Взлом Binance на $6,34 млрд: предварительный отчёт указывает на поддельные собеседования, CZ предлагает альянс безопасности

Что добавилось к истории атаки

Новый материал отличается от первых сообщений о движении средств: появились описание предполагаемой последовательности проникновения и предложение CZ о совместной защите. PANews пересказывает интервью Talking Tokens, а ChainCatcher публикует китайскую версию разговора.

Согласно опубликованному PANews пересказу предварительного расследования, злоумышленники использовали поддельные собеседования, изменённые установочные пакеты Homebrew и внутренние инструменты искусственного интеллекта. Последовательное проникновение на устройства нескольких сотрудников привело к доступу к внутреннему сервису подписи кошельков. Затем в сообщении упоминается механизм авторизации Ethereum EIP-7702 и вывод активов из горячих кошельков.

Именно такую последовательность описывает сообщение PANews о предварительном отчёте. Мы прочитали этот пересказ, но не полный текст расследования. Перечисление XRP, SOL, BTC и ETH в одном сообщении не доказывает, что для каждой сети использовался один и тот же технический механизм.

Odaily также пишет о несанкционированном доступе к сервису подписи, социальной инженерии, вредоносном коде и использовании внутренних инструментов ИИ. Издание сообщает, что Binance перестроила затронутые системы, заменила связанные устройства и отозвала затронутые учётные данные и токены доступа. Компания также намерена привлечь независимую организацию для проверки. Источник: Odaily о предварительных результатах расследования.

Какие суммы названы и что они означают

В пересказах расследования фигурируют несколько разных показателей. Их нельзя складывать как независимые потери или считать одинаковыми стадиями возврата средств.

Odaily относит данные о подготовленном покрытии и восполнении к 3 ноября. PANews в своём пересказе связывает 98% с 31 октября. Поэтому по этим двум кратким сообщениям нельзя установить точный момент достижения этой доли. Само значение совпадает, но временную отметку следует сверять с полным отчётом.

Odaily отдельно указывает, что сумма замороженного или заблокированного требует дальнейшей сверки и меняется вместе с рыночной стоимостью активов. Заморозка ограничивает движение средств; она не подтверждает, что вся указанная сумма уже возвращена в распоряжение Binance. Обещание компании покрыть убыток также следует отличать от результата расследования и возврата конкретных монет.

Что предлагает CZ

В интервью CZ говорит, что уже не управляет Binance напрямую. По его словам, об атаке он узнал почти одновременно от команды и из X, когда в ОАЭ было близко к полуночи. После этого он в основном передавал пользователям имеющуюся информацию.

В обсуждении безопасности он признаёт недостаточность вложений как со стороны Binance, так и со стороны отрасли. Его предложение состоит в обмене практиками, перекрёстных аудитах и координации быстрого замораживания средств. Он хочет содействовать созданию такого объединения, но из опубликованного разговора нельзя установить его состав или дату запуска.

Отдельная часть интервью посвящена ИИ. CZ считает, что с ростом возможностей таких инструментов атаки становятся чаще, поэтому защитникам необходимо сотрудничать с компаниями, работающими в этой области. Это его оценка развития угроз. В опубликованной беседе нет набора данных, который позволял бы самостоятельно проверить частоту всех атак на индустрию.

Odaily подтверждает содержание предложения об альянсе. Издание также пересказывает слова CZ о том, что он ещё не обсуждал этот взлом с представителями Вашингтона. Для пользователя биржи эти заявления не меняют порядок проверки перевода: предложение о координации не означает, что новая структура уже начала работу.

Как читать объявление о восстановлении вывода

В официальном обновлении Binance о второй группе направлений указано начало восстановления в 04:00 UTC 3 ноября. Основное время для читателя — 12:00 SGT, московское — 07:00. Компания пишет, что ввод средств остаётся открытым и что вывод будет возвращаться по мере завершения проверок.

В перечне есть BSC, Ethereum, Solana, XRP Ledger, Sui, Arbitrum, Optimism, Tron и Base. Но перечень сетей не следует читать как разрешение на вывод любой монеты в каждой из них. В сообщении используются сочетания сети и актива; проверять нужно именно своё сочетание.

Например, в приведённой Binance таблице для Sui указан USDC, а для XRP Ledger — RLUSD. Это помогает понять устройство списка, но не заменяет проверку текущей страницы вывода. Сообщение прямо предупреждает о постепенном восстановлении, поэтому статус отдельного направления нужно смотреть в аккаунте перед отправкой.

Что проверить владельцу средств

1. Откройте страницу вывода выбранной монеты и проверьте нужную сеть. Сравните её с сетью, которую принимает ваш адрес назначения.
2. Если запрос не проходит, сохраните его параметры и статус. Binance в обновлении рекомендует повторить попытку позднее; проверьте историю, прежде чем считать новую попытку отдельным завершённым переводом.
3. Не отправляйте деньги по ссылке из незапрошенного сообщения о компенсации. Binance заявляет, что принимает финансовые последствия на себя. Это заявление не делает стороннюю ссылку подлинной.
4. Если рассматриваете самостоятельное хранение, сначала проверьте сохранность резервной копии фразы восстановления. В интервью CZ отдельно говорил о потерях из-за утраты или повреждения таких данных.

Для отдельной проверки открытых позиций можно обратиться к нашей странице ликвидаций и таблице ставок финансирования. Эти инструменты относятся к рынку производных контрактов. Они не устанавливают причину взлома и не подтверждают безопасность конкретного аккаунта.

Почему приток средств не завершает расследование

PANews сообщило примерно о $1,6 млрд чистого притока на Binance за скользящие сутки по данным DefiLlama. Позднее Cointelegraph привело показатель $2,3 млрд. Сообщение PANews о потоках и материал Cointelegraph описывают разные снимки скользящего окна, поэтому простое вычитание не даёт изменения за фиксированный период.

Приток описывает движение активов, а не результат проверки систем. Он не устанавливает мотив каждого пользователя и не доказывает, что все направления вывода восстановлены. Для решения о конкретном переводе остаются нужны его собственные параметры и текущий статус.

Наш вывод из опубликованной последовательности атаки касается двух этапов проверки: каким образом вредоносный код попал на устройство сотрудника и почему доступ с этого устройства мог привести к инфраструктуре подписи. Краткие пересказы не позволяют определить, какой отдельный контроль остановил бы всю цепочку. Именно это ещё должно прояснить дальнейшее расследование.

Короткие ответы на вопросы

Какая сумма фигурирует в предварительном отчёте?

Около $6,34 млрд затронутых цифровых активов. Примерно $2,85 млрд замороженного или заблокированного — другой показатель, который нельзя считать дополнительной потерей.

Уже можно вывести любую монету?

Нет такого подтверждения. Обновление Binance описывает поэтапное открытие направлений и прямо говорит, что перечисленные активы не станут доступны одновременно. Сверяйте конкретную монету и сеть на странице вывода.

Альянс безопасности уже действует?

В прочитанном разговоре CZ описывает предложение и обсуждение его формы. Состав участников и дата запуска не установлены.

Полный технический отчёт проверен?

В этом материале использованы открытые в текущем запуске сообщения PANews и Odaily и опубликованная ChainCatcher версия интервью. Полный предварительный отчёт не был прочитан; детали метода атрибутированы этим сообщениям.