Хак на $6,3 млрд в Binance вызывает вопросы о защите горячих кошельков

Инцидент с безопасностью Binance на сумму $6,3 млрд оставил без ответа вопросы о том, как биржа управляла горячими кошельками и ограничивала сумму, к которой могли получить доступ злоумышленники.

Со-генеральный директор Binance Ричард Тэнг сообщил 30 октября, что атака затронула собственный горячий кошелек биржи. Большая часть клиентских активов хранилась в офлайн-холодном хранилище и переводилась в горячие кошельки только по запросу пользователей на вывод средств.

Балансы кошельков дают лишь неполную картину подверженности биржи атаке. Публичные записи блокчейна могут показать движение средств, но не позволяют установить внутренние механизмы контроля, регулирующие эти переводы, сообщил Cointelegraph аналитик CertiK Джонатан Рисс.

Будьте в курсе
движения ваших монет

Алерты, котировки в реальном времени и новости рынка — в одном приложении

Наведите камеру телефона, чтобы установить

4,8 на основе 40 К оценок в App Store и Google Play

В своем первоначальном отчете во вторник Binance сообщила, что злоумышленники получили доступ к внутреннему сервису подписания транзакций кошелька и перевели средства в обход обычного процесса вывода. Binance заявила, что некоторые технические детали останутся конфиденциальными для предотвращения дальнейших атак.

Биржа не ответила на вопросы Cointelegraph о балансах ее кошельков и мерах защиты.

После атаки конкуренты, включая Coinbase, Gate и Upbit, раскрыли соотношение активов в холодном хранении.

Что могут показать записи блокчейна

Рисс сообщил, что сумма $6,3 млрд представляет совокупную стоимость затронутых активов в 10 блокчейнах. В Ethereum злоумышленники неоднократно опустошали горячий кошелек по мере поступления новых депозитов.

По его словам, если злоумышленники могут получать действительные подписи, потенциальный объем их доступа зависит от того, какой объем средств система подписания позволяет им переводить с течением времени. Баланс кошелька в конкретный момент не отражает эту подверженность.

Связанный материал: EIP-7702 не стал причиной хака Binance, но мог увеличить потери

По словам Рисса, лимиты транзакций, установленные приложением, запрашивающим подпись, можно обойти, если это приложение скомпрометировано. Лимиты, установленные независимо на уровне системы подписания, могут по-прежнему ограничивать переводы.

«Сравнение с другими биржами извне практически невозможно, — добавил Рисс. — Публичная информация о внутренней архитектуре подписания везде ограничена, а распределение резервов и подтверждения наличия резервов показывают, где что находится, но не то, как авторизуется вывод средств».

Директор по продукту BitGo Юджин Хаар также отказался строить предположения о внутренних мерах защиты Binance.

«Разобраться в структуре хранения активов лучше всего может сама Binance», — сказал он.

Сколько средств биржам следует хранить в горячих кошельках?

Идан Офрат, сооснователь и директор по продукту Fireblocks, сообщил, что биржи обычно хранят в горячих кошельках достаточно средств для покрытия ожидаемых выводов за несколько дней — часто это составляет низкий однозначный процент активов под управлением.

По его словам, биржи обычно хранят основную часть клиентских активов в холодном хранилище, а некоторые используют промежуточные кошельки, для перевода средств из которых в горячие кошельки требуется ручное одобрение.

Связанный материал: Binance связывает хак на $6,3 млрд с фиктивными собеседованиями при приеме на работу и скомпрометированным инструментом ИИ

Алекс Тобол, директор по технологиям криптокошелька Walt на базе Telegram, заявил, что хранение миллиардов долларов в горячих кошельках само по себе не является необычным для биржи размера Binance.

По словам Тобола, горячие кошельки обычно автоматически обрабатывают вывод средств, но их пополнение из холодного хранилища должно требовать отдельного решения казначейства и ручного одобрения.

Хаар сообщил, что меры контроля до подписания, включая лимиты транзакций, одобренные адреса для вывода и дополнительные требования к авторизации, могут помочь ограничить потери при компрометации системы.

Журнал: Хакеры Binance спешили перевести миллиарды, прежде чем средства можно было заморозить

Источник