Linda examina o hack da Binance e as questões em torno do ataque

A criadora da comunidade Cardano, Linda, examinou a violação de segurança da Binance em um novo vídeo, questionando como os invasores moveram bilhões de dólares enquanto revisava a resposta da exchange e a investigação sobre os responsáveis.

A sua análise vem após a estimativa da Binance de que aproximadamente $6.3 bilhões foram afetados pelo ataque de 29 de outubro. Linda também aborda a especulação de que a violação foi um trabalho interno, ao mesmo tempo em que apresenta conclusões de investigadores que apontam para um grupo de hackers norte-coreano.

Perguntas sobre os controles de segurança da Binance

Linda se concentra na sugestão inicial de que a violação pode ter envolvido um laptop comprometido pertencente a um engenheiro de DevOps da Binance. Ela questiona como um invasor poderia obter acesso a sistemas capazes de mover um valor tão grande e se os mecanismos de proteção deveriam ter interrompido os saques mais cedo.

O vídeo também inclui uma atualização posterior do CEO da Binance, Richard Teng. Na declaração apresentada por Linda, Teng explica que os investigadores identificaram pontos adicionais de violação e descreve o incidente como um ataque complexo.

Segundo essa atualização, os atacantes usaram mecanismos que destruíam ferramentas e vestígios enquanto operavam, o que tornou a investigação mais difícil. As conclusões posteriores indicam que a violação não pode ser reduzida a um único laptop comprometido.

Linda também discute a explicação de Teng sobre como os atacantes obtiveram aprovação de execução envolvendo uma carteira da Binance conectada à internet. A atualização faz referência ao EIP-7702, um mecanismo do Ethereum que permite a uma conta delegar a execução para código de contrato inteligente. De acordo com a declaração exibida no vídeo, a delegação não passou pelos controles normais de aprovação da Binance.

Como os atacantes moveram os fundos

Linda descreve uma sequência rápida de transações após o início dos saques não autorizados em 29 de outubro. Segundo seu relato, a maior parte dos ativos afetados foi movimentada em aproximadamente 20 minutos.

As emissoras de stablecoins Tether e Circle começaram a bloquear endereços associados aos atacantes. Tais restrições podem impedir que os tokens afetados sejam movimentados adiante, embora congelar ativos seja algo distinto de recuperá-los e devolvê-los.

Linda explica que os atacantes depositaram USDT roubado no protocolo de empréstimos Aave e o usaram como garantia para tomar ETH emprestado. Ela também descreve stablecoins roubadas sendo trocadas por ETH antes que alguns endereços de recebimento fossem bloqueados.

ETH não tem um emissor central capaz de congelar tokens em um endereço da mesma forma que os emissores de USDT e USDC. Linda usa as transações para mostrar como os atacantes se moveram entre ativos enquanto os esforços de congelamento estavam em curso.

Seu vídeo também destaca uma observação da Chainalysis de que milhares de transações pareceram circular fundos entre endereços, por vezes retornando-os a endereços envolvidos anteriormente na sequência. Linda relaciona o padrão à automação e a esforços para obscurecer o rastro dos fundos.

Aave restringiu temporariamente novos depósitos e tomadas de empréstimo como precaução. Linda observa que os usuários ainda podiam sacar fundos e quitar empréstimos, enquanto alterações subsequentes deixaram USDT, USDC e vários outros ativos com relação empréstimo para valor igual a zero, impedindo seu uso como garantia para novas tomadas de empréstimo.

[NEWSBREAK]

Especulação sobre participação interna e a investigação

Linda aborda a especulação online de que a violação pode ter envolvido pessoas de dentro. Ela descreve suas dúvidas sobre a escala do roubo e o foco inicial no laptop de um funcionário, mas não apresenta evidências que estabeleçam uma participação interna.

Ela também examina conclusões que apontam em outra direção. De acordo com a análise apresentada em seu vídeo, a empresa de inteligência blockchain TRM Labs atribuiu o ataque a Trader Traitor, um grupo ligado à Coreia do Norte. Linda descreve o relato da empresa sobre preparativos que começaram pelo menos 36 horas antes do roubo, incluindo configuração de carteiras e testes.

Linda menciona conclusões da Chainalysis e do investigador ZachXBT sobre conexões entre fundos do incidente da Binance e um hack anterior da Bitget associado a atacantes norte-coreanos. No momento da gravação, ela observa, a Binance não havia confirmado oficialmente quem realizou o ataque.

O vídeo também aborda o compromisso da Binance de cobrir as perdas. Em uma declaração mostrada por Linda, a exchange disse que havia reservado mais de $6.34 bilhões de fundos da empresa, com cerca de $5 bilhões já mantidos nos mesmos tipos de ativos afetados.

Desde então, a Binance começou a restaurar os saques em fases. Em 1 de novembro, a exchange iniciou a reabertura do serviço para uma seleção de ativos e redes, com a disponibilidade variando por token e blockchain.