Hakerzy wyprowadzili z Binance 6,3 mld dolarów, większość w 20 minut

Binance, największa na świecie giełda kryptowalut, straciło około 6,3 mld dolarów w ataku hakerskim. Napastnicy opróżnili jej internetowe portfele na dziesięciu blockchainach, a większość środków zniknęła w mniej więcej 20 minut. To największa kradzież kryptowalut w historii — około czterokrotnie większa niż poprzedni rekord, czyli 1,5 mld dolarów skradzionych z konkurencyjnej giełdy Bybit. Binance wstrzymało wypłaty i próbuje ustalić, jak napastnicy uzyskali dostęp do systemu. Na razie osoby przechowujące tam kryptowaluty nie mogą ich przenieść.

Giełda zapewnia, że klienci nie poniosą kosztów straty. „Binance pokryje wszystkie straty ze środków funduszu SAFU oraz funduszy firmy. Środki użytkowników są bezpieczne” — poinformowała w oświadczeniu, odnosząc się do Secure Asset Fund for Users, czyli awaryjnej rezerwy utworzonej na wypadek takich zdarzeń. Wpłaty działają normalnie. Problemem jest dostęp: dopóki wypłaty nie zostaną wznowione, saldo na Binance można oglądać, ale nie da się go przenieść gdzie indziej. To właśnie ryzyko, które podejmują osoby trzymające kryptowaluty na giełdzie zamiast we własnym portfelu.

Pierwsze wyjaśnienie Binance wskazywało na jeden komputer. Wstępne ustalenia sugerowały, że przejęty przez napastnika laptop inżyniera DevOps umożliwił mu dostęp do kontenera usługowego i składanie nieautoryzowanych zleceń wypłaty. Kilka godzin później firma przedstawiła szerszy obraz sytuacji: poinformowała, że „wykryła dodatkowe punkty naruszenia” i określiła incydent jako złożony atak. Współdyrektor generalny Richard Teng napisał, że „napastnik nie skorzystał po prostu z uprawnień jednego inżyniera i nie była to pojedyncza czynność typu «jedno kliknięcie»”. Binance twierdzi, że nie znalazło dowodów na wyciek klucza prywatnego do portfela.

Zewnętrzni śledczy opisują kradzież przygotowaną z wyprzedzeniem. Firma analityczna TRM Labs prześledziła transfer około 6,36 mld dolarów z portfeli Binance na Ethereum, Bitcoinie, Tron, XRP Ledger, Solanie i pięciu innych sieciach. Ustaliła też, że na innych portfelach testowano kod ataku na kilka godzin przed kradzieżą. Ponieważ portfele korzystające z różnych typów kluczy i schematów podpisu wygenerowały dla napastnika prawidłowe podpisy w ciągu mniej więcej pół godziny, TRM uważa, że najprawdopodobniej uzyskał on możliwość skłonienia własnego systemu podpisywania Binance do zatwierdzania wybranych przez siebie transakcji.

TRM z dużą pewnością przypisuje atak grupie TraderTraitor, północnokoreańskiej państwowej jednostce hakerskiej, którą FBI obarczyło odpowiedzialnością za kradzież z Bybit. Do tego samego wniosku doszła firma Chainalysis. Binance nie wskazało sprawcy.

Próby zamrożenia pieniędzy rozpoczęły się w ciągu kilku minut. Firmy emitujące stablecoiny mogą je blokować — i właśnie to zrobiły: Tether zamroził około 1,77 mld USDT, Circle około 825 mln USDC, a Ripple 40,5 mln RLUSD. Z kolei Security Council sieci Arbitrum wymusiła przeniesienie z portfela napastnika około 30 mln dolarów — podała firma TRM. Binance szacuje, że łącznie zamrożono około 3 mld dolarów. Bitcoin i Ether nie mają emitenta, który mógłby je zablokować, dlatego napastnik pospiesznie wymieniał stablecoiny na Ether. Część sprzedał z ponad 10-procentowym dyskontem, by wyprowadzić środki poza zasięg blokady.

W tym miejscu uspokajające zapewnienia tracą na wiarygodności. Według szacunków TRM napastnik nadal kontroluje ponad 420 tys. ETH i 18 270 BTC, czyli około 2,4 mld dolarów, których nikt nie może zamrozić. Firma spodziewa się, że kolejne ruchy będą prowadzić przez mosty międzyłańcuchowe, serwisy wymiany i brokerów pozagiełdowych. Binance nie podało, jaką część swojej awaryjnej rezerwy pochłonie strata, ani nie opublikowało analizy przyczyny ataku. Na razie zapewnienie, że środki użytkowników są bezpieczne, opiera się na słowie firmy, a „dodatkowe punkty naruszenia” nie oznaczają, że udało się już powstrzymać atak.

Giełdy są atrakcyjnym celem, bo przechowują kryptowaluty klientów w gorących portfelach, stale podłączonych do internetu, aby szybko realizować wypłaty. W zeszłym miesiącu Bitget stracił 387,5 mln dolarów w ataku, za który również obwinił Koreę Północną. Tym razem ucierpiał także szerszy rynek: po publikacji informacji Bitcoin i Ether potaniały. Jak podaje CNN, w południe w Hongkongu ich kursy były niższe o około 2–3 proc.

Przerwa w działaniu giełdy stwarza też okazję dla oszustów. Binance apeluje do klientów, by „zachowali ostrożność wobec oszustw” i „nie ufali nieoficjalnym linkom, wiadomościom ani prośbom o dane do konta”. Giełda nie ogłosiła żadnej procedury zwrotu środków ani ich odzyskiwania, która wymagałaby podania haseł, kodów weryfikacyjnych lub danych portfela. Wiadomość obiecująca przyspieszenie wypłaty jest więc oszustwem — niezależnie od tego, jakie logo widnieje na ekranie. Binance nie poinformowało, czy dostęp zostanie najpierw przywrócony w którymś kraju lub w którejś sieci.

Wypłaty są zawieszone od około 22:15 UTC 29 października. W porannym komunikacie z 30 października Binance poinformowało, że wznowienie wypłat w ciągu około 45 godzin nadal jest realne. Oznaczałoby to wczesny poranek w niedzielę 1 listopada, choć firma nie podała, czy wszystkie sieci zostaną ponownie uruchomione jednocześnie. Po zakończeniu napraw Binance obiecało opublikować zaktualizowany raport Proof of Reserves, a po zakończeniu śledztwa — techniczny raport z analizy incydentu.

Do tego czasu największa giełda kryptowalut prosi swoich klientów o coś, co kryptowaluty miały uczynić zbędnym: zaufanie.

Tagi: cyberbezpieczeństwo, kryptowaluty, Binance, Bybit, Richard Teng, TraderTraitor