Binance atskleidžia daugiau pažeidimų taškų per 6 milijardų dolerių įsilaužimą
„Binance“ teigė, kad tyrėjai atskleidė papildomų pažeidimų, susijusių su maždaug 6 mlrd. Birža neatskleidė, kokie buvo tie papildomi pažeidimo taškai.
Ankstesniame spalio 30 d. saugos naujinime birža teigė, kad jos preliminarus tyrimas nustatė galimai pažeistą „DevOps“ inžinieriaus nešiojamąjį kompiuterį, kuris galėjo leisti užpuolikui pasiekti vidinį paslaugų konteinerį ir inicijuoti neteisėtus išėmimus.
Atskleidimas buvo paskelbtas, kai blokų grandinės žvalgybos įmonė TRM Labs priskyrė incidentą su Šiaurės Korėja susijusiam „TraderTraitor“, o nepriklausomi tyrėjai nustatė ryšį tarp pavogtų lėšų ir ankstesnių išpuolių prieš „Bitget“ ir „Phemex“.
Binance tiria pašalinimo infrastruktūrą
„Binance“ teigė, kad nerado jokių piniginės privataus rakto nutekėjimo įrodymų.
Remiantis TRM Labs spalio 29 d. tyrimu, užpuolikai iš su Binance susijusių piniginių pervedė apie 6 milijardus dolerių per 10 blokų grandinių, per maždaug 20 minučių perkeldami didžiąją dalį turto.
Paveikti tinklai apėmė Ethereum, Bitcoin, Tron, Solana ir XRP Ledger.
TRM nustatė, kad užpuolikai pradėjo ruoštis likus mažiausiai 36 valandoms iki vagystės vykdymo, preliminarių operacijų ir kenkėjiško kodo diegimo prieš pagrindinius išėmimus.
„Ethereum“ tinkle TRM teigė, kad užpuolikas naudojo EIP-7702, kad perduotų „Binance“ karštosios piniginės valdymą kenkėjiškam sutarčiai.
Operacija apėmė 50 iš anksto pasirašytų įgaliojimų, iš kurių vienas leido užpuolikui įdiegti operacijos vykdymo instrukcijas ir vėliau ištraukti turtą iš piniginės.
TRM teigė, kad kitų blokų grandinių piniginės vykdė įprastas operacijas su galiojančiais parašais. Jame teigiama, kad suderintos operacijos skirtinguose tinkluose ir pasirašymo sistemose rodo galimą „Binance“ karštosios piniginės pasirašymo infrastruktūros kompromisą.
„Binance“ pranešė, kad atšaukė paveiktą adreso leidimą ir pertvarko savo pašalinimo infrastruktūrą.
Birža taip pat pranešė, kad bendradarbiaudama su „blockchain“ partneriais įšaldė maždaug 3 milijardus dolerių paveikto turto ir įsipareigojo padengti visus nuostolius naudodama savo saugaus turto fondą vartotojams (SAFU) ir įmonių išteklius.
Paskutiniame spalio 30 d. atnaujinime „Binance“ teigė, kad indėliai liko nepakitę ir tikimasi, kad išėmimas bus atnaujintas po 45 valandų. Birža taip pat planuoja paskelbti atnaujintą rezervų įrodymą po ištaisymo.
Ryšiai su Šiaurės Korėja išryškėja, kai pavogtos lėšos sutampa su ankstesniais įsilaužimais
Kol Binance tiria techninį gedimą, blokų grandinės tyrinėtojai nustatė įrodymų, galinčių susieti incidentą su keletu ankstesnių išpuolių, priskirtų Šiaurės Korėjos įsilaužėliams.
„TRM Labs“ teigė esanti labai įsitikinusi, kad už „Binance“ ataką buvo atsakinga su Šiaurės Korėja susijusi programišių grupė „TraderTraitor“, anksčiau susijusi su 1,5 mlrd. USD vertės „Bybit“ išnaudojimu 2025 m.
Įmonė nurodė blokų grandinės veiklos ir ne grandinės žvalgybos derinį, įskaitant panašumus rengiant ataką, naudojant iš anksto pasirašytus įgaliojimus ir pagrobto turto judėjimą.
„Blockchain“ tyrėjas ZachXBT pranešė, kad lėšos, pavogtos per „Binance“ išnaudojimą ir rugsėjį maždaug 388 mln. USD vertės „Bitget“ įsilaužimą, susimaišė tuo pačiu „Ethereum“ adresu.
Pasak ZachXBT, abiejų incidentų lėšos susiliejo adresu 0x15104a9ce0f08a8f0075a0869ae80e795fe0feb7 pravažiavus THORChainą.
Jis teigė, kad sutapimas rodo, kad tas pats veikėjas greičiausiai buvo atsakingas už abi atakas, pažymėdamas, kad „Bitget“ išnaudojimas anksčiau buvo priskirtas „TraderTraitor“, kuris taip pat buvo susijęs su Kelp DAO incidentu.
„Blockchain“ saugos įmonė „MistTrack“ atskirai nustatė kitą ryšį, susijusį su iš „Binance“ pavogtu turtu.
Įmonė pranešė, kad pavogti TRX žetonai praėjo per Bitget Wallet kryžminį grandininį tiltą, kol pasiekė Ethereum adresą, anksčiau susietą su Phemex įsilaužėliu.
„MistTrack“ atsekė lėšas, kurias reikia spręsti 0xCd684D22E8C3600E6eE93B5a57923c3b517f3396kuris, kaip teigiama, atsirado skalbimo pėdsakuose, susijusiuose su ankstesniu Phemex išnaudojimu.
„Binance“ dar nepatvirtino užpuolikų tapatybės ir teigė, kad bendradarbiauja su teisėsauga ir „blockchain“ žvalgybos įmonėmis, kad atsektų pavogtą turtą.
