Binance обещает покрыть убытки от взлома примерно на 6,3 миллиарда долларов, но клиенты всё ещё ждут, когда снова заработает кнопка вывода средств. Атака произошла 29 октября, а обновления биржи от 30 октября описывают расследование, которое вышло за рамки первоначального предположения о взломе ноутбука. Binance заявляет, что зарезервировала более 6,34 миллиарда долларов из средств компании для возмещения украденных активов. Около 5 миллиардов долларов уже находятся в затронутых токенах, а оставшаяся сумма закупается. В расшифровке своего последнего видео сопредседатель Binance Ричард Тенг заявил, что сервис вывода средств возобновит работу только после тщательного тестирования. Он сказал, что воскресный срок остаётся в силе, выразив при этом надежду, что пользователи смогут вывести средства раньше.

Это целевой показатель, а не объявление о возобновлении работы. Согласно последним письменным уведомлениям Binance о работе сервиса, депозиты обрабатываются в обычном режиме, а вывод средств по-прежнему приостановлен. Тенг также обязался опубликовать полный отчет о подтверждении резервов к понедельнику, 2 ноября; предварительные результаты планируется представить раньше. Воскресенье, о котором он говорил, — 1 ноября. Эти даты дают клиентам конкретные ориентиры, по которым можно оценивать заверения компании, вместо очередного обещания без четких сроков, что все в порядке. Видимый баланс счета и работающая служба вывода средств — не одно и то же.

Миллиарды зарезервированы, миллиарды заморожены — это разные вещи

Средства, которые, по словам Binance, компания зарезервировала, — это не те примерно 3 миллиарда долларов активов, которые, как она заявляет, заморозили партнеры. В предыдущем обновлении о финансировании прямо говорилось, что замороженные или защищенные активы не входят в обязательство на сумму 6,34 миллиарда долларов. Эти активы еще нужно вернуть и проверить. Binance заявляет, что покупает недостающие объемы токенов на рынках и в ходе внебиржевых сделок, и предупреждает, что ограниченная ликвидность и сроки расчетов могут замедлить этот процесс. Поэтому выделение определенной суммы в долларах не означает, что все токены для возмещения уже получены. Компания пообещала покрыть убытки, но публикация обещанных сведений о резервах еще впереди.

Согласно независимому анализу Elliptic, обновленному 30 октября в 13:10 UTC, объем кражи оценивался в 6,43 миллиарда долларов, а замороженные активы в блокчейне на сумму 2,84 миллиарда долларов были подтверждены. Это собственный срез данных Elliptic, а не окончательный отчет Binance. Elliptic называет эту кражу крупнейшей в истории криптовалют, значительно превзошедшей кражу примерно 1,46 миллиарда долларов у Bybit в прошлом году. Большая часть замороженных средств приходится на стейблкоины, эмитенты которых могут ограничивать переводы. У биткоина и нативного эфира нет эмитента с таким же механизмом заморозки, поэтому следователям приходится полагаться на отслеживание средств и вмешиваться, когда они поступают на сервисы. Заморозка токена сама по себе не возвращает его в кошелек Binance.

Не только ноутбук: атрибуция атаки все еще вызывает вопросы

Техническая картина пока проясняется. Сначала Binance сообщила о ноутбуке инженера DevOps, который, возможно, был скомпрометирован, и заявила, что не обнаружила признаков утечки приватных ключей кошельков. Позже компания сообщила о дополнительных точках проникновения, но не представила полную картину атаки. Согласно расследованию TRM Labs, атака на Ethereum затронула EIP-7702 — функцию, позволяющую кошельку делегировать выполнение кода смарт-контракту. Злоумышленник использовал подписанные разрешения, чтобы внедрить вредоносное поведение в горячий кошелек, тогда как кошельки в других сетях отправляли обычные подписанные переводы. TRM расценивает эту более широкую картину как свидетельство компрометации инфраструктуры для подписания транзакций. В более позднем описании Тенг заявил, что делегирование позволило обойти обычные механизмы подтверждения, а злоумышленники уничтожили инструменты и следы; пока это выводы самой компании, ожидающие полного технического отчета.

TRM с высокой степенью уверенности приписывает атаку северокорейской группе TraderTraitor, тогда как Elliptic считает причастность Северной Кореи вероятной. Elliptic также предупреждает, что общий адрес, использованный для отмывания средств, не доказывает, что за отдельными кражами стояли одни и те же хакеры. В отчете говорится, что ни одно государственное ведомство или правоохранительный орган не подтвердили атрибуцию. Для клиентов самые насущные вопросы — действительно ли возобновится вывод средств, соответствуют ли обещанные резервы активам, которых коснулась атака, и к каким выводам о провалившихся механизмах контроля придет окончательное расследование. Тенг сообщил, что проверка теперь охватывает устройства, облачную инфраструктуру, управление ключами и системы подписания транзакций во всей компании. Следующее действительно важное обновление — подтверждение завершения этих исправлений и закупки активов для возмещения, а не очередное повторение обещания компенсировать потери.

---------------

Автор: Роуэн Марроу, редакция в Сиэтле. Новости криптовалют

Подпишитесь на GCP в программе для чтения RSS