Binance hujum yo‘lini oshkor qildi: aktivlarni to‘ldirish va ruxsatlar izolyatsiyasini tekshirish
Aktivlarni to‘ldirish va tizim xavfsizligi — ikki alohida masala; zaxiralar isboti hujum yo‘lini mustaqil tekshirish o‘rnini bosa olmaydi. Foydalanuvchilar yechib olishda valyuta va tarmoqni tekshirishlari kerak; dasturchilar esa notanish suhbat topshiriqlaridagi kodni ish uchun ishlatiladigan hisob ma’lumotlaridan ajratib saqlashlari lozim.
3-noyabr kuni Binance 29-oktabrdagi hodisa bo‘yicha dastlabki tekshiruv natijalarini e’lon qildi: sentabrda bir muhandis ish kompyuterida soxta ishga qabul qilish suhbatiga oid topshiriqni bajargan; 20-oktabrda hujumchilar ichki AI vositasidan foydalanib, boshqa muhandislarning qurilmalarini yanada nazorat ostiga olgan va tizimga joriy etish uchun zarur hisob ma’lumotlarini qo‘lga kiritgan; 29-oktabrda esa hamyon imzolash bosqichiga kirgan. Cointelegraph ham o‘sha kuni bu hujum yo‘li haqida xabar bergan, biroq texnik tafsilotlar hanuz Binance tekshiruvidan olingan, OAV tomonidan mustaqil auditdan o‘tkazilmagan.
Mening tushunishimcha, muhim jihat faqat zararli kodni kim yuklab olganida emas, balki buzib kirish xodim kompyuteridan tizimga joriy etish va imzolash huquqlarigacha kengayganida. Hisobotda, shuningdek, yechib olishni to‘xtatish blokcheyndagi mavjud ruxsatlarni avtomatik ravishda bekor qilmasligi aytilgan. Demak, oddiy yechib olish kanalini yopish barcha mablag‘ o‘tkazish imkoniyatlarini to‘xtatish degani emas.
Ko‘rilgan choralar borligini ham qayd etish kerak: Binance ta’sirlangan hamyon tizimlari, ichki AI vositasi va kirishni boshqarish tizimini qayta qurib, tegishli hisob ma’lumotlarini bekor qilganini bildirdi. Biroq bu hanuz dastlabki hisobot; tekshiruv davom etmoqda, mustaqil tekshiruv natijalari esa hali kutilmoqda. Tuzatish choralari haqidagi bayonotni xavfsizlik tekshiruvidan muvaffaqiyatli o‘tildi, deb talqin qilish mumkin emas.
Kecha keltirilgan, aktivlarning qariyb 95 foizi to‘ldirilgani haqidagi raqam eski e’londan olingan edi; yangi hisobotda 31-oktabr holatiga ko‘ra bu ko‘rsatkich 98 foiz ekani aytilgan. Bu yerda oshkor qilingan raqam yangilanmoqda, farqni bugun qo‘shimcha aktivlar to‘ldirilgani bilan izohlamayapmiz. Tiklanish haqidagi e’londa ham turli valyutalar bo‘yicha yechib olish bir vaqtda ochilmasligi ta’kidlangan.
Keyingi 48 soat ichida yangi valyutalar bo‘yicha isbotlarni va yechib olish holatini tekshirish kerak; keyin esa mustaqil tekshiruv ruxsatlar izolyatsiyasi, hisob ma’lumotlarini bekor qilish va blokcheyndagi ruxsatlarni bartaraf etish masalalarini qamrab olgan-olmaganini kuzatish lozim. Agar bu choralar tasdiqlansa va yechib olish odatdagidek davom etsa, xavfni pasaytirish mumkin; ruxsatsiz mablag‘ chiqarilishi yana kuzatilsa yoki tekshiruv to‘silmagan hujum yo‘llarini aniqlasa, xavfni oshirish kerak.
#币安 #资产安全 #DasturiyTa’minotXavfsizligi
Aktivlarni to‘ldirish va tizim xavfsizligi — ikki alohida masala; zaxiralar isboti hujum yo‘lini mustaqil tekshirish o‘rnini bosa olmaydi. Foydalanuvchilar yechib olishda valyuta va tarmoqni tekshirishlari kerak; dasturchilar esa notanish suhbat topshiriqlaridagi kodni ish uchun ishlatiladigan hisob ma’lumotlaridan ajratib saqlashlari lozim.
3-noyabr kuni Binance 29-oktabrdagi hodisa bo‘yicha dastlabki tekshiruv natijalarini e’lon qildi: sentabrda bir muhandis ish kompyuterida soxta ishga qabul qilish suhbatiga oid topshiriqni bajargan; 20-oktabrda hujumchilar ichki AI vositasidan foydalanib, boshqa muhandislarning qurilmalarini yanada nazorat ostiga olgan va tizimga joriy etish uchun zarur hisob ma’lumotlarini qo‘lga kiritgan; 29-oktabrda esa hamyon imzolash bosqichiga kirgan. Cointelegraph ham o‘sha kuni bu hujum yo‘li haqida xabar bergan, biroq texnik tafsilotlar hanuz Binance tekshiruvidan olingan, OAV tomonidan mustaqil auditdan o‘tkazilmagan.
Mening tushunishimcha, muhim jihat faqat zararli kodni kim yuklab olganida emas, balki buzib kirish xodim kompyuteridan tizimga joriy etish va imzolash huquqlarigacha kengayganida. Hisobotda, shuningdek, yechib olishni to‘xtatish blokcheyndagi mavjud ruxsatlarni avtomatik ravishda bekor qilmasligi aytilgan. Demak, oddiy yechib olish kanalini yopish barcha mablag‘ o‘tkazish imkoniyatlarini to‘xtatish degani emas.
Ko‘rilgan choralar borligini ham qayd etish kerak: Binance ta’sirlangan hamyon tizimlari, ichki AI vositasi va kirishni boshqarish tizimini qayta qurib, tegishli hisob ma’lumotlarini bekor qilganini bildirdi. Biroq bu hanuz dastlabki hisobot; tekshiruv davom etmoqda, mustaqil tekshiruv natijalari esa hali kutilmoqda. Tuzatish choralari haqidagi bayonotni xavfsizlik tekshiruvidan muvaffaqiyatli o‘tildi, deb talqin qilish mumkin emas.
Kecha keltirilgan, aktivlarning qariyb 95 foizi to‘ldirilgani haqidagi raqam eski e’londan olingan edi; yangi hisobotda 31-oktabr holatiga ko‘ra bu ko‘rsatkich 98 foiz ekani aytilgan. Bu yerda oshkor qilingan raqam yangilanmoqda, farqni bugun qo‘shimcha aktivlar to‘ldirilgani bilan izohlamayapmiz. Tiklanish haqidagi e’londa ham turli valyutalar bo‘yicha yechib olish bir vaqtda ochilmasligi ta’kidlangan.
Keyingi 48 soat ichida yangi valyutalar bo‘yicha isbotlarni va yechib olish holatini tekshirish kerak; keyin esa mustaqil tekshiruv ruxsatlar izolyatsiyasi, hisob ma’lumotlarini bekor qilish va blokcheyndagi ruxsatlarni bartaraf etish masalalarini qamrab olgan-olmaganini kuzatish lozim. Agar bu choralar tasdiqlansa va yechib olish odatdagidek davom etsa, xavfni pasaytirish mumkin; ruxsatsiz mablag‘ chiqarilishi yana kuzatilsa yoki tekshiruv to‘silmagan hujum yo‘llarini aniqlasa, xavfni oshirish kerak.
#币安 #资产安全 #DasturiyTa’minotXavfsizligi