищать свои аккаунты через ссылки в текстовых сообщениях.