Założyciel CoinEx, Haipo Yang, oskarżył Binance o niedopełnienie trzech podstawowych praktyk bezpieczeństwa, które jego zdaniem mogły zapobiec kradzieży kryptowalut o wartości 6,3 miliarda dolarów z 29 października.
Podsumowanie
- Założyciel CoinEx, Haipo Yang, wskazał trzy słabości bezpieczeństwa, które jego zdaniem przyczyniły się do ataku hakerskiego na Binance o wartości 6,3 miliarda dolarów.
- Yang skrytykował niewystarczające rozdzielenie środowisk pracy, słabą uwierzytelnianie i niewystarczającą weryfikację przez podpisujących transakcje.
- Śledztwo Binance wykazało, że atak wynikał z przejęcia urządzeń pracowników, fałszywych rekrutacji i skradzionych danych uwierzytelniających.
- Współdyrektor generalny Richard Teng powiedział, że Binance uzupełnił 98% dotkniętych aktywów i zakończył najnowszą weryfikację Proof of Reserves.
- Współdyrektor generalny Binance, Yi He, poinformował, że giełda zablokowała 57 podejrzanych zagrożeń cybernetycznych powiązanych z Koreą Północną w 2026 roku.
W poście na X Yang skrytykował sposób, w jaki giełda zarządzała dostępem produkcyjnym, uwierzytelnianiem pracowników i podpisywaniem transakcji. Argumentował, że atak ujawnił braki w dyscyplinie operacyjnej, a nie niedostatki dostępnej technologii bezpieczeństwa.
„Żadne z tych rozwiązań nie wymaga zaawansowanej technologii. Brakowało dyscypliny” – napisał Yang.
Jego krytyka nastąpiła po opublikowaniu przez Binance wstępnego raportu o incydencie, szczegółowo opisującego, w jaki sposób napastnicy przejęli urządzenia pracowników i uzyskali dostęp do systemów odpowiedzialnych za wypłaty kryptowalut.
Założyciel CoinEx wskazuje trzy błędy bezpieczeństwa w Binance
Pierwsza krytyka Yanga dotyczyła rozdzielenia środowisk deweloperskich i produkcyjnych.
Argumentował, że pracownicy mający dostęp do aktywnych systemów finansowych powinni używać dedykowanych komputerów bez niepowiązanego oprogramowania. Prace deweloperskie, komunikacja i przeglądanie stron internetowych powinny odbywać się na oddzielnych urządzeniach.
Według Yanga Binance nie utrzymywał wystarczającego rozdzielenia tych działań, pozostawiając wrażliwe systemy narażone, gdy urządzenie pracownika zostało przejęte.
Jego druga obawa dotyczyła mechanizmów uwierzytelniania. Yang twierdził, że pojedyncze skradzione dane uwierzytelniające mogły zapewnić dostęp do usług produkcyjnych bez istotnej dodatkowej weryfikacji.
Zalecał stosowanie sprzętowych kluczy bezpieczeństwa wraz z narzędziami takimi jak AWS Session Manager, aby uniemożliwić napastnikom uzyskanie dostępu przez jedno przejęte poświadczenie.
Trzecia krytyka koncentrowała się na obliczeniach wielostronnych, czyli MPC, które rozdzielają odpowiedzialność za podpisywanie transakcji między oddzielnych uczestników.
Yang argumentował, że strony podpisujące w Binance nie dokonały niezależnego sprawdzenia transakcji, które zatwierdziły.
Twierdził, że rozwiązanie to w praktyce działało jak system z pojedynczym podpisem, ponieważ przejęcie jednego uczestnika mogło podważyć cały proces.
„Multisig działa tylko wtedy, gdy podpisujący nie ufają sobie nawzajem” – napisał Yang.
Zarzuty te stanowią ocenę incydentu dokonaną przez Yanga. Binance nie potwierdziło publicznie każdej opisanej przez niego słabości kontroli wewnętrznych.
Raport Binance szczegółowo opisuje fałszywe rozmowy kwalifikacyjne i przejęte urządzenia
Raport Binance dotyczący incydentu z 3 listopada wskazał, że atak był częścią kampanii rozpoczętej kilka miesięcy przed kradzieżą.
W czerwcu inżynier operacji portfela pobrał zmodyfikowany instalator Homebrew podczas próby zainstalowania narzędzia do kodowania AI.
Binance podało, że jego zespół bezpieczeństwa wykrył podejrzaną aktywność, wymienił dotknięty komputer i zmienił powiązane dane uwierzytelniające.
Jednak incydent ujawnił informacje o pracownikach pracujących nad infrastrukturą portfela giełdy.
We wrześniu atakujący obrali za cel innego inżyniera poprzez fałszywy proces rekrutacyjny, ostatecznie nakłaniając pracownika do pobrania złośliwego oprogramowania.
Do 20 października atakujący wykorzystali zainfekowane urządzenia i wewnętrzne narzędzie AI, aby uzyskać dostęp do dodatkowych systemów inżynieryjnych.
Dziewięć dni później skradzione dane uwierzytelniające umożliwiły wdrożenie złośliwego kodu zaangażowanego w nieautoryzowane wypłaty.
Wcześniej crypto.news poinformowało, że śledczy powiązali atak z północnokoreańską jednostką hakerską TraderTraitor.
Federalne Biuro Śledcze następnie przypisało kradzież północnokoreańskim atakującym sponsorowanym przez państwo, podczas gdy Korea Północna odrzuciła te zarzuty.
Raport Binance stwierdził, że atakujący połączyli inżynierię społeczną, złośliwe oprogramowanie i zainfekowane systemy wewnętrzne, aby uzyskać dostęp do infrastruktury portfela.
Richard Teng twierdzi, że Binance odzyskał 98% dotkniętych aktywów
Podczas gdy Yang kwestionował praktyki bezpieczeństwa giełdy, współdyrektor generalny Binance Richard Teng bronił wysiłków firmy w zakresie odzyskiwania.
W oświadczeniu z 3 listopada Teng powiedział, że Binance uzupełnił 98% aktywów kryptowalutowych dotkniętych incydentem.
„Różnica polega na weryfikacji, nie tylko na obietnicach” – napisał Teng, odnosząc się do najnowszej weryfikacji rezerw giełdy.
Binance wcześniej ukończył swoją weryfikację Proof of Reserves obejmującą dziesięć głównych kryptowalut, w tym Bitcoin, Ethereum, BNB i XRP.
Raport pozwala klientom posiadającym te aktywa sprawdzić, czy ich salda kont są zabezpieczone wystarczającymi rezerwami.
Jednak weryfikacja potwierdza zabezpieczenie aktywów dla objętych tokenów, a nie to, czy luki w zabezpieczeniach zidentyfikowane przez Yanga zostały wyeliminowane.
Binance poinformował, że około 2,85 miliarda dolarów dotkniętych aktywów zostało zamrożonych lub przechwyconych podczas wysiłków odzyskiwania.
Firma zobowiązała się do pokrycia pełnej straty finansowej przy użyciu swoich zasobów korporacyjnych i funduszy rezerwowych.
Teng powiedział, że giełda będzie kontynuować odzyskiwanie pozostałych dotkniętych aktywów, w tym mniej płynnych kryptowalut wymagających dodatkowych zakupów.
Yi He twierdzi, że Binance zablokował 57 podejrzanych północnokoreańskich zagrożeń
Współdyrektor generalny Binance Yi He osobno odniósł się do historii bezpieczeństwa giełdy w poście z 3 listopada.
Powiedziała, że zespół bezpieczeństwa Binance wykrył i zapobiegł 57 podejrzanym cyberzagrożeniom powiązanym z Koreą Północną w 2026 roku.
Próby obejmowały fałszywe rozmowy kwalifikacyjne, złośliwe narzędzia programistyczne, zainfekowane pakiety oprogramowania i fałszywe aplikacje do wideokonferencji.
Według Yi He atakujący wykorzystywali również rozszerzenia przeglądarki i techniki inżynierii społecznej do kradzieży danych uwierzytelniających lub instalowania złośliwego oprogramowania zdalnego dostępu.
„Przechwyciliśmy wiele z nich, ale koszt niezapobieżenia choćby jednemu był poważny” – napisała.
Binance poinformował, że od tego czasu odbudował dotknięte systemy portfeli, wymienił zainfekowane urządzenia i wyłączył dane uwierzytelniające powiązane z atakiem.
Giełda wzmocniła mechanizmy kontroli bezpieczeństwa portfeli i rozszerzyła automatyczne monitorowanie podejrzanej aktywności pracowników i systemów.
Jego działania naprawcze obejmowały przywrócenie wypłat dla większej liczby aktywów Ethereum i Solana po początkowym zawieszeniu.
Binance planuje niezależny przegląd cyberbezpieczeństwa oraz dalsze inwestycje w ochronę urządzeń, bezpieczeństwo programistów i wykrywanie zagrożeń.
Firma poinformowała, że niektóre środki bezpieczeństwa pozostaną poufne, aby uniemożliwić atakującym zidentyfikowanie słabości w jej zabezpieczeniach.
