Czego można się nauczyć z ataku hakerskiego na Binance i procesu odzyskiwania środków?

Binance rozpoczął przywracanie dostępu po kradzieży o wartości 6,3 miliarda dolarów, sięgając po własne rezerwy, aby zastąpić aktywa klientów. Jego odzyskiwanie oferuje lekcje na temat tego, jak giełdy zatwierdzają transakcje, komunikują się w czasie kryzysu i pokazują, że klienci mogą odzyskać swoje pieniądze.

Binance rozszerzył wypłaty po poinformowaniu, że zastąpił około 95% aktywów dotkniętych atakiem hakerskim z 29 października o wartości 6,3 miliarda dolarów.

Ogłoszenie Binance z 3 listopada zaplanowało kolejną fazę wypłat od 04:00 UTC, przy czym poszczególne aktywa stawały się dostępne po kontrolach bezpieczeństwa i gotowości. Wpłaty pozostały otwarte, a giełda powtórzyła swoje zobowiązanie do pokrycia strat finansowych.

Klienci stanęli zatem w obliczu dwóch różnych procesów odzyskiwania. Binance pozyskiwał zastępczą kryptowalutę na pokrycie ich sald, podczas gdy śledczy i partnerzy branżowi próbowali odzyskać aktywa zabrane przez atakującego.

Przywrócenie dostępu do wypłat wiąże się z trzecim zadaniem: ustaleniem, że systemy wysyłające te aktywa mogą działać bezpiecznie. Saldo konta, migawka rezerw i zrealizowana wypłata odpowiadają za każdym razem na inne pytanie dotyczące kondycji giełdy.

Atak hakerski na Binance wykroczył poza laptop jednego pracownika

Binance początkowo sugerował, że zhakowany laptop inżyniera mógł stanowić punkt wejścia. W swojej aktualizacji incydentu z 30 października firma podała, że śledczy znaleźli dodatkowe punkty naruszenia, jednocześnie informując, że na tym etapie nie ma dowodów na wyciek kluczy prywatnych portfeli.

W swoim opublikowanym opisie umieściła naruszenie gorącego portfela na około 20:05 UTC 29 października. Giełda podała, że opanowała dotkniętą infrastrukturę, unieważniła autoryzacje i wprowadziła dodatkowe kontrole, podczas gdy śledczy pracowali nad ustaleniem sekwencji zdarzeń.

Rozróżnienie między kradzieżą klucza a uzyskaniem zgody na użycie systemu podpisywania ma kluczowe znaczenie dla śledztwa. Transakcja może zawierać kryptograficznie ważny podpis, nawet gdy firma nigdy nie zamierzała autoryzować przelewu.

Śledztwo on-chain TRM Labs prześledziło przelewy w 10 blockchainach i wyceniło aktywa na około 6,36 miliarda dolarów w momencie ich zabrania. Jego badacze ocenili, że aktywność międzyłańcuchowa wskazywała na naruszenie infrastruktury podpisywania gorącego portfela Binance.

Według TRM aktywność w Ethereum obejmowała 50 wcześniejszych autoryzacji i kontrakt, który mógł zmieść aktywa z portfela Binance. Inne łańcuchy pokazały zwykłe podpisane przelewy, więc wyjaśnienie ograniczone do funkcji portfela Ethereum pozostawiłoby część kradzieży niewyjaśnioną.

Lekcja dotyczy uprawnień otaczających klucz podpisujący w takim samym stopniu jak przechowywania klucza. Firma musi zdecydować, które systemy mogą żądać podpisów, które żądania wymagają oddzielnego zatwierdzenia i jak nietypowe przelewy są zatrzymywane, zanim dotrą do blockchaina.

Architektura zero trust NIST traktuje dostęp jako coś, co musi być uwierzytelnione i autoryzowane dla danego zasobu. Przebywanie w sieci firmowej lub korzystanie z urządzenia należącego do firmy nie ustanawia zaufania samo w sobie.

Zastosowana wobec giełdy zasada oddziela rutynowy dostęp inżyniera od uprawnienia do przenoszenia aktywów klientów. Pracownik może potrzebować utrzymywać infrastrukturę bez potrzeby nieograniczonego dostępu do poleceń wypłaty, danych uwierzytelniających produkcji czy zatwierdzeń transakcji.

Pełny raport techniczny Binance będzie musiał wyjaśnić, jak te granice funkcjonowały podczas ataku. Opublikowane dotychczas dowody uzasadniają pytania o proces podpisywania, ale nie tworzą kompletnej mapy wewnętrznych kontroli firmy.

FBI przypisało kradzież północnokoreańskiej działalności TraderTraitor 31 października i stwierdziło, że skradzione aktywa były wymieniane głównie na ether. Korea Północna zaprzeczyła udziałowi, według doniesień Associated Press z 3 listopada.

Biuro zwróciło się do giełd, usług DeFi, operatorów infrastruktury i innych firm o blokowanie transakcji powiązanych ze zidentyfikowanymi adresami prania pieniędzy. Jego wniosek dotyczył przepływu skradzionych aktywów po naruszeniu, niezależnie od śledztwa Binance dotyczącego początkowego dostępu.

Jak Binance poradził sobie z kryzysem i odzyskiwaniem

Reakcja Binance łączyła ograniczenia wypłat, zakupy zastępcze, współpracę przy zamrażaniu aktywów i serię publicznych komunikatów o odzyskiwaniu. Każdy środek dotyczył innego natychmiastowego problemu, a chronologia pozwala klientom porównać ogłoszenia z późniejszymi działaniami.

Jak wcześniej informował crypto.news, Binance zarezerwował zasoby firmy przekraczające 6,34 mld dolarów i podał, że do 30 października około 5 mld dolarów było już utrzymywane w pasujących kryptowalutach. Celem było stopniowe wznowienie wypłat, z zastrzeżeniem kontroli bezpieczeństwa.

Dopasowanie aktywów było częścią tego zobowiązania. Klienci posiadający określony token mieli prawo do tego tokena, podczas gdy wartość dolarowa dostępnych zasobów giełdy była jedynie pośrednią miarą jej zdolności do zakupu zamienników.

Ogłoszenie o uzupełnieniu z 31 października określiło pokrycie na 90%. Binance wskazał SAFU, część swojego funduszu ubezpieczeniowego futures i skarbiec korporacyjny jako źródła finansowania.

Podał, że 10 zidentyfikowanych głównych aktywów było w pełni zabezpieczonych, podczas gdy mniej płynne tokeny spoza tej grupy wymagały więcej czasu na pozyskanie. Zakupy były dokonywane za pośrednictwem kanałów rynkowych i pozagiełdowych.

Do 1 listopada Binance zgłosił 95% uzupełnienia i ponownie otworzył wypłaty Bitcoin w początkowej fazie odzyskiwania. Pierwszy opublikowany harmonogram obejmował wybrane aktywa w 15 sieciach, a nie każdy token notowany na giełdzie.

Przyjmując zgłoszony przez Binance początek incydentu i najwcześniejszy zaplanowany czas ponownego otwarcia 1 listopada, odstęp wynosił około 57 godzin i 55 minut. Obliczenie to mierzy czas do rozpoczęcia planowanego restartu, a nie czas trwania ograniczeń dla każdego klienta.

Dostęp do wypłat następnie rozszerzał się poprzez poszczególne kombinacje sieci i aktywów. Token dostępny w jednej sieci mógł być nadal niedostępny w innej, więc istotną miarą operacyjną była konkretna ścieżka wypłaty potrzebna klientowi.

Ogłoszenie z 1 listopada stwierdzało, że popyt zarejestrowany w poprzednim tygodniu wpłynął na kolejność ponownego otwierania. Ostrzegało, że ruch może powodować opóźnienia, i nakazywało użytkownikom sprawdzenie statusu wybranego aktywa i sieci.

Rozszerzenie z 3 listopada przebiegało według tego samego podejścia. Binance podał, że wymienione ścieżki zostaną stopniowo ponownie otwarte po kontrolach, przy czym tymczasowe opóźnienia nadal były możliwe podczas wdrażania.

Komunikacja na tym poziomie jest bardziej użyteczna dla klienta niż ogólnogiełdowa deklaracja, że wypłaty zostały wznowione. Klient musi wiedzieć, czy jego aktywo może zostać wypłacone, przez którą sieć i czy złożony wniosek został zrealizowany.

Wytyczne NIST dotyczące reagowania na incydenty umieszczają wykrywanie, reagowanie i odzyskiwanie w ramach ciągłego zarządzania ryzykiem w organizacji. Przywrócenie usługi jest częścią obsługi incydentu, obok zmniejszania szansy na kolejny incydent i usprawniania procesu reagowania.

Komunikaty Binance stanowią zapis kamieni milowych wymiany i ponownego otwarcia. Ocena, jak skutecznie powstrzymała naruszenie, wymaga również osi czasu technicznego, w tym tego, kiedy wykryto nieautoryzowany dostęp, które uprawnienia zostały wyłączone i jak zweryfikowano przywrócone systemy.

Wymiana aktywów i odzyskiwanie skradzionych środków to różne konta

Zamrożenie i zakup zastępczy mogą oba chronić klientów, ale bez dalszego wyjaśnienia nie należą do jednej sumy odzyskania. Jedno ogranicza dostęp atakującego do aktywa; drugie dostarcza aktywo, aby zaspokoić zobowiązanie wobec klienta.

Rozważmy uproszczoną giełdę, która jest winna klientom 100 tokenów po tym, jak skradziono 100 tokenów. Jeśli giełda kupi 100 zamienników, może przywrócić zabezpieczenie klientów, nawet jeśli śledczy nie zwrócili żadnego z oryginalnych tokenów.

Załóżmy, że 40 ze skradzionych tokenów zostaje następnie zamrożonych. Zabezpieczenie klientów pozostaje na poziomie 100 tokenów; nie staje się 140. Zamrożone 40 stanowią możliwe odzyskanie dla strony, której ostatecznie przysługuje prawo ich otrzymania.

Jeśli te 40 zostaną zgodnie z prawem zwrócone giełdzie po tym, jak klienci zostali już zaspokojeni, mogą one pokryć część straty giełdy. Tych samych tokenów nie można jednocześnie liczyć jako aktywów zastępczych i dodatkowego zwrotu klientom.

Binance podała, że do 30 października zamrożono około 3 miliardów dolarów w ramach współpracy z organami ścigania, emitentami i innymi partnerami. Jej program wymiany aktywów przebiegał osobno, wykorzystując zasoby firmy do zakupu brakującej kryptowaluty.

Liczby mają różne daty, założenia wyceny i cele. Zgłoszona suma zamrożonych środków powinna zatem być opisana jako kwota unieruchomiona w podanym momencie, podczas gdy postęp wymiany opisuje pracę giełdy nad przywróceniem zabezpieczenia.

Zastosowanie 95% do zaokrąglonego szacunku incydentu wynoszącego 6,3 miliarda dolarów daje 5,985 miliarda dolarów, pozostawiając 315 milionów dolarów przy tej wycenie. To ilustracyjna arytmetyka, a nie ujawnienie dokładnego pozostałego rachunku za zakup ani niedoboru token po tokenie.

Ceny zmieniają się po kradzieży, a ilość należna w każdym tokenie nie zmienia się automatycznie wraz z jego ceną w dolarach. Pozostały koszyk tokenów wart 315 milionów dolarów przy jednej wycenie może kosztować inną kwotę do nabycia później.

Płynność wprowadza kolejną różnicę. Token może mieć kwotowaną cenę rynkową bez wystarczającej liczby ofert dostępnych w pobliżu tej ceny, aby natychmiast zastąpić duży pakiet.

Zakup za pośrednictwem biurka OTC może pozyskać pakiety od posiadaczy poza publicznym arkuszem zleceń. Nadal wymaga chętnych sprzedawców oraz uzgodnienia ilości, rozliczenia i ceny; istnienie budżetu nie umieszcza wymaganych tokenów w portfelu wypłat.

Wyjaśnienie Binance, że pozyskanie ostatniej części zajęło więcej czasu, należy oceniać w zestawieniu z jej późniejszymi aktualizacjami dotyczącymi pokrycia tokenów i wypłat. Znaczącym punktem ukończenia jest pełne dopasowanie zabezpieczenia i dostęp operacyjny do dotkniętych aktywów, a nie samo zaokrąglone zobowiązanie dolarowe.

Zamrożenie zatrzymuje ruch, zanim rozstrzygnie własność

Emitenci stablecoinów mogą czasami unieruchomić swoje tokeny za pomocą kontroli administracyjnych. Ten sam mechanizm jest niedostępny dla emitenta natywnego bitcoina lub etheru, ponieważ te aktywa nie mają porównywalnego centralnego emitenta.

Warunki USDC firmy Circle opisują blokowanie adresów i warunki umorzenia, w tym ograniczenia prawne, które mogą temu zapobiec. Posiadanie tokena, jego zamrożenie i ustanowienie prawa do jego umorzenia to odrębne kroki wynikające z tych warunków.

Ograniczenie adresu uniemożliwia określone transfery; samo w sobie nie wskazuje właściwego odbiorcy zwrotu. Dowody własności, proces prawny i ustalenia dotyczące zwrotu aktywów mogą nadal decydować o tym, co stanie się dalej.

Arbitrum zastosowało inną interwencję w incydencie z Binance. Zawiadomienie z 30 października Rady Bezpieczeństwa stwierdza, że 8 425 ETH i 74 559 805,2 ARB zostało przeniesionych na adres przechowujący w drodze tymczasowej aktualizacji kontraktu.

Zawiadomienie wyraźnie zastrzega dalsze przeniesienie do głosowania zarządzania ArbitrumDAO. Aktywa przeniesione z adresu powiązanego z atakującym nie zostały zatem automatycznie przekazane do Binance ani jej klientom.

Zakres każdej interwencji musi pozostać jasny. Czarna lista tokenów emitenta, odmowa uznania depozytu przez giełdę i awaryjna aktualizacja na poziomie sieci działają w różnych punktach ścieżki transakcji.

Czas może wpływać na to, co jest jeszcze osiągalne. Jeśli ograniczony token został już wymieniony, zamrożenie pierwotnego adresu nie odwraca każdej transakcji ani nie przechwytuje automatycznie aktywa zastępczego.

Opublikowana przez FBI lista adresów daje usługodawcom wspólny punkt odniesienia dla śledztwa w sprawie prania pieniędzy. Nie daje jednak każdemu operatorowi infrastruktury takiej samej prawnej ani technicznej możliwości zatrzymania transferu.

Dla klientów praktyczną konsekwencją jest to, że ogłoszone zamrożenie może być zachęcające, nie oznaczając zakończonego zwrotu. Następne zgłoszone zdarzenie powinno wskazać, czy aktywa zostały zwrócone, komu, w jakim procesie i w jakiej ilości.

Binance wykorzystało rezerwy służące różnym celom

SAFU to rezerwa awaryjna mająca chronić użytkowników w wyjątkowych sytuacjach. Fundusz ubezpieczeniowy kontraktów terminowych zwykle pełni inną funkcję: pokrywanie strat pozostawionych przez zlikwidowane pozycje, gdy zabezpieczenie jest niewystarczające.

Wykorzystanie rezerw ubezpieczeniowych przez Binance sprawiło, że skład finansowania odzyskiwania stał się istotny dla traderów instrumentów pochodnych. Firma stwierdziła, że wykorzystała nadwyżkowe zasoby, a pozostały fundusz nadal spełniał jej wymogi ryzyka.

Saldo dolarowe funduszu ubezpieczeniowego nie jest miarą tego, ile konkretny trader otrzyma po incydencie bezpieczeństwa. Jest to zasób wspierający ustalenia giełdy dotyczące likwidacji i zarządzania stratami, podlegający zasadom odpowiednich produktów terminowych.

Uproszczone porównanie ilustruje odrębne kwestie. Giełda mogłaby zastąpić wszystkie skradzione tokeny klientów, utrzymując mniejszą rezerwę likwidacyjną niż przed incydentem, chyba że uzupełni tę rezerwę z innego źródła.

Klienci, których aktywa spot zostaną przywrócone, mieliby odpowiedź na pytanie o natychmiastowe zabezpieczenie. Traderzy kontraktów terminowych nadal potrzebowaliby informacji o ochronie dostępnej, gdy upadłe pozycje pozostawiają straty.

Oba wyniki są ze sobą zgodne. Przywrócenie jednej puli nie przywraca, wyłącznie poprzez księgowość, każdego innego bufora, który się do niej przyczynił.

Ujawnienie przez Binance z 31 października wskazało trzy źródła finansowania, ale nie podało w tym zawiadomieniu alokacji dla każdego źródła. Jej stwierdzenie, że wykorzystywane są fundusze firmy, należy zatem czytać wraz z odrębnymi opisami rezerw SAFU i kontraktów terminowych.

Publiczne ujawnienie pobranej kwoty, kwoty pozostałej i harmonogramu uzupełniania ułatwiłoby ocenę konsekwencji finansowania. Taki harmonogram wymagałby dat i odpowiednich kategorii rezerw, ponieważ pojedyncze saldo zbiorcze może ukrywać różnice między produktami.

Weryfikacja konta klienta ma tutaj jeszcze inną granicę. Binance poinformował, że użytkownicy mogą zweryfikować własne aktywa za pośrednictwem swojego systemu proof-of-reserves; system ten nie jest roszczeniem na poziomie klienta wobec funduszu ubezpieczeniowego kontraktów terminowych spółki.

Zobowiązanie do pokrycia kradzieży przypisuje stratę do Binance. Wyjaśnienie, w jaki sposób spółka finansuje to zobowiązanie, pomaga klientom odróżnić przywrócenie ich aktywów od dalszego stanu innych zabezpieczeń finansowych giełdy.

Zasady funduszu ubezpieczeniowego Binance wyjaśniają operacyjne konsekwencje niewystarczającego bufora likwidacyjnego. W przypadku, gdy straty na pozycjach bankrutów przekraczają odpowiedni dostępny fundusz, automatyczne delewarowanie może zostać uruchomione zgodnie z ustaleniami ryzyka produktu.

Jego wyjaśnienie ADL opisuje mechanizm, który może zmniejszyć pozycje posiadane przez traderów po przeciwnej stronie. Różni się to od wypłaty roszczenia z tytułu incydentu bezpieczeństwa i nie powinno być interpretowane jako gwarancja, że zyskowne pozycje nigdy nie mogą zostać dotknięte bankructwem innego tradera.

Fundusz jest również podzielony według obowiązujących ustaleń kontraktowych. Suma łączna w kategoriach nie dowodzi, że każdy dolar jest dostępny na każde zdarzenie likwidacyjne.

To wprowadza kolejne pytanie dotyczące ujawniania informacji po pobraniu środków na odzyskanie: czy pozostałe zasoby pokrywają odpowiednie produkty w ramach określonych przez giełdę ram. Procent odzyskanych skradzionych aktywów nie może odpowiedzieć na to pytanie dotyczące konkretnego produktu.

Binance twierdzi, że jego pozostałe rezerwy nadal spełniają wymagane pokrycie. Opublikowane zasady osobno przewidują wkłady spółki, jeśli fundusz ubezpieczeniowy spadnie poniżej wymaganego minimum.

Weryfikacja rezerw odpowiada na węższe pytanie niż audyt

Binance zakończył weryfikację rezerw dla 10 głównych kryptowalut 2 listopada, wykorzystując snapshot wykonany o 00:00 UTC 31 października. Zakończony dowód kryptograficzny pozwolił uprawnionym użytkownikom sprawdzić swoje włączenie i deklarowane zabezpieczenie dla tego snapshotu.

Objęte aktywa to BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD i ZEC. Czas snapshotu ma znaczenie, ponieważ poprzedza późniejsze etapy ponownego otwarcia wypłat.

W swojej aktualizacji z 2 listopada Binance zaplanował kolejny snapshot obejmujący więcej tokenów na 4 listopada. Wygenerowanie następnego pełnego dowodu miało wymagać około 40 do 50 godzin.

Dlatego datę publikacji i datę pomiaru należy czytać osobno. Dowód zakończony 2 listopada opisuje deklarowaną pozycję z 31 października, a nie stale poświadcza każde saldo w miarę przetwarzania wypłat.

Wyjaśnienie proof-of-reserves Binance opisuje, w jaki sposób zapisy kont i drzewa Merkle pozwalają użytkownikom sprawdzić, że ich salda zostały uwzględnione. Jego mechanizm zero-knowledge wspiera weryfikację bez publicznego ujawniania każdego indywidualnego salda.

Taka kontrola jest przydatna, gdy klienci chcą dowodów wykraczających poza zapewnienie spółki. Nadal ma określony zakres: konkretne aktywa, konkretny zestaw danych konta i konkretny czas pomiaru.

Ostrzeżenie dla inwestorów PCAOB przestrzega przed traktowaniem raportów proof-of-reserve jako audytów sprawozdań finansowych. Zauważa, że procedury mogą pomijać zobowiązania, prawa własności, pożyczone aktywa i inne informacje potrzebne do oceny pełnej sytuacji finansowej podmiotu.

Jego ostrzeżenie ma charakter ogólny, a nie stwierdzenie, że najnowszy dowód Binance jest fałszywy. Właściwe porównanie dotyczy tego, co konkretny dowód ustala, a co czytelnik mógłby w przeciwnym razie zakładać, że ustala.

Klient może zapytać, czy konto zostało uwzględnione, czy wybrany token był objęty i kiedy wykonano snapshot. Ocena całej spółki wymagałaby dalszych informacji na temat zobowiązań, ograniczeń, kapitału i zasobów wykorzystanych w odzyskiwaniu.

Reakcja wykroczyła poza system wypłat Binance

Środki opuszczające giełdę mogą dotrzeć do innych usług, zanim giełda zakończy swoje wstępne dochodzenie. Reakcja kryzysowa obejmuje zatem platformy, które same nie zostały zhakowane, ale mogą otrzymać skradzione aktywa lub przyjąć je jako zabezpieczenie.

Relacja Aave dotycząca incydentu autorstwa LlamaRisk opisuje portfel w klastrze eksploatera, który wpłacił 60 milionów USDT i pożyczył 19 762 WETH między 20:58 a 21:01 UTC 29 października. Pierwsze zamrożenie rynku nastąpiło o 21:42 UTC.

Dostawca ryzyka stwierdził, że pozycja pozostała nadzabezpieczona i podlegała zwykłej likwidacji. Jego relacja opisała prewencyjne zamrożenie, ponieważ skradzione aktywa mogły zostać wymienione na inne aktywa obsługiwane przez protokół pożyczkowy.

Zawieszenie wypłat przez giełdę nie może odwrócić tego pożyczenia. Gdy środki dotrą do innej usługi, reakcja zależy od uprawnień tej usługi, zasad zabezpieczeń i oceny zagrożenia.

Odrębne komunikaty należy zatem czytać na poziomie konkretnego działania. Ograniczenie wypłat przez Binance i zamrożenie nowej działalności pożyczkowej przez Aave dotyczą różnych transakcji i różnych grup klientów.

Komunikacja między firmami może wskazać, gdzie interwencja jest możliwa, ale nie czyni ich uprawnień wymiennymi. Emitent tokena może ograniczyć własny token, opiekun pożyczek może wykonywać uprawnienia protokołu, a rada rollup może korzystać z narzędzi administracyjnych, do których upoważniło ją zarządzanie.

Ograniczenia zależą od zasad danej usługi. Zamrożenie może zatrzymać nową działalność, pozostawiając istniejące pozycje otwarte, a jego odwrócenie przypisane jest upoważnionemu organowi.

Własne komunikaty Binance dotyczące odzyskiwania miały inną publiczność: klientów próbujących odróżnić oficjalne instrukcje od osób oferujących przyspieszenie wypłat. Jej publiczny kanał firmowy ostrzegał, że nie będzie sprzedawać miejsc w kolejce, pobierać opłaty za odblokowanie ani prosić użytkowników o przelanie środków na rzekomo bezpieczne konto.

Ostrzeżenie to ma znaczenie dla sposobu działania etapowego ponownego otwarcia. Klienci oczekujący na konkretny token mają natychmiastowy powód, by szukać aktualizacji, podczas gdy dostępność może zasadnie różnić się między sieciami.

Nieoczekiwana wiadomość może wykorzystać tę niepewność, twierdząc, że klient musi wykonać dodatkowy krok. Żądane działanie może być połączeniem portfela, podpisem lub przelewem przedstawionym jako procedura odzyskiwania.

Biuletyn FBI dotyczący oszustw związanych z odzyskiwaniem opisuje schematy, w których rzekome firmy odzyskujące żądają zaliczki, znikają lub dostarczają nieodpowiednie materiały śledcze, zanim poproszą o więcej. Stwierdza, że prywatne firmy odzyskujące nie mogą wydawać nakazów zajęcia.

Raport ze śledzenia blockchain i prawne uprawnienie do zajęcia aktywów to dwie różne rzeczy. Zidentyfikowanie miejsca docelowego może pomóc w dochodzeniu, ale samo w sobie nie zmusza posiadacza, emitenta ani platformy do przekazania środków.

Wytyczne FTC dotyczące oszustw związanych z refundacją opisują kolejną część oszustwa: przestępcy mogą znać szczegóły wcześniejszej straty i wykorzystać je, aby nowe podejście brzmiało wiarygodnie. Znajomość incydentu nie dowodzi, że dzwoniący reprezentuje poszkodowaną firmę.

Podczas odzyskiwania obejmującego całą giełdę publiczne ogłoszenia dostarczają większości tych informacji każdemu. Rozmiar kradzieży, daty ponownego otwarcia i dotknięte aktywa można skopiować do wiarygodnie wyglądającej wiadomości bez dostępu do konta klienta.

Praktyczne zadanie klienta pozostaje konkretne: sprawdzić wybraną trasę wypłaty za pośrednictwem własnego interfejsu giełdy i odróżnić oczekujące żądanie od żądania nowej płatności. Opublikowany przez firmę proces ponownego otwarcia powinien wyjaśniać wymagane kroki bez polegania na instrukcjach od nieznanego pośrednika.

Jasna komunikacja dotycząca incydentu robi zatem więcej niż tylko zapewnia uspokojenie. Daje klientom punkt odniesienia, według którego mogą sprawdzić żądanie, szczególnie gdy roszczenie dotyczy opłat, kwalifikowalności lub rzekomego programu odszkodowań.

Same ogłoszenia o wypłatach kierują użytkowników do strony statusu aktywów i sieci. Ich obietnicą jest stopniowe operacyjne ponowne otwarcie, bez opublikowanych postanowień dotyczących zakupu pierwszeństwa w tej kolejce.

Zwrot środków nie wyjaśnia, w jaki sposób doszło do naruszenia

Współzałożyciel i dyrektor ds. badań Altcoin Pro, Joni Zhuleku, przekonywał w wywiadzie z 2 listopada, że sam zwrot środków jest niewystarczający. Stwierdził, że Binance musi wyjaśnić, na czym polegał błąd, i wykazać silniejsze mechanizmy kontroli, aby przywrócić zaufanie.

Jego stanowisko dotyczy innej kwestii niż to, czy klienci otrzymają zastępcze aktywa. W pełni pokryty zwrot środków może rozwiązać bezpośredni niedobór, pozostawiając jednocześnie nierozstrzygniętą przyczynę nieautoryzowanych transakcji.

Binance przedstawił swoją zdolność finansową i zobowiązanie wobec klientów jako podstawę do uspokojenia. Richard Teng powiedział 3 listopada, że firma pozostaje silna finansowo, a wpływy i wypływy w dużej mierze wracają do normy, według Reuters.

Dowody na odzyskanie zaufania powinny zatem obejmować zarówno zakończenie programu aktywów, jak i zmiany wprowadzone w zakresie uprawnień do transakcji. To odrębne twierdzenia, które mogą postępować w różnym tempie.

Specyfikacja Ethereum EIP-7702 wyraźnie wskazuje, że podpisane autoryzacje mogą delegować zachowanie konta do kodu. Powiązane wytyczne wdrożeniowe ostrzegają, że delegacja może dać wyznaczonemu kontraktowi kontrolę nad aktywami.

Dla giełdy istotne pytanie operacyjne dotyczy tego, co dopuszcza jej polityka podpisywania, w tym nieznane typy transakcji i trwałe uprawnienia. System, który rozpoznaje zwykły przelew, nadal musi interpretować autoryzację, która zmienia to, co konto może następnie robić.

Porównanie nie ustala, która kontrola Binance zawiodła. Wskazuje uprawnienie, które śledczy muszą uwzględnić przy rekonstrukcji transakcji Ethereum wraz z aktywnością w innych łańcuchach.

Ujawnienie powinno wyjaśniać, które zmiany ochronne obowiązują natychmiast, a które wymagają dalszych prac inżynieryjnych. Wymiana poświadczeń, zmiana zasad zatwierdzania i przebudowa usług to różne działania, nawet jeśli wszystkie pojawiają się pod ogólną obietnicą wzmocnienia bezpieczeństwa.

Klienci mogą porównać gotowy raport z datowanymi komunikatami wydanymi w trakcie incydentu. W przypadkach, gdy firma zrewidowała wczesne wyjaśnienie, końcowy opis powinien pokazywać, jakie nowe dowody zmieniły jej ocenę.

Komunikat Binance z 30 października zobowiązywał do opublikowania szczegółowego raportu technicznego obejmującego atak, wnioski i zabezpieczenia. Kolejny zapowiedziany zrzut rezerw miał być zaplanowany na 4 listopada, z szacowanym dodatkowym czasem 40 do 50 godzin na pełny dowód kryptograficzny.

Na co zwrócić uwagę

• Ukończenie według aktywów: Czy Binance zgłasza pełne zastąpienie tokenów spoza 10 już objętych.
• Dostępność wypłat: Które pozostałe pary sieci i aktywów stają się operacyjne oraz czy utrzymują się opóźnienia w przetwarzaniu.
• Zwrócone środki: Ujawnienia odróżniające zakończone odzyskania od aktywów wciąż zamrożonych lub wstrzymanych w oczekiwaniu na decyzje.
• Uzupełnienie rezerw: Salda z datami i plany zastąpienia dla SAFU oraz funduszy ubezpieczeniowych kontraktów futures wykorzystanych w odzyskiwaniu.
• Ustalenia techniczne: Ostateczna chronologia ataku, zaangażowane uprawnienia do podpisywania i kontrole zmienione po naruszeniu.

FAQ