Чему учит взлом Binance и восстановление после него?

Binance начала восстанавливать доступ после кражи на 6,3 млрд долларов, используя собственные резервы для замены активов клиентов. Её восстановление предлагает уроки о том, как биржи одобряют транзакции, общаются во время кризиса и демонстрируют, что клиенты могут вернуть свои деньги.

Binance расширила вывод средств после сообщения о том, что заменила примерно 95% активов, затронутых взломом на 6,3 млрд долларов 29 октября.

Объявление Binance от 3 ноября запланировало ещё один этап вывода средств с 04:00 UTC, при этом отдельные активы становятся доступными после проверок безопасности и готовности. Депозиты оставались открытыми, и биржа подтвердила своё обязательство взять на себя финансовые потери.

Таким образом, клиенты столкнулись с двумя различными процессами восстановления. Binance искала замещающую криптовалюту для обеспечения их балансов, в то время как следователи и отраслевые партнёры пытались вернуть активы, похищенные злоумышленником.

Возвращение доступа к выводу средств включает третью задачу: установление того, что системы, отправляющие эти активы, могут работать безопасно. Баланс счёта, снимок резервов и завершённый вывод средств — каждый из них отвечает на разные вопросы о состоянии биржи.

Взлом Binance вышел за пределы ноутбука одного сотрудника

Первоначально Binance предположила, что точкой входа мог послужить скомпрометированный ноутбук инженера. В обновлении информации об инциденте от 30 октября компания сообщила, что следователи обнаружили дополнительные точки проникновения, при этом на тот момент не было доказательств утечки приватных ключей кошельков.

В опубликованном отчёте компрометация горячего кошелька была отнесена примерно к 20:05 UTC 29 октября. Биржа заявила, что локализовала затронутую инфраструктуру, отозвала авторизации и ввела дополнительные меры контроля, пока следователи работали над установлением последовательности событий.

Различие между кражей ключа и получением разрешения на использование системы подписи имеет центральное значение для расследования. Транзакция может нести криптографически действительную подпись, даже если компания никогда не намеревалась авторизовать перевод.

Ончейн-расследование TRM Labs проследило переводы через 10 блокчейнов и оценило активы примерно в 6,36 млрд долларов на момент их изъятия. Его исследователи пришли к выводу, что кросс-чейн активность указывает на компрометацию инфраструктуры подписи горячего кошелька Binance.

По данным TRM, активность в Ethereum включала 50 предварительных авторизаций и контракт, который мог выводить активы из кошелька Binance. Другие сети показали обычные подписанные переводы, поэтому объяснение, ограниченное особенностями кошелька Ethereum, оставило бы часть кражи необъяснённой.

Урок касается полномочий, связанных с ключом подписи, в той же мере, что и хранения ключа. Компания должна решить, какие системы могут запрашивать подписи, какие запросы требуют отдельного одобрения и как необычные переводы останавливаются до того, как они достигнут блокчейна.

Архитектура нулевого доверия NIST рассматривает доступ как нечто, что должно быть аутентифицировано и авторизовано для соответствующего ресурса. Нахождение внутри корпоративной сети или использование устройства, принадлежащего компании, само по себе не устанавливает доверие.

В применении к бирже этот принцип отделяет рутинный доступ инженера от полномочий перемещать средства клиентов. Сотруднику может требоваться обслуживание инфраструктуры без необходимости неограниченного доступа к инструкциям по выводу средств, производственным учётным данным или одобрению транзакций.

Полный технический отчёт Binance должен будет объяснить, как эти границы действовали во время атаки. Опубликованные на данный момент доказательства подтверждают вопросы к процессу подписания, но не устанавливают полной картины внутреннего контроля компании.

ФБР приписало кражу северокорейской деятельности TraderTraitor 31 октября и заявило, что похищенные активы конвертируются преимущественно в ether. Северная Корея отрицала причастность, согласно сообщению Associated Press от 3 ноября.

Бюро попросило биржи, DeFi-сервисы, операторов инфраструктуры и другие компании блокировать транзакции, связанные с выявленными адресами отмывания. Его запрос касался перемещения похищенных активов после взлома и был отделён от расследования Binance первоначального доступа.

Как Binance справлялась с кризисом и восстановлением

Реакция Binance сочетала ограничения на вывод средств, закупки для замещения, сотрудничество по заморозке активов и серию публичных уведомлений о восстановлении. Каждая мера решала отдельную неотложную проблему, и хронология позволяет клиентам сопоставить объявления с последующими действиями.

Как ранее сообщал crypto.news, Binance зарезервировала ресурсы компании на сумму свыше 6,34 млрд долларов и заявила, что примерно 5 млрд долларов уже хранились в соответствующих криптовалютах к 30 октября. Она нацелилась на поэтапное возобновление вывода средств при условии проверок безопасности.

Сопоставление активов было частью этого обязательства. Клиентам, владеющим определённым токеном, причитался именно этот токен, тогда как долларовая стоимость доступных ресурсов биржи была лишь промежуточным показателем её способности закупить замену.

Уведомление о пополнении от 31 октября указывало покрытие на уровне 90%. Binance назвала источниками финансирования SAFU, часть своего фьючерсного страхового фонда и свою корпоративную казну.

Она заявила, что 10 выявленных основных активов полностью обеспечены, тогда как менее ликвидные токены вне этой группы требовали больше времени на приобретение. Закупки осуществлялись через рыночные и внебиржевые каналы.

К 1 ноября Binance сообщила о 95% замещении и возобновила вывод Bitcoin на начальном этапе восстановления. Первый опубликованный график охватывал отдельные активы в 15 сетях, а не каждый токен, представленный на бирже.

Используя сообщённое Binance время начала инцидента и её самое раннее запланированное время возобновления 1 ноября, интервал составил примерно 57 часов 55 минут. Этот расчёт измеряет время до начала планируемого перезапуска, а не длительность ограничений для каждого клиента.

Затем доступ к выводу средств расширялся по отдельным комбинациям сетей и активов. Токен, доступный в одной сети, мог оставаться недоступным в другой, поэтому значимым операционным показателем был конкретный маршрут вывода, необходимый клиенту.

В уведомлении от 1 ноября говорилось, что на порядок возобновления повлиял спрос, зафиксированный в течение предыдущей недели. В нём предупреждалось, что нагрузка может вызвать задержки, и пользователям рекомендовалось проверять статус выбранного актива и сети.

Расширение от 3 ноября следовало тому же подходу. Binance заявила, что перечисленные маршруты будут открываться постепенно после проверок, при этом временные задержки во время развёртывания всё ещё возможны.

Информирование на таком уровне полезнее для клиента, чем общее заявление биржи о возобновлении вывода средств. Клиенту нужно знать, может ли его актив быть выведен, через какую сеть и завершён ли поданный запрос.

Руководство NIST по реагированию на инциденты относит обнаружение, реагирование и восстановление к непрерывному управлению рисками организации. Восстановление сервиса является частью обработки инцидента наряду со снижением вероятности повторного инцидента и совершенствованием процесса реагирования.

Уведомления Binance служат记录ом этапов замены и повторного открытия. Чтобы оценить, насколько эффективно она локализовала breach, также требуется техническая хронология, включая то, когда был обнаружен несанкционированный доступ, какие разрешения были отключены и как были проверены восстановленные системы.

Замена активов и возврат украденных средств — это разные статьи учёта

Заморозка и закупка для замены могут обе защищать клиентов, но они не должны включаться в единый итог восстановления без дополнительных пояснений. Одна ограничивает доступ атакующего к активу; другая поставляет актив для покрытия обязательства перед клиентом.

Рассмотрим упрощённую биржу, которая должна клиентам 100 токенов после того, как 100 токенов были украдены. Если биржа закупает 100 замен, она может восстановить обеспечение клиентов, даже если следователи не вернули ни одного из исходных токенов.

Предположим, затем заморожены 40 из украденных токенов. Обеспечение клиентов остаётся 100 токенов; оно не становится 140. Замороженные 40 представляют собой возможное возмещение для той стороны, которая в конечном итоге будет иметь право их получить.

Если эти 40 будут законно возвращены бирже после того, как клиенты уже получили полное возмещение, они могут компенсировать часть убытка биржи. Одни и те же токены не могут одновременно учитываться как активы замены и как дополнительное возмещение клиентам.

Binance сообщила, что по состоянию на 30 октября в результате работы с правоохранительными органами, эмитентами и другими партнёрами было заморожено примерно 3 млрд долларов. Её программа замены активов осуществлялась отдельно, используя ресурсы компании для покупки недостающей криптовалюты.

Эти цифры имеют разные даты, допущения оценки и цели. Поэтому о заявленной замороженной сумме следует говорить как о сумме, обездвиженной на указанный момент, тогда как прогресс замены описывает работу биржи по восстановлению обеспечения.

Применение 95% к округлённой оценке инцидента в 6,3 млрд долларов даёт 5,985 млрд долларов, оставляя 315 млн долларов при такой оценке. Это иллюстративная арифметика, а не раскрытие точной непогашенной суммы закупки или нехватки по каждому токену.

Цены меняются после кражи, а количество, причитающееся по каждому токену, автоматически не меняется вместе с его долларовой ценой. Оставшаяся корзина токенов стоимостью 315 млн долларов при одной оценке может стоить другую сумму для приобретения позже.

Ликвидность вносит ещё одно различие. Токен может иметь котируемую рыночную цену без достаточного количества предложений вблизи этой цены, чтобы немедленно заменить крупную позицию.

Покупка через OTC-стол может обеспечить блоки от держателей вне публичного книги заявок. Это по-прежнему требует готовых продавцов и согласования объёмов, расчётов и цены; наличие бюджета не помещает необходимые токены в кошелёк для вывода.

Объяснение Binance о том, что поиск последней части занял больше времени, следует оценивать в сопоставлении с её последующими обновлениями по покрытию токенов и выводам. Значимой точкой завершения является полное соответствие обеспечения и операционный доступ для затронутых активов, а не только округлённое долларовое обязательство.

Заморозка останавливает движение до того, как устанавливается право собственности

Эмитенты стейблкоинов иногда могут обездвижить свои токены с помощью административных механизмов контроля. Тот же механизм недоступен эмитенту нативного биткоина или эфира, поскольку эти активы не имеют сопоставимого центрального эмитента.

В условиях использования USDC компании Circle описаны блокировка адресов и условия погашения, включая правовые ограничения, которые могут этому препятствовать. Владение токеном, его заморозка и установление права на его погашение являются отдельными этапами в соответствии с этими условиями.

Ограничение адреса препятствует определённым переводам; само по себе оно не определяет надлежащего получателя возмещения. Доказательства права собственности, судебный процесс и договорённости о возврате активов по-прежнему могут определять дальнейшие действия.

Arbitrum применил иной подход в инциденте с Binance. В уведомлении от 30 октября его Совета безопасности говорится, что 8 425 ETH и 74 559 805,2 ARB были перемещены на адрес хранения посредством временного обновления контракта.

В уведомлении прямо оговаривается, что дальнейшее перемещение требует голосования в рамках управления ArbitrumDAO. Таким образом, активы, выведенные с адреса, связанного со злоумышленником, не были автоматически переданы Binance или её клиентам.

Масштаб каждого вмешательства должен оставаться ясным. Блок-лист токенов эмитента, отказ биржи зачислить депозит и экстренное обновление на уровне сети действуют на разных этапах пути транзакции.

Время может влиять на то, что ещё можно отследить. Если ограниченный токен уже был обменян, заморозка исходного адреса не отменяет каждую сделку и не захватывает автоматически замещающий актив.

Опубликованный ФБР список адресов даёт поставщикам услуг общий ориентир для расследования отмывания денег. Он не даёт каждому оператору инфраструктуры одинаковых юридических или технических возможностей остановить перевод.

Для клиентов практическое следствие заключается в том, что объявленная заморозка может обнадёживать, но не означает завершённого возмещения. Следующее сообщаемое событие должно указать, были ли активы возвращены, кому, посредством какого процесса и в каком количестве.

Binance использовала резервы, служащие разным целям

SAFU — это чрезвычайный резерв, предназначенный для защиты пользователей в исключительных ситуациях. Фонд страхования фьючерсов обычно выполняет иную функцию: покрытие убытков от ликвидированных позиций при недостаточности залога.

Использование Binance страховых резервов сделало состав средств для возмещения значимым для трейдеров деривативами. Компания заявила, что использовала избыточные ресурсы и что оставшийся фонд по-прежнему соответствует её требованиям к рискам.

Долларовый баланс страхового фонда не является показателем того, сколько конкретный трейдер получит после инцидента безопасности. Это ресурс, поддерживающий механизмы ликвидации и управления убытками биржи, в соответствии с правилами соответствующих фьючерсных продуктов.

Упрощённое сравнение иллюстрирует отдельные вопросы. Биржа могла бы возместить все украденные клиентские токены, имея при этом меньший резерв на ликвидацию, чем до инцидента, если только она не пополнит этот резерв из другого источника.

Клиенты, чьи спотовые активы восстановлены, получили бы ответ на свой непосредственный вопрос об обеспечении. Трейдерам фьючерсов по-прежнему нужна была бы информация о защите, доступной при возникновении убытков из-за банкротных позиций.

Эти два результата совместимы. Восстановление одного пула не восстанавливает, только за счёт бухгалтерского учёта, все другие буферы, которые в него вносили вклад.

В раскрытии информации Binance от 31 октября были указаны три источника финансирования, но в этом уведомлении не было приведено распределение по каждому источнику. Поэтому её заявление об использовании средств компании следует читать вместе с отдельными описаниями SAFU и фьючерсных резервов.

Публичное раскрытие суммы изъятых средств, оставшейся суммы и графика пополнения облегчило бы оценку последствий для финансирования. Такой график должен был бы содержать даты и соответствующие категории резервов, поскольку единый совокупный баланс может скрывать различия между продуктами.

Проверка клиентских счетов имеет здесь ещё одну границу. Binance заявила, что пользователи могут проверить собственные активы через её систему доказательства резервов; эта система не является претензией на уровне клиента к фьючерсному страховому фонду компании.

Обязательство покрыть кражу возлагает убыток на Binance. Объяснение того, как компания финансирует это обязательство, помогает клиентам отличать восстановление их активов от сохраняющегося состояния других финансовых гарантий биржи.

Правила страхового фонда Binance объясняют операционное последствие недостаточного буфера ликвидации. Когда убытки по обанкротившимся позициям превышают соответствующий доступный фонд, в рамках риск-механизмов продукта может быть задействовано автоматическое делевериджирование.

Её объяснение ADL описывает механизм, который может сокращать позиции, удерживаемые трейдерами на противоположной стороне. Он отличается от выплаты по претензии, связанной с инцидентом безопасности, и не должен интерпретироваться как гарантия того, что прибыльные позиции никогда не могут быть затронуты банкротством другого трейдера.

Фонд также разделён по применимым контрактным механизмам. Общая сумма по категориям не устанавливает, что каждый доллар доступен для каждого события ликвидации.

Это вводит дополнительный вопрос раскрытия после того, как средства изъяты для восстановления: покрывают ли оставшиеся ресурсы соответствующие продукты в рамках заявленной биржей структуры. Процент заменённых украденных активов не может ответить на этот вопрос, специфичный для продукта.

Binance заявляет, что её оставшиеся резервы продолжали соответствовать требуемому покрытию. Опубликованные правила отдельно предусматривают взносы компании, если страховой фонд опускается ниже требуемого минимума.

Проверка резервов отвечает на более узкий вопрос, чем аудит

Binance завершила проверку резервов для 10 основных криптовалют 2 ноября, используя снимок, сделанный в 00:00 UTC 31 октября. Завершённое криптографическое доказательство позволило соответствующим пользователям проверить своё включение и заявленное обеспечение для этого снимка.

Покрытыми активами были BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD и ZEC. Время снимка имеет значение, поскольку оно предшествует более поздним этапам возобновления вывода средств.

В своём обновлении от 2 ноября Binance запланировала дополнительный снимок, охватывающий больше токенов, на 4 ноября. Ожидалось, что создание следующего полного доказательства потребует примерно от 40 до 50 часов.

Таким образом, дату публикации и дату измерения необходимо читать отдельно. Доказательство, завершённое 2 ноября, описывает заявленную позицию на 31 октября, а не непрерывно удостоверяет каждый баланс по мере обработки выводов средств.

Объяснение доказательства резервов Binance описывает, как записи счетов и деревья Меркла позволяют пользователям проверять, что их балансы были включены. Её механизм с нулевым разглашением поддерживает проверку без публичного раскрытия каждого отдельного баланса.

Такая проверка полезна, когда клиенты хотят получить доказательства помимо заверений компании. Она всё ещё имеет определённую сферу действия: конкретные активы, конкретный набор данных счетов и конкретное время измерения.

Предупреждение для инвесторов PCAOB предостерегает от трактовки отчётов о доказательстве резервов как аудита финансовой отчётности. Оно отмечает, что процедуры могут опускать обязательства, права собственности, заимствованные активы и другую информацию, необходимую для оценки полного финансового положения организации.

Его предупреждение носит общий характер, а не является выводом о том, что последнее доказательство Binance является ложным. Надлежащее сравнение — между тем, что устанавливает конкретное доказательство, и тем, что читатель мог бы иначе предположить, что оно устанавливает.

Клиент может спросить, был ли счёт включён, был ли охвачен выбранный токен и когда был сделан снимок. Оценка всей компании потребовала бы дополнительной информации об обязательствах, ограничениях, капитале и ресурсах, использованных при восстановлении.

Реакция вышла за пределы системы вывода средств Binance

Средства, покидающие биржу, могут достичь других сервисов прежде, чем биржа завершит своё первоначальное расследование. Следовательно, экстренное реагирование вовлекает платформы, которые сами не были взломаны, но могут получить украденные активы или принять их в качестве залога.

Отчёт LlamaRisk об инциденте с Aave описывает кошелёк из кластера эксплойтера, который внёс 60 миллионов USDT и занял 19 762 WETH между 20:58 и 21:01 UTC 29 октября. Первая заморозка рынка последовала в 21:42 UTC.

Поставщик рисков заявил, что позиция оставалась переобеспеченной и подлежала обычной ликвидации. В его отчёте описывается предупредительная заморозка, поскольку украденные активы могли быть обменены на другие активы, поддерживаемые кредитным протоколом.

Приостановка вывода средств на бирже не может отменить это заимствование. Как только средства достигли другого сервиса, реагирование зависит от разрешений этого сервиса, правил залога и оценки угрозы.

Поэтому отдельные уведомления необходимо читать на уровне конкретного действия. Ограничение вывода средств Binance и заморозка новой кредитной активности Aave касаются разных транзакций и разных групп клиентов.

Коммуникация между компаниями может определить, где возможно вмешательство, но она не делает их полномочия взаимозаменяемыми. Эмитент токена может ограничить свой собственный токен, опекун кредитного протокола может воспользоваться разрешениями протокола, а совет роллапа может использовать административные инструменты, authorised его управлением.

Ограничения зависят от правил соответствующего сервиса. Заморозка может остановить новую активность, оставив существующие позиции открытыми, а её отмена поручается уполномоченному органу.

Собственные сообщения Binance о восстановлении имели другую аудиторию: клиентов, пытающихся отличить официальные инструкции от людей, предлагающих ускорить вывод средств. В своей публичной ленте компания предупредила, что не будет продавать места в очереди, взимать плату за разблокировку или просить пользователей переводить средства на якобы безопасный счёт.

Предупреждение актуально для того, как работает поэтапное возобновление. Клиенты, ожидающие определённый токен, имеют непосредственную причину искать обновления, тогда как доступность может законно различаться между сетями.

Незапрошенное сообщение может использовать эту неопределённость, утверждая, что клиенту необходимо выполнить дополнительный шаг. Запрашиваемое действие может быть подключением кошелька, подписью или переводом, замаскированным под процедуру восстановления.

Предупреждение ФБР о мошенничестве с восстановлением описывает схемы, в которых якобы восстановительные фирмы требуют предоплату, исчезают или предоставляют недостаточный материал для отслеживания, прежде чем запросить больше. В нём говорится, что частные восстановительные фирмы не могут выдавать постановления об изъятии.

Отчёт об отслеживании блокчейна и законные полномочия на изъятие активов — это разные вещи. Идентификация пункта назначения может помочь расследованию, но сама по себе она не обязывает держателя, эмитента или платформу переводить средства.

Руководство FTC по мошенничеству с возвратом средств описывает ещё одну часть обмана: мошенники могут знать детали более ранней потери и использовать их, чтобы новый подход звучал правдоподобно. Знакомство с инцидентом не подтверждает, что звонящий представляет пострадавшую компанию.

Во время восстановления всей биржи публичные объявления предоставляют большую часть этого контекста любому желающему. Размер кражи, даты возобновления и затронутые активы могут быть скопированы в убедительно выглядящее сообщение без доступа к счёту клиента.

Практическая задача клиента остаётся конкретной: проверить выбранный маршрут вывода через собственный интерфейс биржи и отличить ожидающий запрос от требования нового платежа. Опубликованный компанией процесс возобновления должен объяснять необходимые шаги, не полагаясь на инструкции от неизвестного посредника.

Таким образом, чёткая коммуникация об инциденте делает больше, чем просто успокаивает. Она даёт клиентам ориентир, с которым можно сверять запрос, особенно когда требование касается комиссий, права на участие или якобы компенсационной программы.

Сами объявления о выводе средств направляют пользователей на страницу статуса активов и сетей. Их обещание — поэтапное операционное возобновление, без опубликованных положений о покупке приоритета в этой очереди.

Возмещение не объясняет, как произошла утечка

Соучредитель и главный исследовательский директор Altcoin Pro Джони Жулеку в интервью 2 ноября заявил, что одного лишь возмещения недостаточно. Он сказал, что Binance необходимо объяснить сбой и продемонстрировать более строгие меры контроля, чтобы восстановить доверие.

Его позиция касается иного вопроса, нежели того, получают ли клиенты замещающие активы. Полностью обеспеченное возмещение может устранить непосредственную нехватку средств, оставляя при этом нерешённой причину несанкционированных транзакций.

Binance представила свою финансовую состоятельность и приверженность клиентам как основание для заверений. Ричард Тенг 3 ноября заявил, что компания остаётся финансово устойчивой и что притоки и оттоки в значительной степени возвращаются к норме, сообщает Reuters.

Таким образом, доказательства восстановления должны включать как завершение программы по активам, так и изменения, внесённые в полномочия по транзакциям. Это отдельные утверждения, и они могут продвигаться с разной скоростью.

Спецификация Ethereum EIP-7702 прямо указывает, что подписанные авторизации могут делегировать поведение аккаунта коду. Соответствующее руководство по реализации предупреждает, что делегирование может дать назначенному контракту контроль над активами.

Для биржи соответствующий операционный вопрос заключается в том, что допускает её политика подписания, включая незнакомые типы транзакций и постоянные разрешения. Система, которая распознаёт обычный перевод, всё ещё должна интерпретировать авторизацию, изменяющую то, что аккаунт может впоследствии делать.

Это сравнение не устанавливает, какой именно механизм контроля Binance дал сбой. Оно определяет разрешение, которое следователи должны учесть при реконструкции транзакций Ethereum наряду с активностью в других сетях.

Раскрытие информации должно объяснять, какие защитные изменения применяются немедленно, а какие требуют дальнейшей инженерной работы. Замена учётных данных, изменение правил одобрения и перестройка сервисов — это разные действия, даже если все они фигурируют под общим обещанием усилить безопасность.

Клиенты могут сравнить готовый отчёт с датированными уведомлениями, выпущенными во время инцидента. Там, где компания пересмотрела первоначальное объяснение, итоговый отчёт должен показать, какие новые доказательства изменили её оценку.

Уведомление Binance от 30 октября обязалось опубликовать подробный технический отчёт, охватывающий атаку, извлечённые уроки и меры защиты. Следующий объявленный снимок резервов был запланирован на 4 ноября, при этом для полного криптографического доказательства оценивалось дополнительно от 40 до 50 часов.

На что обратить внимание

• Завершение по активам: Сообщит ли Binance о полном возмещении для токенов за пределами 10 уже охваченных.
• Доступность вывода средств: Какие оставшиеся пары сетей и активов станут доступны для операций и сохранятся ли задержки обработки.
• Возвращённые средства: Раскрытие информации, позволяющее отличить завершённые возвраты от активов, всё ещё замороженных или удерживаемых в ожидании решений.
• Пополнение резервов: Датированные балансы и планы замещения для SAFU и фьючерсных страховых фондов, использованных при восстановлении.
• Технические выводы: Окончательная хронология атаки, задействованные разрешения на подписание и меры контроля, изменённые после взлома.

Часто задаваемые вопросы