Binanceov hak težak 6,3 milijarde dolara otvara pitanja o zaštiti vrućih novčanika

Binance je otkrio sigurnosni incident vrijedan 6,3 milijarde dolara, a suizvršni direktor Richard Teng rekao je 30. listopada da je napad zahvatio vlastiti vrući novčanik burze. Većina korisničkih sredstava bila je u offline hladnoj pohrani i premještana u vruće novčanike samo kada su korisnici zatražili isplatu. Time je otvoreno pitanje kako je burza upravljala vrućim novčanicima i ograničila iznos koji su napadači mogli dosegnuti.

U početnom izvješću objavljenom u utorak Binance je naveo da su napadači pristupili internoj usluzi potpisivanja novčanika kako bi premjestili sredstva izvan uobičajenog procesa isplata. Burza je rekla da će neki tehnički detalji ostati povjerljivi kako bi se spriječili novi napadi, a nije odgovorila na pitanja Cointelegrapha o stanju novčanika i zaštitnim mjerama. Nakon napada su konkurenti Coinbase, Gate i Upbit objavili svoje omjere hladne pohrane.

Kontekst

Vrući novčanik je novčanik povezan s internetom iz kojeg burza obično automatski obrađuje isplate, dok se većina sredstava drži u hladnoj pohrani izvan mreže. Analitičar CertiKa Jonathan Riss rekao je da javni zapisi na lancu blokova mogu pokazati kretanje sredstava, ali ne mogu utvrditi interne kontrole koje upravljaju tim prijenosima. Kada napadači dobiju valjane potpise, njihov potencijalni pristup ovisi o tome što im sustav potpisivanja dopušta tijekom vremena. Ograničenja koja nameće aplikacija koja traži potpis mogu se zaobići ako je ta aplikacija kompromitirana, dok ograničenja koja neovisno nameće sustav potpisivanja još mogu ograničiti prijenose.

Riss je zaključio da usporedba s drugim burzama izvana nije moguća jer su javne informacije o internoj arhitekturi potpisivanja svugdje ograničene.

Ključne brojke

Riss je naveo da 6,3 milijarde dolara predstavlja kumulativnu vrijednost zahvaćene imovine na 10 lanaca blokova. Na Ethereumu su napadači više puta ispraznili vrući novčanik dok su pristizali novi depoziti. Idan Ofrat iz Fireblocksa rekao je da burze obično drže u vrućim novčanicima dovoljno sredstava za nekoliko dana očekivanih isplata, često nizak jednoznamenkasti postotak imovine pod upravljanjem. Alex Tobol iz novčanika Walt rekao je da držanje milijardi dolara u vrućim novčanicima nije samo po sebi neobično za burzu veličine Binancea.

Što to znači

Incident pokazuje da stanje novčanika u jednom trenutku ne odražava punu izloženost napadu. Javni lanci blokova bilježe tokove, ali ne otkrivaju kako je isplata autorizirana ni koje su interne granice postojale. Eugene Hahr iz BitGoa nije htio nagađati o Binanceovim internim zaštitama i rekao je da je raspodjela skrbničkih aran.