Binance оцени на 6,3 млрд. долара кражбата от горещите си портфейли

💻🔓 Binance, най-голямата криптоборса в света, оцени общия размер на криптовалутите, изнесени от нападател от горещите ѝ портфейли вчера на 6,3 млрд. долара. Това обяви нейният съизпълнителен директор Ричард Тенг. Това е най-голямата кражба в историята на криптовалутите, над 4 пъти повече от 1,5 млрд. долара, отнети от Bybit през февруари 2025 г. Компанията за блокчейн разузнаване TRM Labs приписва атаката „с висока степен на увереност“ на севернокорейската група TraderTraitor, на която ФБР приписа и кражбата от Bybit. Binance обещава да покрие всички загуби, а 3 млрд. долара вече са замразени.

Разследването показва, че инцидентът може да е започнал от компрометиран лаптоп на DevOps инженер, т.е. на инфраструктурен специалист, през която софтуерът на борсата се пуска в работа. Лаптопът е дал на нападателя достъп до сервизен контейнер, изолирана среда, в която работи част от услугите на Binance, и оттам той е подал неразрешени транзакции за теглене. Тенг уточни, че атакуващият не е използвал просто правата на един инженер и че атаката не е била единично действие с едно кликване, а по-сложен процес. „Досега не сме открили доказателства за изтичане на частен ключ на портфейл“, написа той. Час по-късно Binance призна, че последващото разследване е открило „допълнителни точки на пробив“. Цялостен анализ компанията обещава след края на разследването.

Публичните записи на транзакциите описват същото отвън. По данни на TRM Labs от портфейли на Binance са изнесени 6,36 млрд. долара в 10 блокчейна, по-голямата част за около 20 минути. В Ethereum горещият портфейл „Binance 14“, през който са минали над 31 млн. транзакции, е пренасочен малко след 22:20 ч. българско време по стандарта EIP-7702 към чужд смарт договор, т.е. програма, записана в самия блокчейн. Делегирането носи 50 предварително подписани разрешения, по едно за всяка следваща транзакция. Малко над 3 минути по-късно договорът изнася 167 464 етера (ETH, основната валута на Ethereum) и 63 вида токени с една-единствена транзакция. В останалите 9 блокчейна средствата са излезли с обикновени подписани преводи. TRM стига до заключение, че нападателят е получил възможност да кара системата за подписване на горещите портфейли на Binance да подписва транзакции по негов избор.

Първите оценки се разминаваха, защото течът продължи на вълни: втора вълна около 01:05 ч. е достигнала портфейлите на Binance в Avalanche и Polygon, сочи TRM. През нощта Blockaid отчиташе 3,3 млрд. долара в Ethereum, Arbitrum и Avalanche, а Arkham Intelligence – 5,84 млрд. по салдата на адресите с етикета „binance-hacker-1029“. TRM дава 6,36 млрд. по цените в момента на всеки превод и 6,23 млрд. по цените от днес, 30 октомври. Главният изпълнителен директор на Chainalysis Джонатан Левин посочва 6,4 млрд.

Първото изявление на Binance от 23:16 ч. говори единствено за „потенциален проблем със сигурността“, а само минута по-рано съоснователят на борсата Чанпън Джао написа: „Средствата на потребителите са в безопасност! Наистина прилича на хак срещу Binance.“ Около 02:00 ч. на 30 октомври борсата спря всички депозити и тегления и обяви, че ще покрие загубите. Сутринта депозитите отново работят, а тегленията са спрени, докато се преработи услугата за теглене и свързаните с нея адреси. Разрешенията на засегнатите адреси са отменени. По думите на Binance изтичането е спряло в момента, в който е била спряна услугата за теглене, а подновяването ѝ се очаква около сутринта на 1 ноември.

„Binance ще покрие всички загуби от фонда SAFU и от средствата на компанията“, написа Тенг. Резервният фонд SAFU държи около 15 000 биткойна, т.е. около 1,2 млрд. долара по настоящия курс. Ако замразените 3 млрд. бъдат върнати, от оценката на Binance остават 3,3 млрд., от които фондът покрива 1/3. Останалото ще трябва да дойде от средствата на самата компания.

Замразяването тръгна от емитентите на стейбълкойни, токени, обвързани с долара, които могат да бъдат блокирани от издаващата ги компания, независимо кой ги притежава. Изпълнителният директор на Tether Паоло Ардоино съобщи първо за над 1,567 млрд. замразени USDT, а по преброяването на TRM към 02:30 ч. Tether е блокирала 1,77 млрд. Ръководителят на Circle Джеръми Олер обяви над 800 млн. USDC, замразени в координация с правоохранителни органи. First Digital е замразила откраднати FDUSD, без да посочи сума. Съизпълнителният директор на Binance И Хе благодари и на Ripple, която е спряла около 200 млн. долара, а TRM потвърждава по публичните записи 40,5 млн. замразени RLUSD. В 01:22 Binance даде като проверена обща сума 2,54 млрд., а в 02:52 ч. – около 3 млрд.

В същото време нападателят се надпреварваше със замразяването. Според TRM той е продал на маркет мейкъри USDT за около 325 млн. долара с отстъпка от над 10%, теглил е етер назаем в платформата Aave срещу USDT и е прехвърлил USDT в платформата за заеми JustLend в Tron. 18 270 биткойна раздробява с верига от последователни преводи, при всеки от които се отделя малка част. Биткойн и етер нямат емитент, който да ги блокира. Изключение засега прави Arbitrum: Съветът за сигурност на тази мрежа е използвал извънредните си правомощия, за да принуди два превода от портфейла на нападателя, и е изтеглил извън обсега му около 30 млн. долара в етер и ARB.

Извършителя засега назовават само частни компании. TRM стъпва на разузнавателни данни от блокчейна и извън него и посочва съвпадения с Bybit и с KelpDAO: малки тегления от миксера Tornado Cash, с които се захранва портфейл на оператора, подготовка дълго време преди удара и подписи, събрани предварително и изпълнени наведнъж. Адресът, управлявал договора срещу „Binance 14“, е получил 0,1 ETH от Tornado Cash на 28 октомври. Левин написа: „Смятаме, че хакът срещу Binance за 6,4 млрд. долара вероятно е извършен от севернокорейската група TraderTraitor заради връзки с предишен хак.“ Associated Press не се позова нито на американските, нито на южнокорейските власти, а към 30 октомври ФБР не е пуснало предупреждение за случая.

Борсата Bybit беше ограбена на 21 февруари 2025 г. и ФБР назова извършителя 5 дни по-късно. Тогава подписващите са одобрили транзакция, показваща верния адрес, но подменяща логиката на договора. Многостранната група за наблюдение на санкциите (MSMT), която 11 държави създадоха извън ООН, след като през 2024 г. Русия блокира подновяването на мандата на експертната група на Съвета за сигурност, изчислява, че от януари 2024 г. до септември 2025 г. Пхенян е откраднал около 2,84 млрд. долара в крипто. Според нея режимът е купувал с тях оръжие, материали и суровини, забранени от резолюциите на Съвета за сигурност. Tornado Cash беше подложен на санкции от Службатата за контрол на чуждестранните активи (OFAC) към Министерство на финансите на САЩ от август 2022 г. заради, измежду другото, изпирането на 455 млн. долара, откраднати от друга севернокорейска група – Lazarus Group. Санкциите са отменени на 21 март 2025 г. след решение на апелативния съд на Пети окръг, че OFAC е превишила правомощията си.

Пазарът реагира веднага. По данни на CoinDesk биткойнът е поевтинял с над 3% за 24 часа до около 77 400 долара, след като за кратко доближи 76 000. BNB, токенът на Binance, е загубил около 5%. Принудителните ликвидации на позиции на пазара са за около 1,5 млрд. долара. „Подозирам, че спадът на цените има още накъде да продължи“, коментира Джефри Кендрик, ръководител на проучванията на цифровите активи в Standard Chartered.

Обяснението на Binance и оценката на TRM описват една и съща слабост: доказателства за изтекъл частен ключ няма, но системата, която го използва, е подписвала онова, което ѝ е подал нападателят. Колкото и добре да е пазен ключът, защитата на горещия портфейл зависи от машините и хората, които могат да дават команди на подписващата система. Дали лаптопът е бил входът, или само една от точките, остава отворено, след като самата Binance говори за допълнителни пробиви.

Съвпадението на оценките на две компании и на почерка с Bybit прави авторството на Северна Корея много вероятно, но засега това е оценка на частни компании, а не официална държавна позиция. Ако се потвърди, откраднатото за една нощ ще бъде над два пъти повече от всичко, което MSMT отчете като откраднато от Пхенян за 21 месеца.