Цю статтю зібрав і впорядкував BlockWeeks
Binance опублікувала свій перший звіт про розслідування інциденту відтоку цифрових активів на суму приблизно 6,34 мільярда доларів, що стався 29 жовтня. У звіті відтворено ланцюг атаки, що тривав чотири місяці: точкою входу став підроблений інсталяційний пакет програмного забезпечення в червні, а ключовим проривом — ретельно спланована фальшива співбесіда щодо роботи у вересні.
Червень: завантаження «інструменту для AI-програмування» заклало насіння
За даними Binance, інженер DevOps гаманця в червні завантажив підроблений інсталяційний пакет Homebrew, шукаючи певний інструмент для AI-програмування. Згодом Binance виявила ознаки компрометації на цій машині, замінила пристрій інженера та скинула облікові дані. Однак біржа визнала, що цей інженер разом з іншими колегами з команди інфраструктури гаманців на той час уже були відкриті для огляду з боку зловмисників.
Вересень: рекрутер, який видавав себе за «директора проєкту»
У вересні з другим інженером на платформі з працевлаштування зв'язалася особа, яка назвалася «директором проєкту». Ця особа спочатку організувала відеоспівбесіду з нібито представником відділу кадрів, потім перенесла другий раунд у соціальний чат-застосунок, де співрозмовник стверджував, що керує компанією, якої не існувало, і зрештою попросила інженера завантажити «завдання» на виданий компанією комп'ютер — сам цей репозиторій коду був шкідливим програмним забезпеченням.
Binance заявила, що це шкідливе програмне забезпечення нульового дня на той момент не було виявлено її інструментами захисту кінцевих точок.
20 жовтня: внутрішні AI-інструменти стали трампліном
Binance заявила, що 20 жовтня зловмисники використали комп'ютер другого інженера та набір внутрішніх AI-інструментів, щоб отримати контроль над обліковими записами першого й третього інженерів, і знайшли на машині першого інженера токен розгортання контейнера.
29 жовтня: п'ять гарячих гаманців спустошено за чотири хвилини
29 жовтня зловмисники використали викрадені облікові дані, щоб увійти на комп'ютер третього інженера, розгорнути контейнери та запустити шкідливі скрипти.
Binance розкрила, що між 20:05 і 20:09 за UTC п'ять гарячих гаманців переказали 233,46 мільйона XRP на адреси, контрольовані зловмисниками; гарячі гаманці Solana та Optimism втратили приблизно 970 500 SOL і 44,2 мільйона OP відповідно. Згодом один гарячий гаманець переказав ще 18 270 BTC.
Далі зловмисники використали внутрішній сервіс підпису та скористалися функцією Ethereum EIP-7702 (яка дозволяє гаманцю делегувати певні дозволи на транзакції контракту), щоб надати контрольованому зловмисниками контракту часткові дозволи щодо гарячого гаманця через 50 підписаних транзакцій.
MPC врятував ситуацію, але стоп-лос спрацював із запізненням на пів кроку
Оскільки гаманець використовував архітектуру багатосторонніх обчислень (MPC), жоден окремий приватний ключ не міг відкликати ці делегування, тому команді Binance довелося на ходу створювати спеціальний процес виправлення, що подовжило необхідний час. Останній несанкціонований переказ становив 2 961,9 ETH, який завершив остаточне підтвердження о 23:56 за UTC; Binance очистила відповідні делегування лише о 00:10 30 жовтня.
Відновлення, аудит і підхід до компенсації
Binance заявила, що відновила постраждалі системи гаманців і внутрішні AI-інструменти, замінила відповідні пристрої та вимкнула облікові дані під іменами залучених інженерів. Біржа також планує залучити незалежну сторонню перевірку та створити фонд досліджень безпеки, заявляючи при цьому, що частина технічних деталей залишиться конфіденційною.
Щодо компенсації активів Binance заявила, що станом на 31 жовтня 98% постраждалих токен-активів було поповнено. Однак цифри в її власних оновленнях про хід відновлення були нижчими: 90% 31 жовтня та приблизно 95% 2 листопада.
