Editor | WuBlockchain dan ChatGPT
Ringkasnya:
Investigasi awal Binance semula mengarah pada dugaan bahwa komputer seorang insinyur DevOps telah disusupi. Titik-titik intrusi tambahan kemudian ditemukan. Bursa tersebut menyatakan bahwa insiden ini melibatkan beberapa faktor, sementara jalur serangan secara lengkap dan cara tanda tangan valid dihasilkan masih belum dapat dipastikan.
Tanda tangan on-chain yang valid tidak membuktikan bahwa kunci privat telah bocor. Apakah penyerang menyalahgunakan layanan penandatanganan, dan bagaimana izin kontainer mungkin memberikan kemampuan untuk melakukan penandatanganan, masih menjadi pertanyaan yang menunggu laporan teknis pascainsiden.
EIP-7702 digunakan untuk mentransfer aset secara berkelompok dan berulang kali menyapu dana yang masuk, tetapi tidak dapat menjelaskan semua transfer abnormal di berbagai chain. Otorisasi berbahaya tersebut telah dicabut.
Binance mengatakan telah menyisihkan dana perusahaan lebih dari $6,34 miliar untuk menanggung insiden tersebut. Sekitar $5 miliar telah tersedia dalam token terdampak terkait, sementara sisanya dibeli melalui pasar dan kanal OTC. Dana ini tidak mencakup aset senilai sekitar $3 miliar yang dibekukan, yang masih menunggu pemulihan dan verifikasi.
Pada 29 Oktober, Waktu Musim Panas Timur (EDT), Binance mengatakan penyelidikan awalnya menunjukkan bahwa laptop seorang insinyur DevOps mungkin telah disusupi, sehingga penyerang dapat mengakses kontainer layanan dan mengirimkan transaksi penarikan tanpa izin. Pada tahap itu, bursa tersebut mengatakan belum menemukan bukti bahwa kunci privat wallet telah bocor. Dalam pembaruan berikutnya, Binance mengatakan penyelidik telah mengidentifikasi titik-titik intrusi tambahan dan menggambarkan insiden tersebut sebagai serangan canggih.
Dalam pembaruan layanan terpisah, Binance mengatakan ada beberapa faktor yang terlibat dan komputer yang disusupi mungkin telah menjadi titik masuk. Tim keamanannya sedang melacak seluruh jalur serangan. Pengungkapan ini menambahkan petunjuk mengenai akses ke sistem internal pada analisis on-chain sebelumnya. Namun, hubungan antara titik-titik intrusi tambahan tersebut, serta cara penyerang memperoleh otorisasi dan tanda tangan transaksi yang dapat diverifikasi secara on-chain, belum diungkapkan.
1. Temuan Awal Binance: Sekitar $6,3 Miliar Terdampak, $3 Miliar Dibekukan
Dalam pengumuman yang diterbitkan pada pukul 22.23 EDT tanggal 29 Oktober, Binance awalnya memperkirakan total dampak insiden tersebut sekitar $6,3 miliar dan mengatakan telah bekerja sama dengan mitra blockchain untuk membekukan sekitar $3 miliar aset terkait secara on-chain. Total aset beku terverifikasi yang sebelumnya diungkapkan Binance adalah $2,54 miliar. Perkiraan total dampak tersebut bukan merupakan kerugian bersih akhir setelah memperhitungkan aset yang dibekukan dan dipulihkan.
Dalam pernyataan terbarunya, Binance mengatakan telah menyisihkan dana perusahaan lebih dari $6,34 miliar untuk menanggung insiden tersebut, dengan sekitar $5 miliar telah tersedia dalam token terdampak terkait. Binance sedang membeli token yang tersisa melalui pasar dan kanal over-the-counter (OTC) untuk menutup kekurangan aset. Binance mengatakan likuiditas yang terbatas pada beberapa token, ditambah waktu yang diperlukan untuk penyelesaian OTC, dapat membuat proses pembelian tersebut memakan waktu lebih lama.
Binance menegaskan bahwa dana ini tidak mencakup aset yang dibekukan atau dilindungi. Aset terkait senilai sekitar $3 miliar telah dibekukan, tetapi pemulihan dan verifikasi masih tertunda. Platform tersebut mengatakan telah mulai memulihkan aset terdampak bagi pengguna dan terus bekerja sama dengan penegak hukum, penerbit, perusahaan intelijen blockchain, dan mitra industri untuk melacak, membekukan, serta memulihkan dana tambahan. Binance mengatakan akan terus menggunakan sumber daya perusahaan untuk menutup kekurangan aset yang terkonfirmasi dan pada akhirnya memberikan verifikasi publik atas dana pengguna melalui bukti cadangan.
Terkait ketersediaan layanan, Binance kemudian mengklarifikasi bahwa deposit tidak terdampak, sementara penarikan masih ditangguhkan. Timnya sedang melakukan perbaikan keamanan pada layanan penarikan dan alamat terkait. Pembaruan penyelidikan terbaru menyebutkan bahwa arus keluar terkait telah berhenti setelah penarikan ditangguhkan, dan layanan penarikan diperkirakan akan kembali beroperasi dalam waktu 45 jam sejak pernyataan tersebut.
Mengenai penyebabnya, Binance telah mengungkap petunjuk terkait dugaan kompromi pada komputer seorang insinyur, akses ke kontainer layanan, dan penarikan tanpa izin. Binance juga telah mengonfirmasi penemuan titik-titik intrusi tambahan. Bagaimana komputer tersebut disusupi, izin apa saja yang dimiliki kontainer, dan bagaimana berbagai titik intrusi itu bergabung membentuk jalur serangan masih perlu dijelaskan dalam analisis teknis menyeluruh setelah insiden.
2. Dari Akses Kontainer hingga Tanda Tangan Valid: Apa yang Masih Belum Terungkap?
Menurut analisis Blockaid, otorisasi EIP-7702 untuk Binance 14 memiliki tanda tangan valid yang dapat diverifikasi terhadap alamat wallet tersebut. Setelah otorisasi berlaku, penyerang mentransfer aset menggunakan kode delegasi berbahaya. Beberapa hot wallet lain juga melakukan transfer biasa dengan tanda tangan valid dari akun masing-masing. Catatan on-chain ini memunculkan pertanyaan utama: Bagaimana penyerang memperoleh tanda tangan valid tersebut?
Tanda tangan valid saja tidak membuktikan bahwa kunci privat telah bocor. Penyerang dapat menghasilkan tanda tangan valid dengan memperoleh kunci privat secara langsung atau menyalahgunakan sistem yang berwenang meminta tanda tangan tanpa dapat membaca kunci itu sendiri. Catatan on-chain saja umumnya tidak dapat membedakan kedua skenario ini. Catatan log sistem internal, konfigurasi izin, dan catatan permintaan penandatanganan juga diperlukan.
Pengumuman Binance sebelumnya menyebutkan bahwa penyerang memperoleh akses ke kontainer layanan dan mengirimkan transaksi penarikan tanpa izin setelah komputer insinyur tersebut diduga disusupi. Sisi Binance kemudian menjelaskan bahwa komputer karyawan yang disusupi itu hanyalah titik awal. Menyusupi satu perangkat atau mengeksploitasi izin seorang insinyur saja tidak cukup untuk memindahkan dana; serangan yang sebenarnya melibatkan proses yang lebih kompleks. Pada saat itu, penyelidik belum mengaitkan tanggung jawab dengan individu mana pun atau menemukan bukti kebocoran kunci privat wallet. Binance kemudian mengungkapkan adanya titik-titik intrusi tambahan, tetapi tidak menyebutkan lokasinya atau bagaimana titik-titik tersebut saling terhubung.
Pengungkapan ini masih belum menjelaskan bagaimana akses internal menghasilkan tanda tangan on-chain. Apakah penyerang menggunakan kontainer layanan untuk mengakses layanan penandatanganan atau melewati prosedur persetujuan maupun pemeriksaan kebijakan masih menjadi bahan penyelidikan, bukan jalur serangan yang telah dikonfirmasi. Adanya titik-titik intrusi tambahan juga berarti urutan yang diusulkan, yaitu “kompromi komputer, akses kontainer, dan penyalahgunaan layanan penandatanganan”, mungkin hanya menggambarkan sebagian proses atau perlu direvisi seiring munculnya bukti forensik lebih lanjut.
Dalam analisis pihak ketiga sebelumnya, salah satu pendiri Cobo, Shenyu, menyoroti potensi masalah keamanan pada kunci privat atau sistem penandatanganan dan mengatakan tidak ada bukti bahwa kerentanan smart contract secara langsung menyebabkan insiden tersebut. Petunjuk akses internal yang diungkapkan Binance belum mengonfirmasi penilaian itu. Penyelidik masih perlu memastikan bagaimana otorisasi dan tanda tangan transaksi yang valid dihasilkan, serta apakah aktivitas abnormal di berbagai wallet dan chain melibatkan akses atau izin penandatanganan yang sama.
3. Peran EIP-7702: Transfer Berkelompok dan Penyapuan Berulang Setelah Otorisasi
EIP-7702 menjelaskan cara penyerang beroperasi melalui Binance 14 setelah otorisasi berbahaya berlaku. EIP-7702 memungkinkan akun yang dimiliki secara eksternal untuk menandatangani otorisasi yang mendelegasikan eksekusi kode ke kontrak tertentu, sehingga fitur seperti operasi berkelompok dan pembayaran gas bersponsor dapat digunakan. Jika akun tersebut mendelegasikan ke kontrak berbahaya, kemampuan eksekusi yang sama dapat digunakan untuk menguras aset.
Menurut Blockaid, penyerang mengirimkan serangkaian otorisasi yang sesuai dengan nonce akun yang berbeda. Salah satunya akhirnya cocok, sehingga delegasi berbahaya dapat berlaku. Hal ini mengatasi masalah pencocokan otorisasi dengan status eksekusi akun. Namun, penyerang tetap harus memperoleh tanda tangan valid sebelumnya, sehingga hal ini tidak menjelaskan kompromi awal.
Setelah delegasi berlaku, penyerang dapat memanggil kontrak berbahaya untuk mentransfer ETH dan berbagai token secara berkelompok tanpa memperoleh tanda tangan wallet baru untuk setiap aset. Yang lebih penting, delegasi EIP-7702 tidak otomatis kedaluwarsa setelah satu transaksi selesai. Blockaid mencatat penyerang menyapu aset tambahan yang disetorkan ke Binance 14 setelah pengurasan awal. Karena itu, mengosongkan saldo wallet tidak menghilangkan kemampuan penyerang yang terus berlanjut untuk memengaruhi alamat tersebut.
Pendiri SlowMist, Cosine, menyampaikan pandangan pihak ketiga bahwa penyerang memilih EIP-7702 terutama untuk mempermudah penyapuan token secara berkelompok dari hot wallet, dan mekanisme itu sendiri tidak memiliki cacat. Operasi serupa dapat dilakukan dengan metode lain tanpa EIP-7702. Berdasarkan penilaian tersebut, penyelidikan seharusnya berfokus pada bagaimana otorisasi berbahaya ditandatangani, bukan menganggap penggunaan EIP-7702 saja sebagai bukti kerentanan protokol.
Namun, delegasi EIP-7702 pada Binance 14 saja tidak dapat menjelaskan transfer abnormal dari wallet di chain lain. Blockaid mengamati bahwa beberapa hot wallet lain menggunakan transfer biasa. Karena itu, otorisasi delegasi pada Binance 14 dan tanda tangan transaksi dari wallet lain perlu diselidiki secara terpisah, termasuk apakah keduanya melibatkan akses internal atau izin penandatanganan yang sama.
Menurut penyelidikan on-chain Bitquery, Binance 14 menghapus delegasi EIP-7702-nya pada pukul 20.10 EDT tanggal 29 Oktober. Binance kemudian mengonfirmasi bahwa otorisasi untuk alamat terdampak telah dicabut. Penghapusan delegasi menghilangkan izin eksekusi persisten pada alamat tersebut, tetapi tidak menggantikan pemeriksaan keamanan pada sistem internal dan wallet lainnya.
4. Pembaruan Respons Aset: Pembekuan, Penukaran, dan Transfer
Selain pengungkapan Binance mengenai total aset beku sekitar $3 miliar, pihak lain melaporkan langkah-langkah respons spesifik. Arbitrum Security Council memindahkan sekitar 74,56 juta ARB dan 8.425 ETH dari alamat yang terkait dengan insiden ke wallet perantara yang dibekukan. ZachXBT menilai aset tersebut sekitar $30,5 juta. Menurut Specter, First Digital memasukkan alamat penyerang yang menyimpan sekitar 3,4 juta FDUSD ke daftar hitam. Belum ada perincian lengkap yang memastikan apakah jumlah-jumlah ini sudah termasuk dalam total aset beku, sehingga jumlah tersebut tidak boleh ditambahkan secara terpisah.
Pemantauan on-chain sebelumnya juga mendokumentasikan penukaran dan transfer aset oleh penyerang. Lookonchain melaporkan bahwa tujuh token—UNI, ENA, PEPE, LINK, AAVE, ONDO, dan WLD—telah dijual dengan total 70.480 ETH, senilai sekitar $158,25 juta pada saat itu. Onchain Lens melacak perpindahan lebih dari $1 miliar dalam bentuk ETH ke wallet baru dan melaporkan bahwa penyerang mulai menjual STRK. Dugaan mereka bahwa penyerang sedang bersiap menggunakan mixer masih bersifat spekulatif; transfer tersebut tidak membuktikan bahwa dana telah masuk ke mixer.
LlamaRisk juga melaporkan bahwa sebuah alamat yang terkait dengan insiden telah menyetor sekitar 60 juta USDT ke Aave dan meminjam 19.762 WETH. Menurut penilaian saat itu, posisi tersebut masih memiliki jaminan yang memadai. Aave membekukan total 292 cadangan aset di V3 dan V4, sehingga deposit dan peminjaman baru dihentikan. Pelunasan, penarikan, dan likuidasi tetap beroperasi, sementara penarikan masih bergantung pada likuiditas pasar, kesehatan akun, dan kondisi lainnya.
Sementara itu, insinyur smart contract Justin Kalland menyimpulkan dari karakteristik transaksi bahwa alamat yang terkait dengan penyerang mungkin telah menggunakan MetaMask Gas Station, yang berpotensi menyediakan catatan off-chain yang relevan untuk penyelidikan. Belum dipastikan apakah catatan tersebut ada dan apakah catatan itu dapat membantu mengidentifikasi penyerang.
Analisis teknis menyeluruh setelah insiden masih perlu memastikan bagaimana komputer tersebut pertama kali disusupi, di mana titik-titik intrusi tambahan berada dan bagaimana keterkaitannya dengan komputer yang disusupi, izin apa saja yang dimiliki kontainer layanan, serta bagaimana penyerang memperoleh otorisasi dan tanda tangan transaksi yang valid. Penyelidik juga perlu menentukan apakah aktivitas abnormal di berbagai wallet dan chain memiliki titik masuk yang sama, serta mengapa mekanisme izin dan persetujuan yang ada gagal mencegah operasi tersebut. Jawaban atas pertanyaan-pertanyaan ini akan menghubungkan temuan penyelidikan internal Binance dengan aktivitas yang telah teramati di on-chain.
Ikuti kami
Twitter: https://twitter.com/WuBlockchain
Telegram: https://t.me/wublockchainenglish