Włamanie na Binance: co się stało i gdzie trafiło 6,3 mld dolarów

Binance obiecał pokryć każdą stratę klienta po naruszeniu bezpieczeństwa, które według jego szacunków dotknęło 6,3 miliarda dolarów. Jego działania naprawcze obejmują obecnie kilka różnych procesów, od zamrożenia stablecoinów po śledzenie aktywów, których żaden emitent tokenów nie może zablokować.

Binance oszacował, że 6,3 miliarda dolarów w kryptowalutach zostało dotkniętych jego naruszeniem bezpieczeństwa z 29 października, i zobowiązał się pokryć wszystkie straty, podczas gdy partnerzy zamrozili około 3 miliardów dolarów.

Aktualizacja bezpieczeństwa Binance mówi, że jego wstępne dochodzenie wskazuje na laptop inżyniera DevOps, który mógł umożliwić dostęp do wewnętrznego kontenera usług i złożenie nieautoryzowanych wypłat.

Giełda twierdzi, że nie znalazła dowodów na wyciek kluczy prywatnych portfeli. Unieważniła autoryzację dotkniętego adresu, zaangażowała organy ścigania i obiecała raport techniczny po zakończeniu przez śledczych ustalania, co się stało.

Śledczy blockchain opublikowali odrębne relacje na temat transferów. Ich liczby opisują różne etapy incydentu i wykorzystują różne zakresy, przy czym niektórzy liczą wartość w momencie opuszczenia Binance przez aktywa, a inni opisują aktywa, które następnie zostały zamrożone.

Liczba 3 miliardów dolarów zamrożonych środków współistnieje zatem z szacunkiem 6,3 miliarda dolarów. Binance nie opisał 3 miliardów dolarów jako pieniędzy już zwróconych klientom, ani nie opublikował ostatecznego rozliczenia własnej straty finansowej po odzyskaniach.

Hack Binance dotarł do kilku sieci w ciągu kilku minut

Według TRM Labs główna fala transferów rozpoczęła się około 20:05 UTC 29 października i przeniosła większość skradzionych funduszy w ciągu około 20 minut. Ich dochodzenie obejmuje 10 sieci, a kolejna fala dotarła do Avalanche i Polygon później tego samego wieczoru.

Szacunek TRM wycenia aktywa w momencie każdego transferu. Liczba 6,3 miliarda dolarów Binance jest szacunkiem firmy dotyczącym wpływu incydentu, więc różnica między obiema sumami sama w sobie nie dowodzi, że śledczy odkryli kolejną kradzież.

Firma przypisuje atak grupie TraderTraitor z Korei Północnej, wykorzystując dane on-chain i off-chain. Binance nie potwierdził tożsamości atakującego, a przypisanie pozostaje oceną śledczych.

Jak wcześniej informował crypto.news, wstępne przypisanie i śledzenie powiązały incydent z jednostką hakerską wcześniej zidentyfikowaną przez FBI w kradzieży Bybit w lutym 2025 roku. Przypisanie techniczne i ustalenie karne to odrębne etapy, nawet gdy śledczy wyrażają wysoki poziom pewności.

Transfery obejmowały aktywa o bardzo różnych możliwościach odzyskania. Tokeny dolarowe mogą mieć mechanizmy kontroli emitenta, podczas gdy natywny Bitcoin i Ethereum nie dają firmie stablecoinowej porównywalnej władzy do zablokowania salda posiadacza.

Adres pojawiający się w zapisie śledzenia może zatem być użytecznym tropem, nie będąc możliwym do odzyskania saldem. Śledczy mogą śledzić publiczne transfery po zmianie portfeli przez atakującego, ale możliwość zaobserwowania ruchu nie daje automatycznie nikomu uprawnień do jego odwrócenia.

Jedna autoryzacja Ethereum zmieniła to, co mogło zrobić gorące portfel

Techniczne śledztwo Blockaid opisuje atak na Binance 14, aktywny gorący portfel Ethereum. Transakcja zawierała 50 autoryzacji EIP-7702, z których jedna odpowiadała licznikowi transakcji konta i aktywowała delegację do złośliwego kodu.

Badacze twierdzą, że atakujący następnie użył zdelegowanego portfela do przeniesienia dużego koszyka aktywów i dotarł do innego inteligentnego konta kontrolowanego przez ten portfel. Złośliwa delegacja mogła pozostać użyteczna dla późniejszych depozytów, dopóki nie została usunięta.

Mechanizm autoryzacji portfela został już zbadany w technicznym omówieniu publikacji. Jego rola w tym incydencie polegała na umożliwieniu kodowi działania w kontekście istniejącego portfela po zaakceptowaniu wymaganej autoryzacji.

Specyfikacja Ethereum EIP-7702 opisuje trwałą delegację, a nie uprawnienie, które koniecznie znika po pojedynczej transakcji. Ostrzega, że zdelegowany kod ma nieograniczony dostęp do konta i musi być dokładnie audytowany przez dostawców portfeli.

Ta różnica wyjaśnia, dlaczego usunięcie dotkniętej autoryzacji należy do reakcji obok wstrzymania wypłat. Pauza w interfejsie klienta giełdy i usunięcie adresu delegacji on-chain dotyczą różnych części tego samego incydentu.

Blockaid opisuje inne transfery jako zwykłe podpisane transakcje z portfeli w kilku sieciach. Jego ustalenia nie dowodzą, że każdy dolar opuścił system poprzez delegację Ethereum, a pojedyncza funkcja Ethereum nie może sama odpowiadać za transfery Bitcoin lub Tron.

Wstępne oświadczenie Binance i techniczny opis śledczych dotyczą różnych kwestii. Giełda opisuje możliwą drogę do swoich systemów, podczas gdy badacze opisują, co autoryzowane transakcje zrobiły on-chain.

Pełne śledztwo wciąż musi połączyć te etapy. Oświadczenie giełdy, że nie znalazła wycieku klucza prywatnego, nie oznacza, że każda transakcja zatwierdzona przez jej infrastrukturę podpisywania była zamierzona przez firmę.

Zamrożone środki i zwrócone środki należą do oddzielnych sum

Binance twierdzi, że około 3 miliardy dolarów zostało zamrożone dzięki współpracy z partnerami branżowymi. Zamrożenie ogranicza przepływ dotkniętych aktywów, podczas gdy odzyskanie wymaga dodatkowego kroku, który zwraca wartość prawowitemu właścicielowi lub na uzgodniony adres odzyskiwania.

Używając zaokrąglonych liczb giełdy, 3 miliardy dolarów podzielone przez 6,3 miliarda dolarów równa się około 47,6%. Pozostała różnica wynosi 3,3 miliarda dolarów, czyli 52,4% wstępnego szacunku.

Te obliczenia opisują relację między dwiema ogłoszonymi liczbami Binance. Nie dowodzą, że 3,3 miliarda dolarów zniknęło bez możliwości odzyskania ani że całe zamrożone saldo można natychmiast wykorzystać do zwrotu klientom.

Mianownik może się zmieniać, gdy śledczy identyfikują transfery, usuwają podwójne liczenie lub aktualizują ceny. Licznik może się zmieniać, gdy emitenci lokalizują więcej tokenów lub organy zatwierdzają transakcję odzyskiwania.

Wczesny opis TRM podawał zamrożone lub zabezpieczone aktywa na około 2,7 miliarda dolarów, poniżej późniejszego szacunku Binance. Jego liczby były datowanym zrzutem śledzenia, a późniejszej sumy firmy nie należy do nich dodawać, jakby opisywały oddzielne pule.

Ta sama ostrożność dotyczy ogłoszeń emitentów. Zamrożenie Tether i zamrożenie Circle mogą być składnikami sumy Binance, więc dodanie obu do sumy giełdy liczyłoby niektóre aktywa dwukrotnie.

Stablecoiny wymienione przed działaniem emitenta wprowadzają kolejną komplikację. Emitent tokena dolarowego może być w stanie zablokować ten token, ale jego mechanizmy kontroli nie podążają automatycznie za posiadaczem do innego aktywa natywnego.

Rozliczanie odzyskiwania wymaga zatem zarówno sald tokenów, jak i ich statusu. Aktywa zidentyfikowane, aktywa unieruchomione, aktywa przeniesione do depozytu odzyskiwania oraz aktywa wykorzystane do przywrócenia sald klientów to cztery różne opisy.

Binance wymienił fundusze spółki obok SAFU

Zobowiązanie Binance polega na pokryciu strat z wykorzystaniem jego Secure Asset Fund for Users i zasobów spółki. Nie stwierdzono, że samo SAFU pochłonie cały incydent.

Wcześniejsza konwersja rezerwy Bitcoin funduszu została zakończona w lutym, kiedy Binance raportował 15 000 BTC o wartości około 1,005 mld USD w tamtym czasie. Ogłoszenie konwersji opisywało historyczne saldo i wycenę, a nie świeże październikowe oświadczenie o dostępnych zasobach ubezpieczeniowych.

Nawet hipotetyczny fundusz o wartości 1 mld USD pokryłby jedynie 15,9% brutto incydentu o wartości 6,3 mld USD. Odjęcie 1 mld USD od 6,3 mld USD daje 5,3 mld USD, ale ta arytmetyka nie jest szacunkiem rzeczywistej luki finansowania Binance, ponieważ odzyski i bieżące saldo funduszu pozostają odrębnymi danymi wejściowymi.

Decyzja giełdy o uwzględnieniu funduszy spółki jest zatem częścią samej obietnicy. Klientom powiedziano, że Binance poniesie stratę, zamiast powiedzieć im, aby czekali, aż śledczy odzyskają każdy skradziony token.

Zobowiązanie nie określa dokładnej mieszanki gotówki, kryptowalut lub innych zasobów spółki, które zostaną wykorzystane. Nie ustala harmonogramu jakichkolwiek odzyskiwań kontrolowanych przez emitenta ani sposobu księgowania zamrożonych sald.

Zwrot klientom i ostateczna strata netto spółki mogą przebiegać według różnych harmonogramów. Binance może zastąpić brakujący składnik aktywów klienta z własnych zasobów, zanim pierwotny składnik aktywów zostanie odzyskany, pozostawiając spółce późniejsze dochodzenie odzyskania.

Jeśli emitent później zwróci składnik aktywów, który został już zastąpiony, takie odzyskanie wpłynęłoby na własną ekspozycję finansową Binance. Nie należy go liczyć jako drugiego zwrotu tej samej straty klienta.

Aktualizacja rezerw zapewni datowany obraz zabezpieczenia

Binance obiecał zaktualizowany dowód rezerw po naprawieniu szkód. Jego sierpniowy zrzut rezerw raportował wskaźniki rezerw na poziomie 100,25% dla Bitcoina i Ethereum, z wyższym wskaźnikiem dla USDT.

Sierpniowy wskaźnik nie może ustalić zabezpieczenia giełdy po październikowym incydencie. Salda klientów, posiadane rezerwy i dotknięte aktywa muszą zostać zmierzone na dzień nowego zrzutu.

Analiza publikacji dotycząca praktyk raportowania rezerw przez giełdy wyjaśnia, że systemy te porównują aktywa objęte zakresem z saldami klientów objętymi zakresem. Nie obejmują automatycznie każdego zobowiązania korporacyjnego ani nie ustalają, że mechanizmy kontroli działają w sposób ciągły między zrzutami.

Wskaźnik powyżej 100% oznacza, że aktywa uwzględnione w tym obliczeniu przewyższają odpowiadające im salda klientów w nim uwzględnione. Nie mierzy jakości systemu wypłat ani nie pokazuje, w jaki sposób atakujący uzyskał ważną autoryzację.

Obiecana przez Binance aktualizacja rezerw i techniczny post-mortem służą zatem różnym celom. Pierwsza może udokumentować zabezpieczenie w określonym czasie, podczas gdy drugi ma na celu wyjaśnienie naruszenia i kroków podjętych w celu zamknięcia drogi wykorzystanej przez atakującego.

Ten sam składnik aktywów nie powinien być przedstawiany jednocześnie jako swobodnie dostępna płynność wypłat i unieruchomiony majątek odzyskiwania bez wyjaśnienia jego statusu. Zamrożone tokeny mogą zachować wycenioną wartość w dolarach, pozostając niedostępnymi dla zwykłych wypłat klientów.

Obietnica zwrotu środków pozostawia harmonogram odzyskiwania otwarty

Najmocniejszą deklarowaną reakcją Binance jest zobowiązanie do pokrycia wszystkich strat, oparte zarówno na SAFU, jak i funduszach spółki. Zgłoszone blokady dają wysiłkom odzyskiwania zidentyfikowaną pulę aktywów, którymi atakujący nie mogą swobodnie dysponować w ramach obowiązujących kontroli.

Żadne z tych zobowiązań nie podaje ostatecznej kwoty strat. Binance nie opublikował jeszcze pełnego uzgodnienia między skradzionymi aktywami, zamrożonymi saldami, zwróconymi aktywami a zasobami spółki przeznaczonymi na zastąpienie środków klientów.

Zapis publiczny zawiera również zmieniający się status operacyjny. Początkowe zawiadomienie o bezpieczeństwie opisywało wstrzymanie wpłat i wypłat, podczas gdy późniejsze doniesienia opisywały wpłaty jako operacyjne, a wypłaty jako podlegające dalszym pracom nad bezpieczeństwem.

Zawiadomienia należą do swoich odpowiednich czasów publikacji. Zdolność klienta do wypłaty zależy od aktualnego zawiadomienia o usłudze dla danej sieci, a nie od tego, czy inna sieć wznowiła działalność.

Szacowany termin wznowienia jest celem spółki, dopóki usługa nie zostanie faktycznie przywrócona. Nie jest to termin, który wymaga od każdego klienta podjęcia działań, a zbadane oświadczenie Binance dotyczące bezpieczeństwa nie narzuca uniwersalnego okna wypłat dla klientów.

Raport techniczny odniesie się do wstępnego punktu wejścia

Odniesienie giełdy do przejętego laptopa pozostaje wstępne. Jej oświadczenie wskazuje możliwą ścieżkę od urządzenia inżyniera do wewnętrznego kontenera, ale nie publikuje pełnego wyjaśnienia, w jaki sposób atakujący uzyskał każde upoważnienie w dotkniętych sieciach.

Analiza Blockaid dostarcza dowodów dotyczących wykonania na Ethereum, podczas gdy śledztwo TRM obejmuje transfery i atrybucję w większym zestawie sieci. Ich praca nie zastępuje obiecanego przez Binance opisu wewnętrznych kontroli dostępu.

Binance.US, odrębna amerykańska filia giełdy, poinformowała, że jej działalność nie została dotknięta incydentem.

Na co zwrócić uwagę

Zwrócone aktywa: Potwierdzony transfer do depozytu odzyskiwania ustaliłby inny status niż blokada emitenta.

Zawiadomienia o wypłatach: Aktualizacje usług dla poszczególnych sieci ustalą, które wypłaty zostały faktycznie wznowione.

Migawka rezerw: Data, objęte aktywa i traktowanie zamrożonych sald określą, co ustala nowy raport.

Techniczny post-mortem: Ostateczny opis powinien połączyć wewnętrzny dostęp, upoważnienie do podpisywania i transfery on-chain.

Uzgodnienie strat: Ujawniony wkład Binance i odzyskane aktywa określą jej ostateczną ekspozycję finansową.

FAQ