В этом инциденте с безопасностью Binance, на мой взгляд, есть одна деталь, заслуживающая большего внимания, чем перевод активов на десятки миллиардов долларов.
Утечка приватного ключа не была подтверждена, однако злоумышленникам удалось перевести активы. Как это вообще возможно?
Проще говоря, этот инцидент, возможно, выявил проблему, которую многие упускают из виду: самая серьёзная уязвимость биржи может быть не в кошельке, а за его пределами.
Согласно предварительным данным Binance, атака могла начаться со взлома ноутбука инженера DevOps, после чего затронула внутренние контейнеры сервисов и процесс вывода средств.
Позднее GCSA провела блокчейн-расследование: перепроверила 18 исходных транзакций, 50 начальных подписей авторизации EIP-7702 и одну подпись на отзыв авторизации.
Здесь стоит обратить внимание на одну техническую деталь: одна транзакция Type-4 может содержать 50 авторизаций, но это не означает, что все 50 вступят в силу. Действительная подпись также не означает, что приватный ключ был украден.
В отчёте также проследили три последовательные транзакции, связанные с MetaMask Gas Station, и обнаружили, что сумма пополнения в ETH перед ними точно совпадала с максимальным бюджетом на газ для двух последующих транзакций.
Что касается утверждений о том, что злоумышленники по ошибке выбрали USDT или что MetaMask располагала реальным IP-адресом, — на данный момент их не подтверждают достаточные доказательства.
TRM Labs с высокой степенью уверенности связала инцидент с северокорейской группировкой угроз TraderTraitor, однако это ещё не означает, что удалось полностью установить личность злоумышленников и восстановить ход их действий.
Я всегда считал, что безопасность биржи нельзя сводить только к холодным кошелькам, мультиподписям и приватным ключам.
Компьютеры сотрудников, внутренние права доступа, среда DevOps, сервисы подписания, согласование вывода средств и даже инфраструктура сторонних поставщиков — достаточно сбоя в любом из этих звеньев, чтобы вся система защиты активов оказалась бессмысленной.
И ещё: оценка ущерба от инцидента примерно в 6,3 миллиарда долларов не означает, что таков окончательный чистый убыток, а заморозка активов не равнозначна их возврату.
Главное, над чем стоит задуматься всей отрасли после этого инцидента: если злоумышленникам не нужно напрямую завладевать приватным ключом, чтобы распоряжаться активами, значит, привычное нам представление о границах безопасности биржи, возможно, уже устарело.
Утечка приватного ключа не была подтверждена, однако злоумышленникам удалось перевести активы. Как это вообще возможно?
Проще говоря, этот инцидент, возможно, выявил проблему, которую многие упускают из виду: самая серьёзная уязвимость биржи может быть не в кошельке, а за его пределами.
Согласно предварительным данным Binance, атака могла начаться со взлома ноутбука инженера DevOps, после чего затронула внутренние контейнеры сервисов и процесс вывода средств.
Позднее GCSA провела блокчейн-расследование: перепроверила 18 исходных транзакций, 50 начальных подписей авторизации EIP-7702 и одну подпись на отзыв авторизации.
Здесь стоит обратить внимание на одну техническую деталь: одна транзакция Type-4 может содержать 50 авторизаций, но это не означает, что все 50 вступят в силу. Действительная подпись также не означает, что приватный ключ был украден.
В отчёте также проследили три последовательные транзакции, связанные с MetaMask Gas Station, и обнаружили, что сумма пополнения в ETH перед ними точно совпадала с максимальным бюджетом на газ для двух последующих транзакций.
Что касается утверждений о том, что злоумышленники по ошибке выбрали USDT или что MetaMask располагала реальным IP-адресом, — на данный момент их не подтверждают достаточные доказательства.
TRM Labs с высокой степенью уверенности связала инцидент с северокорейской группировкой угроз TraderTraitor, однако это ещё не означает, что удалось полностью установить личность злоумышленников и восстановить ход их действий.
Я всегда считал, что безопасность биржи нельзя сводить только к холодным кошелькам, мультиподписям и приватным ключам.
Компьютеры сотрудников, внутренние права доступа, среда DevOps, сервисы подписания, согласование вывода средств и даже инфраструктура сторонних поставщиков — достаточно сбоя в любом из этих звеньев, чтобы вся система защиты активов оказалась бессмысленной.
И ещё: оценка ущерба от инцидента примерно в 6,3 миллиарда долларов не означает, что таков окончательный чистый убыток, а заморозка активов не равнозначна их возврату.
Главное, над чем стоит задуматься всей отрасли после этого инцидента: если злоумышленникам не нужно напрямую завладевать приватным ключом, чтобы распоряжаться активами, значит, привычное нам представление о границах безопасности биржи, возможно, уже устарело.