Binance indica nel laptop hackerato di un ingegnere la causa della violazione da 6,3 miliardi di dollari

Aggiornamento (30 ottobre alle 2:44 UTC): questo articolo è stato aggiornato per includere l’indagine preliminare di Binance sulla violazione della sicurezza.

Binance ha dichiarato che la sua indagine iniziale sulla violazione da miliardi di criptovalute ha indicato il laptop compromesso di un ingegnere DevOps. 

L’exchange ha dichiarato che la compromissione del laptop potrebbe aver consentito a un aggressore di accedere a un container di servizio e inviare transazioni di prelievo non autorizzate. Ha affermato di non aver trovato prove di una fuga della chiave privata di un wallet, sebbene l’indagine sia ancora in corso.

Parlando con Cointelegraph giovedì scorso, Ben-Natan ha dichiarato che la valutazione preliminare di Blockaid indicava anch’essa un «uso improprio della chiave», in cui gli aggressori inducono con l’inganno o compromettono un sistema di firma affinché autorizzi transazioni dannose senza estrarre la chiave privata sottostante.

«Sembra trattarsi di … una compromissione dell’infrastruttura di firma. Non pensiamo che una chiave sia stata divulgata», ha dichiarato.

La valutazione di Ben-Natan si basava sull’esperienza di Blockaid con attacchi simili e sulle sue osservazioni dell’attività on-chain.

Binance stima un impatto di 6,3 miliardi di dollari e congela circa 3 miliardi

Binance ha ora stimato l’impatto totale a circa 6,3 miliardi di dollari e ha dichiarato di aver collaborato con partner blockchain per congelare on-chain circa 3 miliardi di dollari in asset interessati.

L’exchange ha dichiarato che avrebbe coperto tutte le perdite utilizzando il suo Secure Asset Fund for Users (SAFU) e i fondi aziendali, aggiungendo che i fondi degli utenti erano al sicuro. Ha inoltre promesso di pubblicare una Proof of Reserves aggiornata.

Binance ha temporaneamente sospeso depositi e prelievi durante i controlli di sicurezza e ha dichiarato di aver revocato l’autorizzazione dell’indirizzo interessato. Sta collaborando con le forze dell’ordine e con partner di intelligence blockchain per tracciare e recuperare i fondi.

L’exchange ha dichiarato che avrebbe pubblicato un’analisi tecnica dettagliata a posteriori una volta completata l’indagine e verificati pienamente i fatti.

Blockaid identifica una delega dannosa del wallet

Nella sua analisi on-chain pubblicata su X, Blockaid ha dichiarato che l’aggressore aveva raggruppato 50 autorizzazioni EIP-7702 in un’unica transazione destinata a Binance 14. Secondo quanto riferito, un’autorizzazione corrispondeva al nonce richiesto dall’account, consentendone l’accettazione.

L’EIP-7702 consente a un account di delegare l’esecuzione a codice di smart contract. Blockaid ha dichiarato che l’account interessato era stato delegato a un contratto sweeper non verificato, che consentiva a un operatore designato di sottrarre token ed Ether.

Correlato: L’hack di Binance scuote i mercati crypto mentre BNB crolla del 7% e Bitcoin scivola

Ben-Natan ha dichiarato a Cointelegraph che l’operazione potrebbe aver coinvolto diversi dispositivi compromessi e lo spostamento attraverso la rete dell’exchange.

Prima dell’ultimo aggiornamento di Binance, il CEO di Arkham Miguel Morel ha dichiarato a Cointelegraph che non c’erano informazioni sufficienti per determinare se l’attacco avesse coinvolto chiavi rubate o un’infrastruttura compromessa.

«Da quanto possiamo capire, sembra che l’hack sia ancora in corso», aveva dichiarato all’epoca.

Corea del Nord, confronto con Bybit

Alla domanda se la sospetta manipolazione della firma ricordasse l’attacco a Bybit del febbraio 2025, Ben-Natan ha descritto gli incidenti come «molto, molto simili».

In quel caso, l’ aggiornamento forense pubblicato da Bybit affermava che gli aggressori avevano compromesso le credenziali di uno sviluppatore di Safe, avuto accesso all’infrastruttura del fornitore del wallet e ingannato i firmatari inducendoli ad approvare una transazione dannosa.

Ben-Natan ha inoltre dichiarato che l’attività ricordava operazioni collegate alla Corea del Nord, citando la familiarità di Blockaid con quegli attacchi. Ha indicato preparativi on-chain sofisticati, sottolineando però che l’attribuzione restava non confermata.

Binance non ha identificato gli aggressori, affermando di collaborare con le forze dell’ordine per stabilirne l’identità.

Rivista: Ledger manomesso segnalato a Singapore un mese prima che la notizia emergesse: Asia Express