Binance mengalami kecurian aset kripto terbesar setakat ini pada Khamis. Firma penyiasatan blok rantai menganggarkan lebih AS$6 bilion aset telah dicuri, manakala Binance menyatakan kira-kira AS$5 bilion aset terjejas. Bursa itu sedang mendapatkan tambahan AS$1.3 bilion melalui saluran pasaran dan dagangan luar bursa (OTC) bagi menampung kerugian seperti yang dijanjikan. Insiden ini menguji keupayaan Binance melindungi dana dan memulihkan pengeluaran, selain menimbulkan persoalan tentang keselamatan dompet panas serta sistem kelulusan transaksi di platform berpusat yang menyimpan aset pelanggan dalam jumlah besar.
Persediaan serangan mungkin bermula 36 jam lebih awal
Siasatan awal Binance mendapati serangan itu mungkin melibatkan komputer riba seorang jurutera DevOps yang diceroboh serta akses tanpa kebenaran kepada sebuah kontena perkhidmatan. Bursa itu berkata setakat ini tiada bukti kunci peribadi telah bocor. Richard Teng, Ketua Pegawai Eksekutif bersama Binance, berkata serangan tersebut lebih rumit daripada sekadar menyalahgunakan akses seorang pekerja.
Analisis TRM Labs menunjukkan penyerang mungkin memulakan persediaan sekurang-kurangnya 36 jam lebih awal. Mereka terlebih dahulu membiayai dompet operasi melalui pengeluaran kecil daripada Tornado Cash, kemudian memasang dan menguji kod berniat jahat yang melibatkan tiga dompet. Semasa serangan dilaksanakan, penyerang menggunakan EIP-7702 pada rangkaian Ethereum untuk mengubah dompet panas Binance menjadi alat pengumpulan dana yang dikawal mereka. Sebanyak 50 kebenaran tandatangan disediakan lebih awal supaya sekurang-kurangnya satu daripadanya masih sah ketika transaksi dilaksanakan.
Penyerang turut menyelaraskan pemindahan aset di sembilan rangkaian blok rantai lain. TRM berkata operasi merentas rangkaian ini menunjukkan bahawa insiden tersebut mungkin melibatkan infrastruktur tandatangan dompet panas Binance yang lebih luas, bukan satu dompet sahaja. Elliptic pula menganggarkan penyerang mungkin masih mempunyai akses selepas eksploitasi awal. Dengan menggunakan kebenaran pemilik pada sebuah dompet yang telah dikuasai, mereka dipercayai mengeluarkan dana daripada dompet Binance lain dan terus memindahkan aset yang baru diterima. Sebuah lagi dompet panas Ethereum turut memindahkan aset bernilai AS$174 juta terus kepada penyerang, sekali gus menimbulkan lebih banyak persoalan tentang skop akses kepada sistem tandatangan transaksi.
Kebenaran transaksi mungkin lebih kritikal daripada kod
Simone Imbrescia, naib presiden Immunefi, berkata kerumitan serangan itu mungkin bukan terletak pada kod di rantaian, tetapi pada cara penyerang memperoleh akses kepada infrastruktur yang boleh meluluskan transaksi. Kontrak pengumpulan dana yang terlibat hanya mempunyai kira-kira 130 baris kod, katanya. Persoalan utamanya ialah bagaimana penyerang mendapat kebenaran sistem yang membolehkan kod ringkas itu menyebabkan kerugian besar.
Chainalysis, Elliptic dan TRM mengaitkan serangan ini dengan kumpulan penggodam Korea Utara. TRM berkata operasi berkenaan mempunyai kaitan dengan kumpulan yang dikaitkan dengan serangan bernilai kira-kira AS$1.5 bilion terhadap Bybit pada 2025. Chainalysis turut mengesan hubungan dalam rantaian antara dana yang dicuri daripada Binance dengan dana daripada insiden Bitget bulan lalu, yang juga dikaitkan dengan penggodam Korea Utara. Namun, Elliptic mengingatkan bahawa pertindihan dalam rantaian antara kedua-dua insiden hanya melibatkan sebahagian kecil dana Binance yang dicuri dan belum cukup untuk mengesahkan bahawa pelakunya sama.
Penyiasat juga mendapati penyerang memulakan beribu-ribu transaksi dalam tempoh singkat, mengalihkan dana berulang kali antara pelbagai alamat. Dalam usaha mengurangkan kemungkinan penerbit stablecoin membekukan aset, mereka menukar stablecoin bernilai AS$325 juta kepada kira-kira AS$285 juta dalam ETH dalam tempoh hampir 20 minit.
Dana dicuri masuk ke Aave, sebahagian pertukaran rugi nilai
Elliptic berkata penyerang mendepositkan USDT bernilai AS$59.9 juta yang dicuri sebagai cagaran di Aave, lalu meminjam 19,762 ETH. Pinjaman itu masih belum dibayar dan hampir memasuki proses pembubaran pada kemas kini terkini firma tersebut. Penyerang juga menukar USDT bernilai ratusan juta dolar kepada ETH melalui bursa terdesentralisasi dan pembuat pasaran. Bagi mengalihkan dana kepada aset yang tidak boleh dibekukan oleh penerbit, beberapa transaksi dibuat pada diskaun sehingga kira-kira 26% berbanding harga pasaran.
Aave berkata pada Jumaat bahawa pembekuan di semua pasaran protokol V3 dan V4 telah ditarik balik. Kontrak pintarnya tidak terjejas dan kedudukan pengguna kekal mempunyai cagaran yang mencukupi, menurut platform itu. Sistem tandatangan Binance yang terlibat dalam insiden ini dan keadaan kontrak Aave merupakan dua perkara berbeza. Pengumuman Aave merujuk kepada status protokol serta kedudukan penggunanya.
Binance mendapatkan AS$1.3 bilion dan merancang bukti rizab
Binance berkata kira-kira AS$5 bilion aset terjejas dan tambahan AS$1.3 bilion sedang diperoleh melalui saluran pasaran serta dagangan OTC bagi menampung kerugian. Teng berkata bursa itu merancang menerbitkan laporan awal bukti rizab pada Isnin dan sedang berusaha memulihkan pengeluaran. Dalam video yang dimuat naik pada Jumaat, beliau berharap pengguna dapat membuat pengeluaran sebelum tarikh akhir pada Ahad. Sasaran ketika itu ialah memulihkan urusan berkaitan dalam kira-kira 40 jam.
Penganalisis TD Cowen berkata bukti setakat ini menunjukkan infrastruktur perantara berpusat telah diceroboh, bukannya Bitcoin atau rangkaian asasnya mengalami kegagalan. Kesan langsung insiden masih tertumpu pada pengurusan aset Binance, pemulihan pengeluaran dan pendedahan maklumat rizab. Siasatan dan maklumat lanjut masih diperlukan untuk menjelaskan bagaimana penyerang memasuki sistem dalaman, sama ada proses kebenaran transaksi terjejas secara menyeluruh dan sama ada dana yang dicuri dapat diperoleh semula.
Imbrescia berkata langkah keselamatan aset kripto tidak sepatutnya tertumpu pada penyimpanan kunci peribadi dan audit kontrak pintar sahaja. Kakitangan, infrastruktur dan proses operasi yang boleh menggunakan kunci juga merupakan sebahagian daripada sempadan keselamatan. Jika penyerang menguasai lapisan operasi ini, mereka mungkin tidak perlu mencuri kunci peribadi secara langsung atau mengeksploitasi kelemahan kontrak yang rumit. Bagi pengguna Binance, perkembangan pemulihan pengeluaran, laporan bukti rizab dan langkah menampung kerugian akan menjadi perkara utama untuk dinilai.