Linda esamina l'hack di Binance e le domande che circondano l'attacco

La creatrice della community Cardano Linda ha esaminato la violazione di sicurezza di Binance in un nuovo video, chiedendosi come gli aggressori abbiano spostato miliardi di dollari mentre passava in rassegna la risposta dell'exchange e l'indagine sui responsabili.

La sua analisi segue la stima di Binance secondo cui circa 6,3 miliardi di dollari sono stati interessati dall'attacco del 29 ottobre. Linda affronta anche le speculazioni secondo cui la violazione sarebbe stata un lavoro interno, presentando al contempo le conclusioni degli investigatori che indicano un gruppo di hacker legato a North Korea.

Domande sui controlli di sicurezza di Binance

Linda si concentra sull'ipotesi iniziale secondo cui la violazione potrebbe aver coinvolto un laptop compromesso appartenente a un ingegnere DevOps di Binance. Si chiede come un aggressore abbia potuto ottenere accesso a sistemi in grado di muovere una somma così grande e se le misure di sicurezza avrebbero dovuto bloccare i prelievi prima.

Il video include anche un successivo aggiornamento del CEO di Binance Richard Teng. Nella dichiarazione presentata da Linda, Teng spiega che gli investigatori avevano identificato ulteriori punti di violazione e descrive l'incidente come un attacco complesso.

Secondo tale aggiornamento, gli aggressori hanno utilizzato meccanismi che distruggevano strumenti e tracce durante le operazioni, rendendo l'indagine più difficile. Le scoperte successive indicano che la violazione non può essere ricondotta a un singolo laptop compromesso.

Linda discute anche la spiegazione di Teng su come gli aggressori abbiano ottenuto l'approvazione all'esecuzione coinvolgendo un wallet di Binance connesso a Internet. L'aggiornamento fa riferimento a EIP-7702, un meccanismo di Ethereum che consente a un account di delegare l'esecuzione a codice di smart contract. Secondo la dichiarazione mostrata nel video, la delega non è passata attraverso i normali controlli di approvazione di Binance.

Come gli aggressori hanno spostato i fondi

Linda descrive una rapida sequenza di transazioni dopo l'inizio dei prelievi non autorizzati il 29 ottobre. Secondo il suo resoconto, la maggior parte degli asset interessati è stata spostata in circa 20 minuti.

Gli emittenti di stablecoin Tether e Circle hanno iniziato a bloccare gli indirizzi associati agli aggressori. Tali restrizioni possono impedire ulteriori movimenti dei token coinvolti, sebbene il congelamento degli asset sia distinto dal loro recupero e dalla restituzione.

Linda spiega che gli aggressori hanno depositato USDT rubati nel protocollo di prestito Aave e li hanno usati come collaterale per prendere in prestito ETH. Descrive inoltre stablecoin rubate scambiate per ETH prima che alcuni indirizzi di ricezione venissero bloccati.

ETH non ha un emittente centrale in grado di congelare token a un indirizzo nello stesso modo degli emittenti di USDT e USDC. Linda usa le transazioni per mostrare come gli aggressori si siano mossi tra asset mentre erano in corso i tentativi di congelamento.

Il suo video evidenzia anche un'osservazione di Chainalysis secondo cui migliaia di transazioni sembravano far circolare i fondi tra indirizzi, a volte riportandoli a indirizzi coinvolti in precedenza nella sequenza. Linda collega questo schema all'automazione e a tentativi di oscurare la traccia dei fondi.

Ave ha temporaneamente limitato nuovi depositi e prestiti in via precauzionale. Linda osserva che gli utenti potevano comunque prelevare fondi e rimborsare i prestiti, mentre modifiche successive hanno lasciato USDT, USDC e diversi altri asset con un rapporto prestito valore pari a zero, impedendone l'uso come collaterale per nuovi prestiti.

[NEWSBREAK]

Speculazioni su un lavoro interno e l'indagine

Linda affronta le speculazioni online secondo cui la violazione potrebbe aver coinvolto persone interne. Espone i suoi interrogativi sulla portata del furto e sul focus iniziale sul laptop di un dipendente, ma non presenta prove che stabiliscano un lavoro interno.

Esamina anche riscontri che puntano in un'altra direzione. Secondo l'analisi presentata nel suo video, la società di intelligence blockchain TRM Labs ha attribuito l'attacco a Trader Traitor, un gruppo legato a North Korea. Linda descrive il resoconto della società sulle preparazioni iniziate almeno 36 ore prima del furto, tra cui configurazione e test dei wallet.

Linda cita riscontri di Chainalysis e dell'investigatore ZachXBT riguardo a connessioni tra fondi dell'incidente di Binance e un precedente hack di Bitget associato ad attaccanti di North Korea. Al momento della sua registrazione, nota, Binance non aveva confermato ufficialmente chi avesse condotto l'attacco.

Il video tratta anche l'impegno di Binance a coprire le perdite. In una dichiarazione mostrata da Linda, l'exchange ha affermato di aver riservato oltre 6,34 miliardi di dollari di fondi aziendali, con circa 5 miliardi già detenuti negli stessi tipi di asset interessati.

Da allora Binance ha iniziato a ripristinare i prelievi a fasi. Il 1º novembre l'exchange ha iniziato a riaprire il servizio per una selezione di asset e reti, con disponibilità variabile a seconda del token e della blockchain.