Linda изучает взлом Binance и вопросы, возникающие вокруг атаки

Создатель сообщества Cardano Linda в новом видео разобрала инцидент с безопасностью на Binance, задавая вопросы о том, как злоумышленники переместили миллиарды долларов, одновременно оценивая реакцию биржи и ход расследования в отношении причастных лиц.

Ее анализ появился после оценки Binance, согласно которой примерно $6.3 billion пострадало в результате атаки 29 октября. Linda также затрагивает предположения о причастности инсайдеров, одновременно представляя выводы следователей, указывающие на северокорейскую хакерскую группу.

Вопросы к мерам безопасности Binance

Linda сосредотачивается на первоначальном предположении о том, что в инцидент мог быть вовлечен скомпрометированный ноутбук инженера Binance DevOps. Она задается вопросом, как злоумышленник мог получить доступ к системам, способным перемещать такие крупные суммы, и могли ли защитные механизмы остановить выводы раньше.

В видео также есть последующее обновление от CEO Binance Richard Teng. В заявлении, которое приводит Linda, Teng объясняет, что следователи выявили дополнительные точки взлома, и называет инцидент сложной атакой.

Согласно этому обновлению, атакующие использовали механизмы, которые по мере выполнения уничтожали инструменты и следы, что осложнило расследование. Позднейшие выводы указывают, что инцидент нельзя свести к одному скомпрометированному ноутбуку.

Linda также обсуждает объяснение Teng о том, как атакующие получили одобрение на исполнение с участием подключенного к интернету кошелька Binance. В обновлении упоминается EIP-7702, механизм Ethereum, который позволяет аккаунту делегировать исполнение коду смарт контракта. Согласно заявлению, показанному в видео, такое делегирование не прошло через обычные контрольные процедуры одобрения Binance.

Как атакующие перемещали средства

Linda описывает быстрый каскад транзакций после того, как несанкционированные выводы начались 29 октября. По ее словам, большая часть затронутых активов была перемещена примерно за 20 минут.

Эмитенты стейблкоинов Tether и Circle начали блокировать адреса, связанные с атакующими. Такие ограничения могут помешать дальнейшему перемещению затронутых токенов, хотя заморозка активов не равнозначна их возврату и восстановлению.

Linda объясняет, что атакующие внесли похищенный USDT в кредитный протокол Aave и использовали его как обеспечение для заимствования ETH. Она также описывает обмен украденных стейблкоинов на ETH до того, как часть адресов получателей была заблокирована.

У ETH нет центрального эмитента, способного замораживать токены на адресе так же, как это делают эмитенты USDT и USDC. Linda использует эти транзакции, чтобы показать, как атакующие перемещались между активами, пока шли усилия по заморозке.

В ее видео также выделено наблюдение Chainalysis о том, что тысячи транзакций, по всей видимости, гоняли средства между адресами, иногда возвращая их на адреса, задействованные ранее в цепочке. Linda связывает эту схему с автоматизацией и попытками скрыть следы средств.

Aave временно ограничил новые депозиты и заимствования в качестве меры предосторожности. Linda отмечает, что пользователи как и раньше могли выводить средства и погашать займы, а последующие изменения оставили для USDT, USDC и ряда других активов показатель LTV равный нулю, что исключило их использование как обеспечение для новых займов.

[NEWSBREAK]

Предположения об инсайдерском следе и расследование

Linda затрагивает сетевые предположения о том, что к инциденту могли быть причастны инсайдеры. Она описывает свои вопросы о масштабах кражи и первоначальном фокусе на ноутбуке сотрудника, но не приводит доказательств, подтверждающих инсайдерскую природу взлома.

Она также рассматривает выводы, указывающие в другом направлении. По анализу, представленному в ее видео, аналитическая компания в области блокчейна TRM Labs приписала атаку группе Trader Traitor, связанной с North Korea. Linda пересказывает версию компании о подготовке, начавшейся как минимум за 36 часов до кражи, включая настройку кошельков и тестирование.

Linda ссылается на выводы Chainalysis и исследователя ZachXBT о связях между средствами из инцидента на Binance и более ранним взломом Bitget, ассоциированным с северокорейскими злоумышленниками. На момент записи, отмечает она, Binance официально не подтвердил, кто совершил атаку.

В видео также затрагивается обязательство Binance покрыть убытки. В заявлении, показанном Linda, биржа сообщила, что зарезервировала более $6.34 billion из средств компании, при этом около $5 billion уже удерживается в тех же типах активов, которые были затронуты.

С тех пор Binance начал поэтапно восстанавливать выводы. 1 ноября биржа приступила к повторному открытию сервиса для ряда активов и сетей, при этом доступность различается в зависимости от токена и блокчейна.