Założyciel Binance, Changpeng Zhao, odrzucił twierdzenie, że skradziono 335 milionów rekordów użytkowników, jako „oczywiście fałszywe/oszustwo”, kwestionując decyzję domniemanego sprzedawcy o zaoferowaniu kluczy prywatnych za 900 000 dolarów zamiast wykorzystania ich do przejęcia środków.
Podsumowanie
- CZ odrzucił domniemaną sprzedaż danych i skrytykował relacje medialne na temat tego twierdzenia.
- ThreatMon podał, że oferta reklamowała klucze prywatne, dokumenty tożsamości, hasła i historie transakcji.
- Wstępne dochodzenie Binance nie wykazało żadnych dowodów na naruszenie bezpieczeństwa związanego z reklamowanym zbiorem danych.
- Brandefense udokumentował podobne ogłoszenia sięgające października, nie potwierdzając autentyczności danych.
CZ, odpowiadając na X 9 listopada, argumentował, że każdy posiadający użyteczne klucze prywatne przeniósłby kryptowalutę, zamiast próbować sprzedać informacje. Powiedział, że widział to twierdzenie poprzedniego dnia i uznał jego problemy za oczywiste.
„Widziałem to wczoraj, myślałem, że to oczywiste, ale mimo to wiele mediów podchwyciło to dla nagłówków” – napisał.
Jego odpowiedź cytowała post ThreatMon opisujący ogłoszenie na podziemnym forum przypisywane ShinyHunters. Własna relacja konta monitorującego na temat oferty mówiła, że domniemane naruszenie nie zostało niezależnie zweryfikowane.
Binance kwestionuje domniemane naruszenie 335 milionów rekordów
Binance już wcześniej zakwestionowała ogłoszenie, zanim interweniował jej założyciel. Jak wcześniej informował crypto.news, wstępna analiza giełdy scharakteryzowała ofertę jako prawdopodobne oszustwo i nie znalazła żadnych wskazań, że reklamowane informacje dowodziły naruszenia jej systemów.
Rzecznik powiedział, że firma aktywnie bada twierdzenia i przeanalizowała opis oraz przykładowe informacje dostępne na tamtym etapie.
Giełda zidentyfikowała kilka niespójności. Podała, że nie przechowuje haseł do kont w postaci jawnej ani nie posiada kluczy prywatnych do zewnętrznych portfeli klientów. Według rzecznika oferta odnosiła się do jurysdykcji, w których Binance już nie działa.
Binance zasugerowała, że podobne wcześniejsze ogłoszenia dotyczyły informacji zebranych przez złośliwe oprogramowanie infostealer z urządzeń indywidualnych użytkowników. Jej oświadczenie nie ustaliło, że ten konkretny zbiór danych pochodził z takiego złośliwego oprogramowania.
Sprzedawca twierdził, że oferuje 335,9 miliona wierszy z 170 krajów
Post ThreatMon opisywał zbiór danych zawierający 335 900 000 wierszy powiązanych z użytkownikami w około 170 krajach. Reklamowane treści obejmowały dowody osobiste i paszporty, adresy e-mail, numery telefonów, hasła do kont, historie transakcji i szczegóły wewnętrznej infrastruktury.
Sprzedawca rzekomo posiadał prywatne klucze do portfeli i informacje dotyczące aktywów w portfelach gorących Binance. Według konta monitorującego cena wynosiła 900 000 dolarów w Bitcoinach lub Monero, wraz z groźbą publikacji materiałów, jeśli Binance nie zapłaci.
Próbka została rzekomo umieszczona za paywallem forum. ThreatMon szczególnie określił twierdzenia dotyczące gorących portfeli i kluczy prywatnych jako niezweryfikowane.
Krytyka CZ skupiła się na tym, jak redakcje potraktowały to twierdzenie, ale jego post nie wymienił poszczególnych publikacji ani nie wskazał konkretnych nagłówków. Przedstawił argument przeciwko twierdzeniu sprzedawcy o kluczach prywatnych, nie publikując technicznego badania reklamowanych rekordów.
Wcześniejsze ogłoszenia miały różne ceny wywoławcze
Firma bezpieczeństwa Brandefense udokumentowała cztery wersje podobnego ogłoszenia datowane od 30 października do 2 listopada. Jej badanie opisało niemal identyczne sformułowania pojawiające się pod trzema nazwami kont Telegram, nie mogąc ustalić, czy zaangażowany był jeden sprzedawca, czy kilku repostujących.
Reklamowana cena była różna. Wersja z 1 listopada żądała 500 000 dolarów do negocjacji, podczas gdy dwie wersje z 2 listopada wspominały o 900 000 dolarów, przy czym jedna sugerowała, że cena może spaść do 500 000 dolarów.
Brandefense uznała mieszane treści i ofertę kluczy prywatnych za bardziej spójne z informacjami z recyklingu lub oszustwem. Firma podała, że do 3 listopada nie otworzyła ani nie przetestowała próbki.
Jej analiza odróżniła reklamowaną liczbę wierszy od liczby dotkniętych osób: 335,9 mln wierszy nie dowodzi, że 335,9 mln indywidualnych klientów miało skradzione informacje.
Październikowy atak na portfel miał udokumentowany ślad transakcji
W swoim raporcie incydentu z 3 listopada incident report, Binance opisał odrębną kradzież 6,34 mld dolarów z 29 października, związaną z nieautoryzowanym dostępem do jego usługi podpisywania portfela.
Relacja giełdy o ataku account of the attack prześledziła włamanie poprzez przejęte urządzenia pracowników i skradzione dane uwierzytelniające do wdrożenia. W jej raporcie stwierdzono, że atakujący wykorzystali uprawnienia Ethereum, aby kontynuować przenoszenie aktywów po zawieszeniu normalnych wypłat.
Binance poinformował, że końcowy nieautoryzowany transfer 2961,9 ETH został rozliczony o 23:56 UTC 29 października. W swoim raporcie powołał się na przypisanie tego ataku przez FBI Korei Północnej.
Osobno wrześniowe ostrzeżenie Binance warning about phishing texts opisywało wiadomości twierdzące o podejrzanych logowaniach lub zmianach konta i kierujące odbiorców przez skrócone linki. Giełda oświadczyła, że nigdy nie prosi klientów o weryfikację lub zabezpieczenie kont za pośrednictwem linków w wiadomościach tekstowych.
