Основатель Binance Чанпэн Чжао назвал утверждение о краже 335 миллионов пользовательских записей «очевидно поддельным/мошенническим», поставив под сомнение решение предполагаемого продавца предлагать приватные ключи за 900 000 долларов вместо того, чтобы использовать их для вывода средств.
Краткое содержание
- CZ отверг предполагаемую продажу данных и раскритиковал освещение этого утверждения в СМИ.
- ThreatMon сообщила, что в объявлении предлагались приватные ключи, удостоверения личности, пароли и записи транзакций.
- Предварительное расследование Binance не обнаружило доказательств компрометации, связанной с рекламируемым набором данных.
- Brandefense задокументировала аналогичные объявления, датируемые октябрём, не подтвердив подлинность данных.
CZ, отвечая в X 9 ноября, заявил, что любой, кто обладает рабочими приватными ключами, перевёл бы криптовалюту, а не пытался бы продать информацию. Он сказал, что видел это утверждение днём ранее и счёл его проблемы очевидными.
«Увидел это вчера, подумал, что это очевидно, но многие СМИ всё равно подхватили это ради заголовков», — написал он.
В его ответе цитировался пост ThreatMon, описывающий объявление на подпольном форуме, приписываемое ShinyHunters. В собственном описании объявления мониторинговый аккаунт указал, что предполагаемая утечка не была независимо подтверждена.
Binance оспаривает предполагаемую утечку 335 миллионов записей
Binance уже оспаривала это объявление ещё до вмешательства своего основателя. Как ранее сообщал crypto.news, предварительная проверка биржи охарактеризовала объявление как вероятное мошенничество и не обнаружила признаков того, что рекламируемая информация свидетельствует о взломе её систем.
Представитель заявил, что компания активно расследует эти утверждения и изучила описание и образцы информации, доступные на тот момент.
Биржа выявила несколько несоответствий. Она заявила, что не хранит пароли аккаунтов в открытом виде и не хранит приватные ключи от внешних кошельков клиентов. По словам представителя, в объявлении упоминались юрисдикции, где Binance больше не работает.
Binance предположила, что аналогичные прошлые объявления содержали информацию, собранную вредоносным ПО класса infostealer с устройств отдельных пользователей. В её заявлении не устанавливалось, что этот конкретный набор данных произошёл от такого вредоносного ПО.
Продавец утверждал о 335,9 миллиона строк по 170 странам
Пост ThreatMon описывал набор данных, содержащий 335 900 000 строк, связанных с пользователями примерно в 170 странах. В рекламируемом содержимом упоминались удостоверения личности и паспорта, адреса электронной почты, номера телефонов, пароли аккаунтов, истории транзакций и детали внутренней инфраструктуры.
Продавец якобы располагал приватными ключами кошельков и информацией об активах в горячих кошельках Binance. По данным мониторингового аккаунта, запрашиваемая цена составляла 900 000 долларов в биткоинах или Monero, сопровождаясь угрозой опубликовать материалы, если Binance не заплатит.
Образец, как сообщается, был размещён за платным доступом на форуме. ThreatMon особо охарактеризовала утверждения о горячих кошельках и приватных ключах как неподтверждённые.
Критика CZ была сосредоточена на том, как издания освещали это утверждение, но в его посте не назывались конкретные публикации или отдельные заголовки. Он привёл аргумент против утверждения продавца о приватных ключах, не публикуя технической экспертизы рекламируемых записей.
В более ранних объявлениях указывались другие запрашиваемые цены
Компания по безопасности Brandefense задокументировала четыре версии аналогичного объявления, датированные с 30 октября по 2 ноября. В её исследовании описывалась почти идентичная формулировка, появлявшаяся под тремя именами аккаунтов Telegram, что не позволило определить, участвовал ли один продавец или несколько репостеров.
Рекламируемая цена варьировалась. В версии от 1 ноября запрашивалось 500 000 долларов с возможностью торга, тогда как две версии от 2 ноября упоминали 900 000 долларов, причём в одной предполагалось, что цена может снизиться до 500 000 долларов.
Brandefense сочла смешанное содержимое и предложение приватных ключей более соответствующими переработанной информации или мошенничеству. Компания заявила, что по состоянию на 3 ноября не открывала и не проверяла образец.
В своём анализе издание отделило заявленное количество строк от количества пострадавших людей: 335,9 млн строк не доказывают, что у 335,9 млн отдельных клиентов были украдены данные.
Октябрьская атака на кошелёк имела документированный след транзакций
В своём отчёте об инциденте от 3 ноября Binance описала отдельную кражу на сумму 6,34 млрд долларов 29 октября, связанную с несанкционированным доступом к её сервису подписи кошельков.
Описание атаки биржей прослеживает проникновение через скомпрометированные устройства сотрудников и украденные учётные данные для развёртывания. В её отчёте говорится, что злоумышленники использовали разрешения Ethereum, чтобы продолжать перемещать активы после приостановки обычных выводов.
Binance сообщила, что окончательный несанкционированный перевод 2 961,9 ETH был совершён в 23:56 UTC 29 октября. В её отчёте приводится атрибуция этой атаки ФБР Северной Корее.
Отдельно сентябрьское предупреждение Binance о фишинговых сообщениях описывало сообщения, в которых утверждалось о подозрительных входах или изменениях аккаунта и которые направляли получателей по сокращённым ссылкам. Биржа заявила, что никогда не просит клиентов подтверждать или защищать свои аккаунты через ссылки в текстовых сообщениях.
