Взлом Binance начался с одного ноутбука

Примерно $6.3 миллиарда исчезли с Binance за 20 минут, что стало крупнейшим крипто-ограблением в истории. Эта ошеломляющая сумма, примерно в четыре раза превышающая предыдущий рекорд, перемещалась по нескольким блокчейнам в потоке несанкционированных транзакций. Масштаб произошедшего указывает на атакующего с глубоким доступом, а не просто на случайный взлом.

Следователи подозревают, что взлом начался с одного скомпрометированного ноутбука инженера — казалось бы, безобидная отправная точка для такой масштабной кражи. Этот первоначальный плацдарм обеспечил вход в внутреннюю инфраструктуру Binance, позволив злоумышленнику манипулировать системами подписи, не раскрывая напрямую никаких private keys. Это различие имеет решающее значение: ключи оставались в безопасности на своих машинах, но система, уполномоченная их использовать, была скомпрометирована.

Binance описала взлом DevOps-машины наряду с «дополнительными точками взлома», что указывает на сложную многоэтапную атаку. Судебно-медицинские отчеты все еще ожидаются, но полученные данные свидетельствуют о том, что злоумышленник заставил собственные системы Binance подписывать произвольные транзакции. Это позволило быстро опустошить горячие кошельки, продемонстрировав изощренную эксплуатацию внутренних операционных механизмов контроля.

Binance использует общие горячие кошельки для вывода средств клиентов, что является стандартной практикой бирж. Каждый перевод требует подписи private key, однако Binance не обнаружила доказательств кражи ключей. Это различие критично: злоумышленник не украл ключи; он заставил собственные системы Binance подписывать незаконные транзакции.

Фирма по безопасности, как сообщается, отследила 11 различных ключей, подписывающих переводы злоумышленнику, что указывает на системный компромисс, а не на утечку одного ключа. Это предполагает гораздо более коварный вектор атаки, чем простая кража учетных данных. Злоумышленник предположительно обошел типичные меры защиты, манипулируя внутренней инфраструктурой Binance.

Злоумышленники, вероятно, скомпрометировали внутренние службы или контейнеры, фактически превратив доверенную систему подписи Binance в невольного сообщника. Затем они могли запрашивать действительные подписи у собственных систем Binance, что позволяло им авторизовать произвольные транзакции. Это позволило им «вычистить» горячие кошельки, выводя средства, никогда не владея напрямую private keys.

В сети Ethereum злоумышленник подготовил 50 предварительно подписанных авторизационных заметок, чтобы использовать nonce транзакций. Поскольку горячий кошелек активно обрабатывал вывод средств клиентами, 49 попыток не удались из-за несоответствия счетчика. Однако одна попытка совпала с точной последовательностью, опустошив кошелек до жалкого 1 ETH. Это изощренное злоупотребление процессом подписи подчеркивает глубокое нарушение доверия к самой системе.

Злоумышленники столкнулись с движущейся целью. Транзакции Ethereum содержат nonce, последовательное значение, действующее как счетчик транзакций. Поскольку горячий кошелек все еще обрабатывал вывод средств клиентами, его nonce постоянно менялся, делая любую предварительно подписанную авторизацию недействительной, если ожидаемое значение nonce устаревало.

Их сообщенная тактика заключалась в элегантном переборе: подготовить 50 предварительно подписанных авторизаций. Из них 49 попыток, как сообщается, не попали в правильный nonce по мере продвижения счетчика. Однако одна совпала точно, обеспечив очистку, которая опустошила кошелек, оставив в нем всего 1 ETH.

Эта сложная атака, как сообщается, использовала EIP-7702 — предложение, позволяющее externally owned accounts временно делегировать поведение, подобное смарт-контрактам. Такое делегирование может позволить выполнять сложные действия, например, программный вывод средств непосредственно с адреса горячего кошелька, минуя стандартные механизмы контроля мультиподписи. Подобные возможности подчеркивают, почему надежная проверка транзакций и строгий внутренний контроль имеют первостепенное значение. Подробности о взломе см. в статье Binance Links $6.3 Billion Crypto Theft to Compromised DevOps Laptop.

Затем последовала заморозка: по оценкам, от 2,7 до 3 миллиардов долларов в централизованных токенах стали недоступны. Эмитенты, такие как Tether и Circle, быстро внесли украденные активы в черный список, заморозив более 1,5 миллиарда долларов в USDT и 800 миллионов долларов в USDC соответственно. Совет безопасности Ripple и Arbitrum также заморозил оставшиеся балансы стейблкоинов, продемонстрировав присущую этим активам централизацию и возможности вмешательства.

Однако оставшиеся 2,4 миллиарда долларов оказались гораздо более неуловимыми. Активы, такие как ETH и BTC, конвертированные и переведенные через мосты на децентрализованные базовые уровни, оказались вне досягаемости команды на заморозку со стороны какой-либо отдельной организации. Этот резкий контраст подчеркивает неизменный компромисс в криптовалюте: централизованные токены предлагают возможности восстановления, в то время как децентрализованные активы сохраняют устойчивость к цензуре.

Фирмы по отслеживанию транзакций быстро приписали эту сложную атаку субъектам, связанным с Северной Кореей. Binance, со своей стороны, обязалась покрыть все убытки из собственных средств, приостановила затронутые сервисы и пообещала провести всесторонний технический анализ инцидента. Этот случай подчеркивает критический парадокс: даже если некоторые криптоактивы обещают неизменную децентрализацию, инфраструктура, которая их защищает, остается заманчивой целью для высокоорганизованных угроз, спонсируемых государством.

Как, по сообщениям, произошел взлом Binance?

Следователи утверждают, что злоумышленники могли скомпрометировать внутренние системы и использовать инфраструктуру авторизованной подписи Binance для одобрения вредоносных переводов, вместо того чтобы напрямую красть закрытые ключи кошельков.

Почему злоумышленник подготовил 50 подписанных авторизаций?

Счетчик транзакций кошелька, или nonce, постоянно менялся по мере обработки выводов средств. Сообщается, что злоумышленник подготовил несколько попыток, чтобы одна из них могла совпасть с точным значением счетчика.

Почему часть украденной криптовалюты удалось заморозить, а часть — нет?

Эмитенты централизованных токенов могут вносить в черный список некоторые активы, такие как стейблкоины. У нативных активов, таких как ETH и BTC, нет единого эмитента с аналогичной возможностью их заморозки.

Заявила ли Binance, что средства пользователей будут возмещены?

Binance заявила, что покроет убытки из собственных средств, включая фонд SAFU, пока проводит расследование и работает над восстановлением работы затронутых сервисов.