Хакеры вывели из Binance 6,3 млрд долларов, большую часть за 20 минут

Крупнейшая в мире криптовалютная биржа Binance потеряла около $6,3 млрд: хакеры опустошили её онлайн-кошельки на десяти блокчейнах, причём большую часть средств вывели примерно за 20 минут. Это крупнейшая кража криптовалюты за всю историю — примерно в четыре раза больше предыдущего рекорда в $1,5 млрд, похищенных у конкурирующей биржи Bybit. Binance приостановила вывод средств, пока выясняет, как злоумышленникам удалось проникнуть в систему. Поэтому владельцы монет на платформе пока не могут перевести их куда-либо ещё.

Биржа заявляет, что клиентам не придётся покрывать убытки. «Binance возместит все потери за счёт фонда SAFU и средств компании. Средства пользователей в безопасности», — говорится в заявлении. Речь идёт о Secure Asset Fund for Users — резервном фонде на случай подобных чрезвычайных ситуаций. Пополнение счетов работает в обычном режиме. Проблема в доступе: пока вывод средств не возобновлён, баланс Binance можно увидеть, но нельзя перевести в другое место. Именно на такой риск идут люди, хранящие криптовалюту на бирже, а не в собственном кошельке, который они контролируют сами.

В первом объяснении Binance говорилось об одном компьютере. Предварительное расследование показало, что скомпрометированный ноутбук инженера DevOps позволил злоумышленнику получить доступ к контейнеру сервиса и отправить несанкционированные транзакции на вывод средств. Спустя несколько часов компания расширила эту версию: она сообщила, что «обнаружила дополнительные точки проникновения», и назвала произошедшее сложной атакой. Соредиректор Binance Ричард Тенг (Richard Teng) написал, что «злоумышленник не просто воспользовался правами одного инженера, и это не было единичным действием в один клик». Binance утверждает, что не обнаружила утечки закрытого ключа от кошелька.

Внешние расследователи описывают ограбление, которое заранее отрепетировали. Специалисты компании по анализу блокчейна TRM Labs проследили вывод около $6,36 млрд из кошельков Binance в сетях Ethereum, Bitcoin, Tron, XRP Ledger, Solana и ещё пяти блокчейнах. Они также обнаружили, что за несколько часов до кражи код атаки тестировали на других кошельках. Поскольку кошельки с разными типами ключей и схемами подписи в течение примерно получаса выдавали для злоумышленника действительные подписи, TRM пришла к выводу: скорее всего, атакующий получил возможность заставить собственную систему подписи Binance одобрять выбранные им транзакции.

TRM с высокой степенью уверенности связывает атаку с TraderTraitor — северокорейской государственной хакерской группировкой, которую ФБР обвинило в краже у Bybit. К такому же выводу пришла Chainalysis. Сама Binance не назвала виновника.

Гонка за блокировкой денег началась через несколько минут. Компании, выпускающие стейблкоины, могут замораживать их — и именно это они сделали: Tether заморозила около 1,77 млрд USDT, Circle — около 825 млн USDC, а Ripple — 40,5 млн RLUSD. Кроме того, Совет безопасности Arbitrum принудительно вывел из кошелька злоумышленника примерно $30 млн в своей сети, сообщает TRM. По оценке Binance, всего заморожено около $3 млрд. У биткоина и эфира нет эмитента, который мог бы их заблокировать, поэтому злоумышленник поспешил обменять стейблкоины на эфир, продавая часть активов со скидкой более 10%, чтобы вывести их из зоны досягаемости.

Именно здесь успокоительные заявления уже звучат не так убедительно. По оценке TRM, злоумышленник по-прежнему контролирует более 420 000 ETH и 18 270 BTC — около $2,4 млрд, которые никто не может заблокировать. Следующие шаги, предполагают аналитики, пройдут через межсетевые мосты, сервисы обмена и внебиржевых брокеров. Binance не сообщила, какую часть своего резервного фонда придётся потратить на возмещение ущерба, и не опубликовала информацию о первопричине произошедшего. Пока обещание, что средства пользователей в безопасности, основано лишь на словах компании; а «дополнительные точки проникновения» — не то же самое, что устранённая уязвимость.

Биржи становятся заманчивой мишенью, потому что хранят монеты клиентов в горячих кошельках — они постоянно подключены к интернету, чтобы быстро обрабатывать вывод средств. В прошлом месяце Bitget потеряла $387,5 млн в результате атаки, в которой также обвинила Северную Корею. Последствия этого инцидента ощутил и весь рынок: после новости биткоин и эфир подешевели и к полудню в Гонконге торговались примерно на 2–3% ниже, сообщает CNN.

Приостановка вывода средств открывает возможность и для мошенников. Binance призвала клиентов «сохранять бдительность и остерегаться мошенничества», а также «не доверять неофициальным ссылкам, сообщениям и запросам данных учётной записи». Биржа не объявляла о запуске процедуры возврата средств или их восстановления, для которой потребовались бы пароли, коды подтверждения или данные кошелька. Поэтому любое сообщение с предложением ускорить вывод — мошенническое, какой бы логотип в нём ни использовали. Binance также не сообщила, в какой стране или сети доступ к средствам восстановят в первую очередь.

Вывод средств приостановлен примерно с 22:15 UTC 29 октября. В обновлении утром 30 октября Binance сообщила, что рассчитывает возобновить его примерно через 45 часов, то есть, вероятно, ранним утром в воскресенье, 1 ноября. При этом компания не уточнила, откроют ли сразу все сети. После завершения восстановительных работ Binance обещает опубликовать обновлённое подтверждение резервов (Proof of Reserves), а по окончании расследования — технический разбор инцидента.

А пока крупнейшая криптовалютная биржа просит клиентов о том, без чего криптовалюта, по замыслу, должна была позволить обойтись: доверии.

Теги: кибербезопасность, криптовалюты, Binance, Bybit, Richard Teng, TraderTraitor