Ранним утром 30 октября по пекинскому времени произошла атака, которая может войти в историю безопасности криптовалют.
С нескольких горячих кошельков Binance были совершены аномальные переводы. Общая сумма составила около 6,3 млрд долларов, средства переводились в разных блокчейн-сетях.
Это была не обычная кража средств из кошелька.
Самое страшное в этой истории — хакеры, похоже, не взламывали сам блокчейн, а сумели воспользоваться собственной системой биржи для подписания и выполнения транзакций.
Я заново изучил ончейн-записи об этом инциденте и результаты публичного расследования. Некоторые детали заслуживают особого внимания.
I. В 4:20 утра Binance 14 незаметно перешёл под контроль злоумышленников
Злоумышленник нацелился на основной горячий кошелёк Binance — Binance 14.
Этот кошелёк долгое время использовался для перемещения крупных сумм.
Злоумышленник использовал механизм Ethereum EIP-7702.
Проще говоря, обычный кошелёк Ethereum может с помощью авторизации делегировать смарт-контракту часть полномочий на выполнение операций.
После успешной авторизации контракт может выполнять операции с кошельком в соответствии с заданной логикой.
Около 4:20 утра злоумышленник отправил транзакцию с 50 заранее подписанными авторизациями.
Почему их было 50?
Поскольку каждая авторизация соответствовала отдельному nonce (номеру транзакции), злоумышленник не мог точно предугадать текущий nonce кошелька и подготовил сразу 50 возможных вариантов.
В итоге подошёл только один вариант.
Так право выполнять операции с аккаунтом Binance 14 было делегировано вредоносному контракту злоумышленника.
II. Четыре минуты спустя за один раз вывели около 2,5 млрд долларов
В 4:24 утра злоумышленник вызвал вредоносный контракт для выполнения операции Sweep.
За одну транзакцию было выведено:
167 464 ETH
Около 1,615 млрд долларов США в USDT
Более 60 других токенов
Общей стоимостью около 2,5 млрд долларов.
Что ещё более шокирует: 24 секунды спустя другой горячий кошелёк Binance 16 перевёл на тот же адрес злоумышленника около 28 005,6 ETH, а также большое количество других активов.
Эта транзакция также представляла собой обычный перевод с подписью, а не простое копирование операции авторизации Binance 14.
Это означает, что злоумышленник мог получить доступ не к одному кошельку.
III. Самое нелепое: даже после взлома кошелька система автоматического сбора средств продолжала работать
Злоумышленник не прекращал выводить средства.
Поскольку средства, вносимые пользователями, продолжали поступать в горячий кошелёк по прежней схеме, Binance 14, для которого была выдана вредоносная авторизация, продолжал получать средства.
Расследование в блокчейне также зафиксировало последующее пополнение примерно на 200 млн USDT.
Через 72 секунды эти деньги тоже были выведены злоумышленником.
Именно это вызывает наибольшую тревогу во всей этой истории:
В кошельке уже наблюдалась подозрительная активность, но механизм сбора средств не был своевременно отключён.
Это была не просто отдельная транзакция по краже криптовалюты, а непрерывное хищение средств злоумышленником с помощью автоматизированной системы.
IV. Каков реальный ущерб от этого инцидента?
Сначала многие обращали внимание только на движение средств в Ethereum.
Однако последующее кроссчейн-расследование TRM Labs и Bitquery показало, что атака затронула далеко не только Ethereum.
Согласно общедоступным данным расследования:
Из 17 горячих кошельков Binance было выведено активов примерно на 6,3 млрд долларов.
Затронуто от 9 до 10 блокчейн-сетей (оценки разных организаций немного различаются).
Из сети Bitcoin было выведено около 18 270 BTC.
Из сети TRON было выведено около 613 млн USDT.
Из Ethereum также похитили большое количество ETH, USDT и других токенов.
Пострадали и такие сети, как XRP, Solana, Base, Optimism и Avalanche.
Это уже не взлом одного кошелька, а одновременные сбои в нескольких каналах движения средств биржи.
V. Стейблкоины можно заморозить, а с ETH всё не так просто
У этого инцидента есть ещё одна особенность: централизованные эмитенты стейблкоинов могут замораживать соответствующие активы.
Tether заморозила связанные с инцидентом активы на сумму около 1,57 млрд долларов, Circle — более чем на 800 млн долларов. В заморозке средств также участвовали Ripple, World Liberty и другие организации.
Позже Binance сообщила, что совместно с партнёрами заморозила активы примерно на 3 млрд долларов.
Но важно помнить:
Заморозка не означает, что средства уже возвращены, и тем более не означает, что все затронутые активы уже вернулись на Binance.
У ETH нет механизма чёрного списка эмитента, как у USDT, поэтому централизованная организация не может напрямую заморозить аккаунт в основной сети.
Согласно последнему снимку данных блокчейна Bitquery, у злоумышленника по-прежнему около 508 600 ETH и ещё примерно 18 270 BTC. В это количество ETH входят средства, купленные злоумышленником в обмен на украденные активы; не все они были напрямую выведены с Binance.
VI. В предварительном объяснении Binance есть одно важное отличие от деталей, видимых в блокчейне
30 октября Binance опубликовала уведомление об инциденте безопасности:
Согласно предварительному расследованию, атака могла быть связана со взломом ноутбука инженера DevOps. Через него злоумышленник проник в сервисный контейнер и отправил несанкционированные транзакции на вывод средств.
Binance заявила, что на данный момент не обнаружила доказательств утечки приватных ключей кошельков.
Также компания пообещала:
Приостановить соответствующие операции по вводу и выводу средств для проведения проверки безопасности.
Отозвать разрешения для затронутых адресов.
Полностью покрыть убытки за счёт фонда SAFU и средств компании.
Позже опубликовать обновлённое подтверждение резервов.
Здесь есть одно крайне важное различие:
Данные блокчейна подтверждают, что транзакция была подписана действительной подписью, но по одной лишь записи о транзакции нельзя установить, каким именно образом использовался приватный ключ.
Поэтому нельзя просто сделать вывод, что приватный ключ Binance был скомпрометирован.
Вероятнее всего, расследованию подлежит вопрос о том, на каком именно этапе — между внутренними устройствами, сервисными контейнерами, одобрением транзакций и инфраструктурой подписания — был утрачен контроль над безопасностью.
Кроме того, TRM Labs с высокой степенью уверенности связала атаку с северокорейской хакерской группировкой TraderTraitor. Однако это атрибуция сторонней организации по кибербезопасности, а не окончательный вывод Binance.
VII. Этот инцидент стал предупреждением для всей криптоиндустрии
На мой взгляд, важнее всего задуматься не о том, насколько искусны хакеры, а о том, не устарела ли система безопасности бирж.
Раньше считалось, что:
Пока приватный ключ не раскрыт, активы в безопасности.
Но сегодня этого уже недостаточно.
Устройства могут быть взломаны, внутренние сервисы — захвачены, системой подписания могут злоупотребить, а автоматический сбор средств и вовсе может помочь хакерам.
В будущем биржам как минимум следует пересмотреть несколько вопросов:
Предусматривают ли полномочия на подпись независимое многоэтапное согласование?
Можно ли блокировать крупные переводы с помощью мониторинга аномальной активности в реальном времени?
Нужно ли предусмотреть автоматический механизм аварийного отключения горячих кошельков?
Можно ли немедленно приостановить сбор средств, как только в кошельке обнаружится подозрительная активность?
Действительно ли изолированы права доступа между разными сетями и кошельками?
Есть и ещё один важный момент:
Сам по себе EIP-7702 не является уязвимостью, и нет подтверждений, что причиной этой атаки был ИИ. Настоящая опасность в том, что злоумышленники используют всё более сложные технологии, чтобы искать слабые места в традиционных системах безопасности.
И напоследок:
Криптоиндустрия постоянно говорит о децентрализации, о том, что код — это закон, и о самостоятельном контроле над активами.
Но биржи по-прежнему отвечают за хранение активов сотен миллионов пользователей.
Когда горячий кошелёк оказывается под контролем злоумышленника, а система автоматического сбора средств продолжает без остановки перечислять ему деньги, это уже не просто техническая проблема.
6,3 млрд долларов — чрезвычайно дорогой урок по безопасности.
В следующем раунде конкуренции в отрасли придётся состязаться не только в глубине торгов, ликвидности, продуктах и масштабе пользовательской базы, но и в одном важном вопросе:
кто действительно сможет защитить активы пользователей.
Чем быстрее развивается технология, тем важнее, чтобы системы безопасности не отставали.
Этот инцидент ещё не исчерпан. Окончательные ответы появятся после публикации Binance полного технического отчёта о расследовании.
Основные источники для проверки:
Официальное заявление Binance: Security Incident Update (30 октября) — предварительный путь проникновения, ущерб в размере 6,3 млрд долларов, замороженные активы и обещание компенсации.
TRM Labs: расследование связи TraderTraitor из Северной Кореи с атакой на Binance — 50 авторизаций, кроссчейн-атака и атрибуция злоумышленника.
Bitquery: расследование атаки на горячие кошельки Binance в блокчейне — 17 горячих кошельков, движение средств, заморозка и остатки средств у злоумышленника.
Cointelegraph: анализ EIP-7702 и инфраструктуры подписания — 50 авторизаций и различие между злоупотреблением приватным ключом и его утечкой.
CoinDesk: анализ резервов Binance и активов горячих кошельков — связь Binance 14 с подтверждением резервов.
Reuters: сообщение об атрибуции атаки TRM — связь с северокорейской хакерской группировкой.