Редакция: Wu Shuo Blockchain, ChatGPT

Кратко:

· Предварительное расследование Binance указывало на возможный взлом компьютера DevOps-инженера, в дальнейшем были обнаружены дополнительные точки проникновения. Официальные представители компании заявили, что инцидент связан с множеством факторов, и полный путь атаки, а также способ генерации действительных подписей, еще предстоит установить.

· Наличие действительной подписи в блокчейне не означает утечку приватного ключа. Необходимо техническое расследование, чтобы определить, злоупотреблял ли злоумышленник сервисом подписей и как права доступа к контейнерам были преобразованы в возможность создания подписей.

· EIP-7702 использовался для массовой передачи токенов и непрерывной очистки последующих транзакций, но не может объяснить все аномальные переводы между разными блокчейнами; соответствующие вредоносные разрешения были отозваны.

· Binance заявила, что выделила более 6,34 миллиарда долларов США из корпоративных средств для покрытия последствий этого инцидента, из которых около 5 миллиардов долларов США уже находятся в форме соответствующих затронутых токенов. Остальная часть средств закупается на рынке и через внебиржевые каналы (OTC) для восполнения дефицита активов. Указанные средства не включают около 3 миллиардов долларов США замороженных активов, которые все еще находятся в процессе возврата и проверки.

30 октября, по пекинскому времени, Binance сообщила, что предварительное расследование показало, что компьютер DevOps-инженера мог быть взломан, в результате чего злоумышленники получили доступ к сервисным контейнерам и отправили несанкционированные транзакции на вывод средств. На тот момент не было обнаружено никаких доказательств утечки приватных ключей кошельков. В последующих обновлениях Binance заявила, что в ходе расследования были обнаружены дополнительные точки проникновения, и описала этот инцидент как сложную атаку.

В одном из обновлений Binance также указала, что инцидент связан с множеством факторов, и взломанный компьютер, вероятно, является точкой входа. Команда безопасности отслеживает полный путь атаки. Эти данные дополняют предыдущий анализ блокчейна информацией о доступе к внутренним системам, но взаимосвязь между новыми точками проникновения, а также то, как злоумышленники получили возможность создавать авторизованные транзакции и подписи, прошедшие проверку в блокчейне, пока не были раскрыты.

I. Binance опубликовала результаты предварительного расследования: общий ущерб оценивается примерно в 6,3 миллиарда долларов США, около 3 миллиардов долларов США заморожены.

В объявлении, опубликованном Binance 30 октября в 10:23 по пекинскому времени, компания предварительно оценила общий ущерб от инцидента примерно в 6,3 миллиарда долларов США и заявила, что в сотрудничестве с партнерами по блокчейну заморозила около 3 миллиардов долларов США активов, связанных с этим инцидентом. Ранее Binance сообщала об общей сумме замороженных средств, которая была подтверждена и составила 2,54 миллиарда долларов США. Общая оценка ущерба не учитывает замороженные и возвращенные активы, и не является окончательной суммой чистых потерь.

В своем последнем заявлении Binance сообщила, что выделила более 6,34 миллиарда долларов США из корпоративных средств для покрытия последствий этого инцидента, из которых около 5 миллиардов долларов США уже находятся в форме соответствующих затронутых токенов. Остальная часть средств закупается на рынке и через внебиржевые каналы (OTC) для восполнения дефицита активов. Binance отметила, что некоторые токены имеют низкую ликвидность, а также требуется время для проведения внебиржевых транзакций, поэтому процесс закупки может занять больше времени.

Binance подчеркивает, что указанные средства не включают замороженные или защищенные активы. В настоящее время около 300 миллионов долларов США в виде активов были заморожены, и работа по их возврату и проверке продолжается. Платформа заявила, что начала процесс возврата активов пользователям, и продолжает сотрудничать с правоохранительными органами, эмитентами, компаниями, занимающимися анализом блокчейна, и отраслевыми партнерами для отслеживания, замораживания и возврата дополнительных средств. Binance продолжит использовать ресурсы компании для покрытия подтвержденных дефицитов активов и, в конечном итоге, предоставит публично проверяемые данные о состоянии средств пользователей.

В отношении состояния сервисов, Binance уточнила, что пополнение счетов не затронуто, а вывод средств временно приостановлен. Команда работает над обеспечением безопасности сервиса вывода средств и связанных с ним адресов. Согласно последним обновлениям расследования, после приостановки вывода средств, отток средств прекратился, и ожидается, что сервис вывода средств будет восстановлен в течение 45 часов с момента публикации этого заявления.

В отношении причин атаки, Binance на данный момент предоставила информацию о возможном взломе компьютера инженера, доступе к сервисным контейнерам и несанкционированных транзакциях вывода средств, а также подтвердила обнаружение дополнительных точек проникновения. Однако, как именно компьютер был взломан, какие права доступа имели контейнеры, и как различные точки проникновения в совокупности сформировали путь атаки, требует более подробного технического анализа.

Сопредседатель Binance, Richard Teng, в своем последнем видеообращении заявил, что в результате данного инцидента пострадали только собственные горячие кошельки Binance, и что компания никогда не использовала средства клиентов, поэтому средства клиентов не были затронуты. Большинство активов пользователей хранятся в холодных кошельках, и переводятся в горячие кошельки только при запросе пользователем вывода средств. Teng также отметил, что эта атака не была совершена одним человеком, и что злоумышленники использовали механизм самоуничтожения, уничтожая инструменты и следы в процессе действий, что усложнило отслеживание и расследование.

Второй вопрос: Что еще отсутствует между доступом к правам контейнера и получением действительной подписи?

Согласно анализу Blockaid, авторизация EIP-7702 для Binance 14 содержала действительную подпись, которую можно было проверить с помощью данного адреса кошелька. После активации авторизации, злоумышленники использовали вредоносный код для перевода активов. Другие горячие кошельки также совершили обычные переводы, содержащие свои собственные действительные подписи. Эти записи в блокчейне поднимают ключевой вопрос: как злоумышленники получили эти действительные подписи?

Действительная подпись сама по себе не доказывает утечку закрытого ключа. Злоумышленники могли получить закрытый ключ напрямую, или злоупотребить системой, имеющей право запрашивать подписи, даже не имея возможности прочитать закрытый ключ. Обычно, только на основании записей в блокчейне, невозможно различить эти два сценария, и требуется расследование с использованием внутренних системных журналов, конфигураций прав доступа и записей запросов на подпись.

Ранее Binance сообщила, что после возможного взлома компьютера инженера, злоумышленники получили доступ к сервисным контейнерам и отправили несанкционированные транзакции вывода средств. Binance Sisi впоследствии объяснила, что взлом компьютера сотрудника был лишь отправной точкой атаки, и что перевод средств не мог быть завершен путем взлома одного устройства или использования прав доступа какого-либо инженера, а требовал более сложного процесса атаки. В настоящее время расследование не привело к возложению ответственности на какое-либо конкретное лицо, и не было обнаружено никаких доказательств утечки закрытых ключей кошельков. Binance также сообщила, что в ходе расследования были обнаружены дополнительные точки проникновения, но их конкретное местоположение и взаимосвязь пока не были обнародованы.

Эти данные пока не объясняют, как внутренние права доступа были преобразованы в цифровые подписи в блокчейне. Необходимо выяснить, использовал ли злоумышленник сервисный контейнер для вызова сервиса подписи, обошел ли он процедуры утверждения или проверки, – это направления для расследования, и на данный момент невозможно утверждать, что это установленный путь атаки. Существование дополнительных точек проникновения также означает, что предположение о том, что "компьютер был взломан – доступ к контейнеру – злоупотребление сервисом подписи" может охватывать лишь часть процесса, и даже может потребоваться корректировка на основе дальнейших результатов расследования.

Предыдущий анализ, проведенный одним из сооснователей Cobo, известным как "Шэню", указывал на возможные проблемы с приватными ключами или системой подписей, и утверждал, что нет никаких доказательств того, что причиной стала уязвимость в смарт-контракте. В настоящее время предоставленные Binance внутренние данные не подтверждают это заключение. Расследование должно прояснить, как генерировались действительные разрешения и цифровые подписи для транзакций, а также связаны ли аномальные операции на разных кошельках и в разных блокчейнах с общими правами доступа или подписями.

Три. Роль EIP-7702: Получение разрешения, массовая пересылка токенов и постоянная очистка.

EIP-7702 объясняет, как злоумышленник действовал после получения вредоносного разрешения в Binance 14. Он позволяет обычным внешним аккаунтам делегировать выполнение кода своего аккаунта определенному контракту путем подписания разрешения, для выполнения массовых операций, оплаты комиссий и т.д. Если аккаунт принимает вредоносный контракт, те же возможности могут быть использованы для перевода активов.

Согласно анализу Blockaid, злоумышленник предоставил набор разрешений, соответствующих различным номерам транзакций для разных аккаунтов, и в конечном итоге одно из них было успешно применено, что привело к активации вредоносной делегирования. Эта операция решала проблему соответствия между разрешением и состоянием выполнения аккаунта, но при этом подразумевает, что злоумышленник уже получил действительную подпись, и это не объясняет первоначальный источник взлома.

После активации делегирования злоумышленник мог вызывать вредоносный контракт для массовой пересылки ETH и различных токенов, не требуя для каждого актива отдельные подписи кошелька. Более того, делегирование EIP-7702 не исчезает автоматически после завершения одной транзакции. Согласно данным Blockaid, после первой очистки злоумышленник перевел активы, которые впоследствии поступили на Binance 14, что указывает на то, что полное опустошение баланса не означает прекращения воздействия на этот адрес.

Взгляд стороннего эксперта, основателя SlowMist, Юй Синя, заключается в том, что злоумышленник выбрал EIP-7702 в основном для удобства массовой очистки токенов из горячих кошельков, и что сам механизм не имеет проблем; даже без этого механизма существуют и другие способы выполнения аналогичных операций. Исходя из этого, основное внимание в расследовании следует уделять тому, как было подписано вредоносное разрешение, а не тому, чтобы просто утверждать, что в протоколе есть уязвимость только из-за использования EIP-7702.

Однако, только делегирование EIP-7702 на Binance 14 не может объяснить аномальные переводы на других кошельках в блокчейне. Blockaid отмечает, что другие горячие кошельки использовали обычные переводы. Поэтому делегирование на Binance 14 и подписи для переводов на других кошельках необходимо расследовать отдельно, и необходимо проверить, связаны ли они с общими внутренними правами доступа или подписями.

Согласно анализу блокчейна, проведенному Bitquery, Binance 14 удалила делегирование EIP-7702 в 08:10 по пекинскому времени. Binance впоследствии подтвердила, что отозвала разрешения для затронутых адресов. Удаление делегирования отменяет постоянные права выполнения на этом адресе, но не заменяет необходимость проведения проверок безопасности внутренних систем и других кошельков.

Четыре. Прогресс в урегулировании средств: заморозка активов, обмен и перевод.

Binance объявила о сумме, подлежащей заморозке, в размере около 30 миллионов долларов США, одновременно различные стороны предоставили информацию о конкретном ходе расследования. Комитет безопасности Arbitrum перевел около 74,56 миллиона токенов ARB и 8425 ETH с затронутых адресов на промежуточный замороженный кошелек. ZachXBT оценил эти активы примерно в 30,5 миллиона долларов США. По данным Specter, компания First Digital внесла один адрес, содержащий около 3,4 миллиона токенов FDUSD, в черный список. Неизвестно, учтены ли эти отдельные суммы в общей сумме замороженных средств, и их нельзя добавлять отдельно.

Ранее мониторинг блокчейна также выявил факты обмена и перевода активов злоумышленниками. Lookonchain сообщила, что семь токенов – UNI, ENA, PEPE, LINK, AAVE, ONDO и WLD – были проданы, в результате чего было получено 70 480 ETH, что в то время составляло около 158,25 миллиона долларов США. Onchain Lens зафиксировала перевод более 100 миллионов долларов США в ETH на новые кошельки и сообщила, что злоумышленники начали продавать токены STRK. Предположение о том, что они собираются использовать инструменты для сокрытия транзакций, пока остается лишь предположением, и соответствующие переводы не подтверждают, что средства действительно попали в миксер.

Компания LlamaRisk также сообщила, что затронутый адрес ранее разместил около 60 миллионов USDT в Aave и получил взаймы 19 762 WETH. На момент оценки этот залог был полностью обеспечен. Компания Aave приняла меры по заморозке активов на 292 позициях в версиях V3 и V4, приостановив новые депозиты и займы. Операции по погашению, снятию средств и ликвидации продолжаются, но снятие средств по-прежнему требует соблюдения условий, связанных с ликвидностью рынка и состоянием учетной записи.

В то же время, инженер по смарт-контрактам Justin Kalland, основываясь на характеристиках транзакций, предположил, что адреса, связанные со злоумышленниками, могли использовать MetaMask Gas Station, и что эти операции могут предоставить внецепочные логи, полезные для расследования. Однако подтверждений существования этих записей и их пригодности для идентификации злоумышленников пока нет.

Для полного технического анализа необходимо выяснить: как изначально произошел взлом, где находятся новые точки проникновения и как они связаны с скомпрометированным компьютером, какие права доступа имеет среда выполнения, и как злоумышленники получили необходимые разрешения и подписи для транзакций. Также необходимо дополнительно подтвердить, связаны ли аномальные операции на нескольких кошельках и в разных блокчейнах общей точкой входа, и почему существующие механизмы разрешений и утверждений не смогли предотвратить эти операции. Ответы на эти вопросы позволят связать внутренние данные расследования, предоставленные Binance, с наблюдаемым поведением в блокчейне.