Binance teigia, kad 6,34 mlrd. USD įsilaužimas prasidėjo netikru darbo pokalbiu
6,34 mlrd. USD vagystė iš „Binance“ prasidėjo nuo netikro darbo pokalbio ir truko penkis mėnesius, kol pajudėjo viena moneta, antradienį pranešė birža savo pirmojoje viešoje paskyroje apie spalio 29 d. išpuolį.
Kitoje pradinėje „Binance“ ataskaitoje apie incidentą, paskelbtoje kartu su generalinio direktoriaus Richardo Tengo ir vyriausiojo saugumo pareigūno Jimmy Su pranešimu žiniasklaidai, aprašoma kampanija, apimanti užnuodytos programinės įrangos atsisiuntimą, etapinį įdarbinimo procesą, kenkėjiškas programas, kurios išvengė galinių taškų aptikimo, ir vidinį AI įrankį, kurį užpuolikai nukreipė prieš pačios įmonės piniginės inžinierius.
„Binance“ teigė, kad užšaldė arba perėmė apie 2,85 mlrd. USD pavogto turto ir iš savo lėšų papildė 98% paveiktų žetonų, o likutis buvo nupirktas atviroje rinkoje.
„Tai nebuvo viena klaida ar vienas pažeidimas – tai buvo kelis mėnesius trukusi kampanija“, – rašė Tengas ant X. „Skelbiame visą ataskaitą, nes pamokos apima daug daugiau nei Binance“.
FTB ataką priskyrė Šiaurės Korėjai. „Binance“ ataskaitoje cituojamas šis atradimas, tačiau jis nenurodomas. Pchenjanas pirmadienį atmetė pretenziją, o lyderio Kim Jong Uno sesuo Kim Yo Jong pavadino tai „rimta politine provokacija“ per valstybinę žiniasklaidą.
„Binance“ įsilaužimas turėjo pasirengti penkis mėnesius
„Binance“ teigimu, pirmasis šio įsilaužimo pagrindas buvo birželio mėn. Piniginės „DevOps“ inžinierius ieškojo populiaraus AI kodavimo įrankio ir atsisiuntė sugadintą „Homebrew“ diegimo programą.
„Binance“ saugos komanda užfiksavo anomaliją, pakeitė įrenginį ir sukeitė kredencialus, tačiau epizodas atskleidė inžinieriaus vaidmenį ir piniginės infrastruktūros komandos kolegų vardus.
Rugsėjo mėnesį į antrąjį inžinierių teisėtai darbo platformoje kreipėsi kažkas, prisistatęs projekto direktoriumi. Po to sekė vaizdo interviu su tariamu personalo atstovu, o pašnekovas pasidalino asmenine socialinių tinklų paskyra, kad sukurtų pasitikėjimą. Antrasis pokalbis su tariamu generaliniu direktoriumi baigėsi „užduotis“: kodų saugykla, kurią inžinieriui buvo liepta įdiegti savo darbo mašinoje.
Saugykla teisėtą pyenv komponentą pakeitė kenkėjiška versija ir atidarė kanalą užpuoliko valdomam serveriui. Binance teigė, kad nulinės dienos kenkėjiška programa tuo metu nebuvo pažymėta galutinio taško įrankiais.
Spalio 20 d. užpuolikai naudojo tą mašiną ir vidinį AI įrankį, kad pasiektų dar du piniginės inžinierius, iš kurių vienas turėjo konteinerio dislokavimo žetoną. Spalio 29 d., tarp 17:15 ir 19:56 UTC, jie prisijungė prie trečiojo inžinieriaus kompiuterio, išskleidė konteinerį su pavogtais kredencialais ir paleido kanalizaciją. „Binance“ teigė, kad šiais metais blokavo 57 kitus įtariamus su Šiaurės Korėja susijusius bandymus naudojant panašius masalus.
Keturios valandos turi būti
Pinigai greitai išėjo. Nuo 20:05 iki 20:09 UTC penkios karštosios piniginės užpuoliko adresu išsiuntė 233,46 mln. XRP. Piniginės „Solana“ ir „Optimism“ sekė apie 970 500 SOL ir 44,2 mln. Tada „Binance“ karštoji piniginė išsiuntė 18 270 BTC.
Užpuolikas pasinaudojo pažeista pasirašymo paslauga, kad iškviestų „Ethereum“ EIP-7702, leidžiančią paskyrai perduoti išmaniosios sutarties vykdymo teises neatskleidžiant jos rakto, ir užpuoliko valdomai sutarčiai iš dalies valdyti „Binance“ karštąją piniginę.
Išėmimų sustabdymas nesustabdė paskutinio kanalo. Užpuolikai pateikė 50 pasirašymo sandorių, kad sukurtų tinklo delegacijas, kurios veikė už „Binance“ pašalinimo infrastruktūros ribų. Kadangi piniginėje buvo naudojamas kelių šalių skaičiavimas, nebuvo vieno rakto, kuris juos atšauktų, ir komanda turėjo sukurti procedūrą vietoje. Galutinis neteisėtas pervedimas, 2 961,9 ETH, buvo atliktas 23:56 UTC.
Binance patvirtino delegaciją spalio 30 d. 00:10 UTC.
Ataskaitoje pripažįstama spraga. „Šie iššūkiai pailgino laiką, reikalingą visiškai sustabdyti neteisėtą turto judėjimą“, – sakoma pranešime ir priduriama, kad bendrovė peržiūri savo pasirašymo politikos aprėptį ir karštosios piniginės kontrolę.
Remiantis duomenimis, kuriais Teng antradienį pasidalijo, klientai atsiėmė 10,97 mlrd. USD per 46 valandas po to, kai sekmadienį buvo atnaujintas pinigų išėmimas. Iki 03:00 UTC valandiniai indėliai viršijo išėmimus, o Teng poslinkis vadinamas stabilizavimosi ženklu. Antradienį „Binance“ atnaujino dešimčių turto išėmimą iš devynių tinklų.
Šis pažeidimas Vašingtone tapo diskusijų tašku. CFTC pirmininkas Michaelas Seligas sakė, kad įsilaužimas „įrodo tikslią mūsų mintį“ apie būtinybę federaliniam registravimo būdui ofšorinėms biržoms, o antradienį agentūra patvirtino neterminuotus akcijų ateities sandorius JAV reguliuojamoms prekybos vietoms, pratęsdama spaudimą, kuris prasidėjo nuo Kalshi gegužę įsigyto bitkoino.
„Binance“ teigė, kad atkūrė piniginės sistemą ir vidinį AI įrankį naujose aplinkose, pakeitė paveiktus įrenginius, atšaukė inžinierių įgaliojimus ir išplėtė elgesio anomalijų aptikimą.
Ji paveda atlikti nepriklausomą peržiūrą, didina išlaidas galutinio taško ir kūrėjo aplinkos saugumui ir planuoja dirbtinio intelekto saugumo tyrimų fondą su išorės įmonėmis. Kai kurios techninės detalės, teigiama pranešime, liks privačios.
