Binance je 3. novembra objavio da je napadu prethodila višemesečna kampanja protiv zaposlenih i njihovih računara. Početni izveštaj povezuje lažno zapošljavanje, zlonamerni razvojni softver i kompromitovan interni AI alat sa pristupom infrastrukturi za potpisivanje transakcija.
Napadači su do Binance infrastrukture za potpisivanje transakcija došli kroz više povezanih kompromitovanja, navodi berza u početnom izveštaju o incidentu od 29. oktobra. Novi dokument proširuje ranije objašnjenje o kompromitovanom računaru inženjera, ali ostaje nalaz same kompanije koji tek treba da prođe dodatnu nezavisnu proveru.
Prethodno: rezerva i obnova isplata posle incidenta.
Od razvojnih alata do lažnog zapošljavanja
Prema objavljenoj hronologiji, jedan zaposleni je u junu preuzeo izmenjeni instalacioni alat. Binance navodi da je tada zamenio uređaj i promenio povezane pristupne podatke, ali da su napadači saznali više o zaposlenom i njegovom timu.
U septembru je drugi inženjer tokom lažnog procesa zapošljavanja dobio programski zadatak sa zlonamernim kodom. Kompromitovani računar potom je, prema kompaniji, poslužio za širenje pristupa preko internog AI alata do drugih računara tima za novčanike.
Zašto obustava isplata nije zaustavila sve transfere
Binance navodi da su napadači zloupotrebili Ethereumov mehanizam EIP-7702 kako bi ugovoru pod svojom kontrolom dodelili izvršna ovlašćenja nad jednim hot walletom.
Takva ovlašćenja postojala su na blockchainu, pa isključivanje uobičajenog sistema isplata nije bilo dovoljno da ih poništi. Berza kaže da je razvila poseban postupak opoziva, uz dodatne teškoće zbog načina na koji je organizovano višestranačko potpisivanje transakcija. Ovaj opis ukazuje na zloupotrebu ovlašćenja u konkretnom sistemu; sam po sebi ne dokazuje kompromitovanje Ethereum mreže.
Pokriće gubitaka i istraga ostaju odvojena pitanja
Novi dokument navodi približno 6,34 milijarde dolara pogođene imovine i oko 2,85 milijardi dolara zamrznute ili presretnute imovine, uz mogućnost usaglašavanja procena i promene tržišnih vrednosti.
U njemu se pojavljuje i podatak o 98% nadomeštenih tokena, vezan za presek od 31. oktobra. Zbog tog datiranja brojku ne treba predstavljati kao rast pokrića ostvaren tokom 3. novembra. Nadomeštanje tokena kompanijskim sredstvima takođe nije isto što i vraćanje plena od napadača.
Binance najavljuje nezavisnu bezbednosnu proveru i navodi da je obnovio pogođene sisteme i pristupne kontrole.
Uticaj na tržišni sentiment
Detaljnija hronologija omogućava ozbiljniju procenu operativnog rizika nego početno saopštenje o kompromitovanom laptopu. Za poverenje će biti presudni nezavisni nalazi, pouzdanost isplata i proverljivo pokriće obaveza. Veća transparentnost pomaže, ali objavljivanje početnog izveštaja ne zatvara istragu.
