Binance расследует несанкционированные выводы из горячих кошельков.
Binance подтвердила инцидент безопасности с несанкционированными выводами и предварительно оценила объём затронутых активов примерно в 6,3 млрд USD. По заявлению биржи, совместно с партнёрами удалось заморозить около 3 млрд USD. Компания обещает покрыть потери из резервного фонда SAFU и собственных средств. Таким образом, сообщения вечером 29 октября получили существенное подтверждение, хотя окончательные причины атаки и размер невозмещённых потерь ещё устанавливаются. Binance Support
В последующем обновлении Binance сообщила, что ввод средств работает нормально, а вывод остаётся приостановленным на время усиления защиты. Биржа рассчитывает возобновить выводы в течение 48 часов. Это заявленный ориентир, а не сообщение о восстановлении сервиса. Ранее компания объявляла о временной остановке и ввода, и вывода средств.
Что произошло с Binance 14
Одна из ключевых операций найдена: транзакция 0x53bd…e2f3 выполнена 29 октября в 20:24:23 UTC — 22:24:23 по Риге, в блоке Ethereum № 26300770. Карточка Phalcon фиксирует успешный вызов функции sweep у кошелька Binance. Операция переместила около 167 464,25 ETH, а также токены, включая 1 615 409 498,97 USDT.
Первоначальная оценка всей этой операции — около 2,53 млрд USD — относится к совокупной стоимости ETH и более 60 токенов, а не к одной криптовалюте. BleepingComputer независимо описал этот перевод и последовавшее через 24 секунды перемещение ещё примерно 174,4 млн USD из другого кошелька Binance. BleepingComputer
В опубликованном разборе Bitquery указаны следующие основные адреса:
| Роль | Адрес Ethereum |
|---|---|
| Binance 14 — затронутый горячий кошелёк | 0x28c6c06298d514db089934071355e5743bf21d60 |
| Адрес, инициировавший вызовы | 0x7c8601d4645b93cea45f71e118a729332e6b5ca0 |
| Основной адрес получения активов | 0x5227f603c1ee34ce3c06efe6477003bdfccb2f8c |
Bitquery связывает исходные кошельки с Binance по адресным меткам и данным о резервах. Такие метки помогают установить принадлежность, но сами по себе не раскрывают личность человека, управлявшего атакующими адресами.
По данным исследователей, перед основным переводом для Binance 14 была установлена делегация EIP-7702: этот механизм Ethereum позволяет обычному кошельку исполнять код смарт-контракта. В данном случае делегация дала возможность многократно выводить поступавшие активы. Bitquery фиксирует её установку в 22:20:59 по Риге, основной перевод — спустя три минуты 24 секунды, а отмену — уже 30 октября в 02:10:35.
Связь с Tornado Cash также отражена в независимом расследовании: TRM Labs сообщает о предварительном финансировании операторского кошелька небольшими выводами из миксера, начиная с 28 октября. Это относится к подготовке атаки. Из этого не следует, что похищенные миллиарды затем прошли через Tornado Cash. TRM Labs
Почему 3,5 млрд USD превратились в 6,3 млрд USD
Ранние 3,5 млрд USD были промежуточным подсчётом. Unchained оценил поступления на основной адрес примерно в 3,52 млрд USD за первые 40 минут наблюдения, причём только в Ethereum. В эту сумму входили ETH, USDT, USDC и десятки других токенов; переводы в других сетях оставались за рамками оценки. Unchained
Позднее TRM Labs оценила выводы из связанных с Binance кошельков примерно в 6,36 млрд USD в десяти блокчейнах, считая стоимость активов на момент перемещения. Исследователи связывают атаку с северокорейской группировкой TraderTraitor и заявляют о высокой уверенности. Это атрибуция частной аналитической компании; Binance в рассмотренном заявлении исполнителей не назвала.
Основание отличать происходящее от внутреннего перемещения резервов или обычных выводов клиентов теперь даёт сама биржа. В предварительном сообщении Binance говорится, что компрометация ноутбука DevOps-инженера могла открыть атакующему доступ к служебному контейнеру и позволить отправлять несанкционированные заявки на вывод.
«Мы не обнаружили доказательств утечки каких-либо приватных ключей кошельков», — заявила Binance.
Это предварительная версия механизма проникновения. Действительная криптографическая подпись подтверждает исполнение операции кошельком, но не доказывает, что её санкционировал уполномоченный сотрудник.
Circle заморозила около 823 млн USDC, первая заморозка Tether — около 971 млн USDT
Сообщение о заморозках подтвердилось, однако исходные суммы нуждаются в уточнении. Whale Alert зафиксировал блокировку 971 149 299 USDT на основном адресе получения 29 октября в 23:01:35 по Риге. Это соответствует первоначальному сообщению примерно о 970 млн USD.
Circle внесла тот же адрес в чёрный список USDC в 23:04:59 по Риге. Событие отражено в записи о транзакции заморозки; Unchained оценил заблокированный баланс примерно в 823 млн USDC. Первоначальная цифра 900 млн USD именно для этой заморозки не подтверждается.
Руководитель Circle Джереми Аллэйр сообщил:
«В координации с правоохранительными органами мы заморозили более 800 млн USDC, связанных с инцидентом». Заявление опубликовано в X и воспроизведено BleepingComputer. BleepingComputer
Глава Tether Паоло Ардоино позднее объявил о заморозке более 1,567 млрд USDT, связанных с возможной атакой на Binance. Его заявление охватывает больше средств, чем первая блокировка одного Ethereum-адреса. Сравнивать эти цифры как взаимоисключающие некорректно.
Заморозка ограничивает дальнейшее движение токенов, но ещё не означает их возврата бирже. Поэтому заявленные Binance около 3 млрд USD заблокированных активов нельзя автоматически считать уже возмещённой частью потерь.
Monero выросла, но отмывание через XMR не доказано
Decrypt сообщил о росте Monero примерно на 6% вечером 29 октября. Decrypt
Доказательств того, что именно выведенные из Binance активы вызвали покупки XMR, в проверенных материалах нет. Рост курса не устанавливает ни покупателей, ни происхождение их средств. Decrypt описывает наблюдаемые обмены связанных с атакой кошельков на ETH через децентрализованные площадки и использование USDT как залога для займа в Aave. Это конкретные операции; версия об отмывании через Monero пока остаётся предположением.
Последствия уже вышли за пределы Binance. Поставщик риск-аналитики LlamaRisk в сообщении на форуме Aave подтвердил, что связанный с атакующим кошелёк внёс 60 млн USDT и занял около 19 762 WETH. В ответ были ограничены новые внесения средств и займы на затронутых рынках; погашения и выводы продолжили работать.
К утру 30 октября главный вопрос уже сместился от достоверности слуха к масштабу восстановления. Binance признала несанкционированные выводы, но окончательный технический отчёт, сверка возвращённых активов и обновлённое подтверждение резервов ещё впереди. Обещание покрыть потери — позиция компании; фактическое восстановление доступа пользователей к средствам должно подтвердиться отдельно. Binance Support
Редакция digital times
Изображение: Binance / Wikimedia Commons, PD-textlogo.
1 комментарий
Обсуждение закрыто.