Binance: 6,3 miliarde de dolari furați, legați de laptopul compromis al unui inginer DevOps. Ce este confirmat, ce atribuie firmele private și ce înseamnă pentru accesul privilegiat

• Breșa, furtul de circa 6,3 miliarde de dolari și metoda descrisă în analiza ulterioară: laptopul compromis al unui inginer DevOps a dat acces la un container de servicii care a permis retrageri neautorizate, potrivit BleepingComputer.
• Co-directorul executiv Richard Teng a spus că atacatorul „nu a folosit pur și simplu permisiunile unui singur inginer” și că nu a fost o acțiune cu un singur clic. Binance a „descoperit puncte suplimentare de breșă”, pe care nu le-a precizat, și încă adună faptele. Nu a găsit, deocamdată, dovezi că o cheie privată a unui portofel s-ar fi scurs.
• Binance spune că fondurile utilizatorilor sunt în siguranță și că va acoperi toate pierderile din fondul SAFU și din fonduri proprii. A suspendat depozitele și retragerile, potrivit The Record, citând cofondatoarea Yi He, pentru 48 de ore, a revocat autorizările pentru adresa afectată și colaborează cu parteneri de analiză blockchain și cu autorități.
• Compania nu a legat incidentul de niciun grup și nu a atribuit răspunderea vreunei persoane.

• TRM Labs spune că, pe 29 octombrie, un atacator a mutat circa 6,36 miliarde de dolari din portofelele Binance pe zece rețele blockchain, cea mai mare parte în aproximativ 20 de minute, începând cu ora 20:05 UTC. O numește cel mai mare furt de criptomonede înregistrat, de circa patru ori hack-ul Bybit din februarie 2025. Spune că pregătirile au început cu circa 36 de ore înainte.
• TRM atribuie atacul unității nord-coreene TraderTraitor, cunoscută și ca Lazarus Group sau APT38. Chainalysis spune că are „un grad ridicat de încredere” că răspunderea aparține Coreei de Nord, iar mai multe firme de securitate nenumite spun că fondurile au trecut prin adrese legate anterior de hackeri nord-coreeni, potrivit The Record.
• Nu există, în sursele citite, o atribuire guvernamentală pentru acest incident. Binance nu a susținut atribuirea.
• Înghețări: Tether, Circle, Ripple, World Liberty Financial și Consiliul de securitate Arbitrum ar fi înghețat în jur de 2,7 miliarde de dolari (TRM) sau aproximativ 3 miliarde (The Record, fără sursă pentru cifră). TRM spune că atacatorul „a luat-o înaintea înghețărilor” vânzând stablecoin-uri unor market makeri și împrumutând ETH pe Aave, și că deține încă peste 420.000 ETH și 18.270 BTC, circa 2,4 miliarde de dolari, în afara controlului emitenților.

• Totalul final: sursele dau 6,3, 6,36 și 6,4 miliarde de dolari, iar cifrele de înghețări și fonduri rămase nu se reconciliază în presă cu totalul.
• Care sunt „punctele suplimentare de breșă” și cum a trecut atacatorul de la laptop la container și la ordinele de retragere: Binance nu a explicat.
• Cum a fost compromis laptopul: nu există detalii în sursele citite.
• Atribuirea către TraderTraitor: este a unor firme private, cu „încredere ridicată”, nu confirmată de Binance sau de guverne.
• Cât va dura suspendarea și dacă promisiunea de acoperire a pierderilor se va menține: nu putem verifica independent.

În cazul Binance, un dispozitiv de dezvoltare a devenit o poartă către ordine de plată. Relatările publice descriu dispozitivul unui om cu privilegii, o cale de la el la un serviciu de producție și retrageri neautorizate; nu spun ce bariere existau pe drum sau de ce nu au oprit o retragere neobișnuită. Aceasta este întrebarea pe care ți-o poți pune despre propriile sisteme.

Aceeași schemă se vede în alte cazuri din această lună: un acces legitim abuzat în registrul danez CPR, descoperit printr-o factură mare, sau secretele unei aplicații terțe folosite la ConnectWise. De fiecare dată, cheia nu era un secret al sistemului, ci un acces pe care cineva îl avea deja.

• Tratează laptopurile persoanelor cu acces privilegiat (administratori, DevOps, finanțe) ca pe niveluri de producție: stații dedicate, fără navigare liberă și fără extensii neaprobate.
• Nu lăsa un singur dispozitiv sau cont să poată declanșa o plată mare sau o schimbare critică. Cere aprobare de la un al doilea om, pe un alt canal, pentru sume și acțiuni peste un prag.
• Separă mediile: un laptop de dezvoltare nu trebuie să ajungă direct în containerul care semnează sau inițiază plăți. Pune acces just-in-time și sesiuni cu durată scurtă.
• Limitează automat fluxul: plafoane de sumă și de viteză, întârzieri la sume mari, liste de destinații permise, alertă și blocare la retrageri neobișnuite. Dacă ai nevoie de 20 de minute ca să scoți miliarde, cineva trebuie să audă alarma în primul minut.
• Monitorizează comportamentul conturilor de serviciu și al containerelor, nu doar autentificările. Atacatorul din acest caz, spune Binance, nu a folosit doar permisiunile unui inginer.
• Pune detecție și răspuns pe stațiile privilegiate (EDR) și un proces pentru dispozitiv compromis: revocarea imediată a sesiunilor și cheilor.
• Pregătește o procedură de încetinire: cine poate suspenda plățile sau retragerile, în cât timp și cu ce autoritate, fără să aștepte o ședință. Binance a suspendat depozitele și retragerile.
• Exersează scenariul „contul de încredere a fost folosit de altcineva”: cum îl distingi și cine decide.

• Binance spune că fondurile utilizatorilor sunt în siguranță și că acoperă pierderile; este o declarație a companiei, pe care nu o putem verifica independent.
• După astfel de incidente apar escrocherii: „recuperare de fonduri”, „compensații”, „verificări de cont” prin mesaje și rețele sociale. Folosește doar canalele oficiale publicate de companie și nu da chei private, fraze de recuperare sau acces la dispozitiv.
• Nu este o recomandare de investiții și nu evaluăm riscul unei platforme.

Pentru o organizație din UE, DORA se aplică entităților financiare, iar furnizorii de servicii pentru active cripto pot intra sub el, alături de MiCA; incidentele majore legate de TIC se raportează după regulile DORA. Entitățile esențiale și importante sub NIS2 au avertizarea timpurie în 24 de ore și raportul inițial în 72 de ore pentru incidente semnificative. Dacă sunt afectate date personale, GDPR cere notificare în 72 de ore dacă este posibil. Aplicabilitatea depinde de situația ta; verifică cu juristul sau cu responsabilul cu protecția datelor.

Declarațiile Binance sunt sursa pentru confirmări și metodă, relatate de BleepingComputer și The Record. Cifrele de mișcare a fondurilor, înghețări și atribuirea vin de la TRM Labs și Chainalysis, firme private. Totalul final și mulți dintre pașii intermediari nu sunt cunoscuți. Situația se schimbă rapid.

Awarely Monitor poate ajuta la evidența conturilor și a căilor privilegiate, iar Awarely Learning la exercițiile pentru conducere despre aprobarea plăților și răspunsul la un cont compromis. Articolul nu este consultanță financiară sau juridică și nu garantează conformitatea.