Криптобиржа Binance расследует возможный взлом после вывода миллиардов
3 мин
25
Криптовалютная биржа Binance расследует совершённые 29 октября крупные переводы из горячих кошельков, проверяя возможный взлом. В тот же день платформа прогнозов Polymarket сообщила о краже средств через сторонний сервис. Пока не установлено, связаны ли эти два случая между собой.
Binance оценила объём затронутых средств примерно в $6,3 млрд. Около $3 млрд удалось заморозить. Окончательные потери после возврата активов пока не установлены. Первые сообщения касались $2,77 млрд в пяти блокчейнах. Эти суммы не равны подтверждённому ущербу. Соосновательница Binance и директор по обслуживанию клиентов И Хэ сообщила о проведении срочной проверки.
Согласно разбору данных Etherscan, около 23:24 мск кошелёк Binance 14 отправил 167,5 тыс. ETH и другие токены, включая 1,6 млрд USDT. Затем Binance 16 перевёл туда 28 тыс. ETH. Получатель отправил 195,5 тыс. ETH на другой адрес. Позднее с биржи вывели около 780 млн USDC.
Основатель Binance Чанпэн Чжао назвал события похожими на взлом. Он больше не управляет биржей, но как акционер ожидает покрытия средств клиентов. Чжао поблагодарил Tether и Circle за блокировку денег. Компании выпускают USDT и USDC — цифровые валюты с привязкой к доллару. На старте проверки они заморозили 971 млн USDT и 823 млн USDC, всего около $1,794 млрд.
Позднее генеральный директор Tether Паоло Ардоино сообщил о блокировке свыше 1,567 млрд USDT. Объём USDC остался прежним. Binance представила предварительную версию атаки. Злоумышленники могли взломать ноутбук DevOps-инженера и получить доступ к служебному контейнеру. Признаков утечки приватных ключей биржа пока не обнаружила. Binance остановила ввод и вывод средств, отозвала разрешения затронутого адреса и привлекла правоохранителей. Компания обещает покрыть потери из собственных средств и фонда защиты пользователей SAFU. После проверки она опубликует технический отчёт и обновит сведения о резервах. Срок восстановления операций не назван.
Polymarket подтвердила взлом поставщика международной площадки и передала материалы британским правоохранителям. Американская версия платформы не пострадала. Потери предварительно оценили в $2,65–2,7 млн. Площадка обещает полное возмещение ущерба. Атаку связали с DebugBear — сервисом мониторинга работы сайтов. Сам поставщик признал проблему. В первом заявлении Polymarket имя поставщика не называлось.
Как уточняет в своём разборе Hudson Rock, вредоносный JavaScript использовал открытые сеансы Polymarket. Код считывал из хранилища браузера данные входа, адрес кошелька и данные доступа к торговым API. В приложении на React он искал торговый клиент и средство подписи. Затем пытался перевести токены позиций либо продать их и вывести выручку через сервис передачи подписанных запросов.
Код изучали без запуска и подключения кошелька. Пока не установлено, были ли все операции успешными. Отправку приватных ключей и фраз восстановления исследователи не нашли. Взлом смарт-контрактов и переводы без участия пользователя также не подтвердились.
Подозрительный кошелёк начал получать деньги около 20:05 мск. Удаление скрипта отмечено в сборке сайта в 20:59:20, но время установки исправления неизвестно. В 21:05–21:06 Polymarket оставила лишь отмену ордеров и остановила передачу подписанных запросов. В 21:33 подтвердила взлом поставщика, в 22:05 — восстановление работы. С атакой связывают адрес 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18, указанный в скрипте как принадлежащий получателю. Как взломали сам DebugBear, пока неизвестно. Итоговый ущерб, число пострадавших и сроки выплат пока не раскрываются. Полученные USDC и USDC.e злоумышленники обменивали на POL, затем перевели дальше около 28,64 млн этих токенов.
