Tyrėjai aiškinasi, kaip iš kriptovaliutų biržos „Binance“ buvo pavogta apie 5,6 mlrd. eurų – incidentas jau vadinamas didžiausiu kriptoturto įsilaužimu istorijoje. Pirminiai vertinimai rodo, kad ataka galėjo būti siejama su Šiaurės Korėjos įsilaužėliais, o įsilaužimo „vartais“ tapo kompromituotas inžinieriaus įrenginys.
Pasak viešai skelbtos informacijos, per mažiau nei keturias valandas įsilaužėliai pasiekė kelias vadinamąsias karštąsias pinigines ir inicijavo neautorizuotas išėmimo operacijas. Dalį lėšų pavyko sustabdyti – „Binance“ su partneriais pranešė įšaldžiusi apie 2,4 mlrd. eurų, tačiau likusi dalis kurį laiką liko užpuolikų kontroliuojamuose adresuose.
„Binance“ teigia, kad vartotojų nuostoliai bus padengti įmonės lėšomis ir rezervais, o įvykio techninė analizė bus paskelbta vėliau, patikrinus faktus. Birža taip pat laikinai stabdė įnešimus ir išėmimus, kol buvo atliekami saugumo patikrinimai bei šalinamos spragos.
Kas galėjo tapti įsilaužimo pradžia?
„Binance“ incidentą įvardijo kaip sudėtingą ataką, kilusią dėl kelių veiksnių. Viena iš pagrindinių hipotezių – kompromituotas DevOps inžinieriaus kompiuteris, kuris galėjo suteikti prieigą prie paslaugų konteinerio ir leisti pateikti neleistinas išėmimo transakcijas.
Birža pabrėžė, kad kol kas nėra požymių, jog būtų nutekėję privačių raktų duomenys, tačiau vis tiek buvo atšauktos paveiktų adresų autorizacijos. Į tyrimą įtrauktos teisėsaugos institucijos ir blokų grandinės analitikos partneriai, siekiant susekti lėšų judėjimą ir atgauti pavogtą turtą.
Blokų grandinės stebėsenos bendrovės vertinimu, išėmimai galėjo būti pasirašyti pačios biržos išėmimo sistemos, todėl dėmesys krypsta į vidinių procesų, prieigos teisių ir automatizuotų operacijų kontrolės grandinę. Tokiuose incidentuose kritiškai svarbus ne tik raktų saugumas, bet ir tai, kas bei kokiomis sąlygomis gali inicijuoti išėmimus.
Kaip pavyko įšaldyti dalį lėšų?
Svarbi šio incidento detalė – dalį pavogto turto pavyko operatyviai įšaldyti, įsitraukus keliems stabilkoinų leidėjams ir blokų grandinės infrastruktūros dalyviams. Tai rodo, kad kriptoturto ekosistemoje kai kurios priemonės leidžia greitai blokuoti lėšas, tačiau toks mechanizmas dažniausiai veikia tik konkrečių emitentų valdomiems aktyvams ir ne visose grandinėse.
Likusi pavogtų lėšų dalis, remiantis tyrėjų vertinimais, buvo perskelta per kelias blokų grandines ir perkelta į naujus adresus. Tokia taktika įprasta siekiant apsunkinti sekimą, ypač kai naudojamos kelios grandinės, keityklos, „tiltai“ ir skirtingos turto rūšys.
Kibernetinio saugumo ekspertai atkreipia dėmesį, kad kriptoturto platformos pastaraisiais metais tampa itin patraukliu taikiniu, nes vienas pažeidžiamumas gali atverti kelią masinėms išėmimo operacijoms. Papildomą riziką didina ir automatizuotas pažeidžiamumų paieškos priemonių, įskaitant DI sprendimus, naudojimas, leidžiantis atakuotojams greičiau identifikuoti silpnas vietas.
Kas įtariamas ir kodėl?
Su incidentu siejami Šiaurės Korėjos veikėjai – tokia versija grindžiama blokų grandinės žvalgybos ir kibernetinio saugumo bendrovių vertinimais. Viena iš minimų grupių – TraderTraitor, kuri anksčiau buvo sieta su didelio masto atakomis prieš kriptoturto paslaugų teikėjus.
„Remdamiesi tvirtais duomenimis tiek blokų grandinėje, tiek už jos ribų, šią išvadą darome labai užtikrintai“, – teigiama analitikų vertinime.
Tokios grupuotės dažnai naudoja panašius veikimo modelius: kompromituoja darbuotojų įrenginius, taikosi į vidinius įrankius ir prieigos raktus, o vėliau lėšas skaidydamos per kelias grandines siekia nuslėpti pėdsakus. Tyrimas tęsiasi, o galutines išvadas lems techninių įrodymų visuma ir teisėsaugos patvirtinimai.
„Binance“ žada atnaujinti rezervų įrodymo ataskaitą po to, kai bus užbaigti taisomieji darbai. Rinka į tokius pažadus paprastai reaguoja jautriai: po didelių incidentų platformoms tenka ne tik atkurti paslaugų veikimą, bet ir įrodyti, kad rizikos valdymas, vidaus kontrolė ir operacijų stebėsena buvo realiai sustiprinti.
Leave a Reply