Аналитики Bitunix: кража Binance более чем $6,3 млрд вновь подвергает испытанию безопасность хранения средств на биржах

Недавно криптовалютный рынок одновременно столкнулся с двумя разными формами системного стресса: принудительной ликвидацией позиций и серьезным инцидентом с безопасностью крупной биржи.

Согласно рыночным данным за 30 октября, за 24 часа были ликвидированы позиции примерно 239 224 криптотрейдеров, а общий объем потерь достиг около $1,536 млрд. Крупнейшей зафиксированной ликвидацией стала позиция Binance BTCUSDT объемом примерно $11,09 млн, согласно данным CoinGlass о ликвидациях.

Примерно в то же время стало известно об атаке на мультичейновую инфраструктуру горячих кошельков Binance. Это вызвало более фундаментальный вопрос: способны ли централизованные торговые платформы защищать активы в ситуации, когда злоумышленники получают контроль над системами, связанными с авторизацией кошельков, даже если сами приватные ключи напрямую не скомпрометированы.

Рыночный шок, выходящий за рамки ценовой волатильности

Ликвидации — привычный риск для криптовалютных рынков с кредитным плечом. Когда цены резко меняются, биржи автоматически закрывают недостаточно обеспеченные позиции, перенося потери от отдельных трейдеров на рынок в целом через сокращение ликвидности и усиление волатильности.

Крупный инцидент с хранением активов — совсем другая проблема. Он может затронуть пользователей, которые не торгуют с плечом, не держат деривативных позиций и не совершали никаких операционных ошибок. Риск связан со способностью платформы защищать активы, проверять вывод средств и изолировать критически важные разрешения.

Сочетание этих двух событий особенно негативно сказывается на доверии к рынку:

• Принудительные ликвидации усиливают краткосрочное давление продавцов.
• Утечка средств или взлом могут спровоцировать массовый вывод активов и опасения по поводу ликвидности.
• Неопределенность относительно затронутых активов способна расширить спреды и привести к появлению дисконтов.
• Трейдеры могут начать оценивать не только рыночный, но и контрагентский риск.

Именно поэтому инциденты с безопасностью бирж часто имеют последствия, выходящие далеко за рамки непосредственно украденных средств. Они могут влиять на поведение пользователей, прозрачность резервов, доступность вывода средств и доверие к централизованному хранению активов в целом.

Что предполагаемая атака показывает о рисках горячих кошельков

По имеющимся данным, в ходе инцидента с десяти блокчейнов были переведены активы примерно на $6,36 млрд. Если эта оценка полностью подтвердится, атака станет одной из крупнейших краж в истории криптовалют — и превзойдет ранее сообщавшийся инцидент с Bybit.

По сообщениям расследователей, злоумышленники использовали сложную схему, заранее подготовив вредоносную логику транзакций. Предположительно, в атаке применялся механизм авторизации Ethereum EIP-7702, а также процессы подписания транзакций в кошельках других сетей.

EIP-7702 является частью развития концепции абстракции аккаунтов в Ethereum и позволяет внешнему аккаунту временно получать функциональность смарт-контракта посредством процедуры авторизации. Эта возможность повышает удобство использования и делает выполнение транзакций более гибким, но одновременно усиливает значение корректного управления разрешениями. Недостаточно защищенный процесс авторизации может создать серьезные риски даже в тех случаях, когда факт традиционной кражи приватных ключей не подтвержден.

Главный вывод заключается в том, что безопасность кошелька нельзя сводить лишь к вопросу о том, была ли скопирована приватная ключевая информация. Горячий кошелек все равно может оказаться уязвимым, если злоумышленнику удастся скомпрометировать:

1. Устройство сотрудника, используемое для управления рабочими системами.
2. Сервисные контейнеры, отвечающие за обработку выводов средств.
3. Инфраструктуру формирования или подписания транзакций.
4. Токены доступа, учетные данные или права сессий.
5. Автоматизированные правила одобрения и механизмы управления политиками.
6. Процессы управления активами в разных блокчейн-сетях.

Иными словами, граница безопасности охватывает весь конвейер обработки транзакции, а не только конечное устройство, на котором выполняется подпись.

Предварительные выводы указывают на расширенную поверхность атаки

Согласно предварительному расследованию Binance, мог быть скомпрометирован ноутбук инженера DevOps. После этого злоумышленник, предположительно, получил доступ к сервисным контейнерам и инициировал несанкционированные выводы средств.

Биржа заявила, что не обнаружила признаков прямой утечки приватных ключей кошельков. Это технически важное уточнение, однако оно не снижает серьезность инцидента. Если злоумышленник получает достаточный контроль над инфраструктурой, которая формирует, авторизует или отправляет транзакции, активы могут быть переведены без извлечения самого приватного ключа из хранилища.

Это классический пример повышения привилегий через связанные системы:

• Компрометация конечного устройства обеспечивает первоначальный доступ.
• Внутренние сервисы раскрывают дополнительные учетные данные или разрешения.
• Контейнер либо уровень оркестрации становится мостом к рабочей среде.
• Автоматизированная логика подписания или одобрения выполняет вредоносные инструкции.
• Средства распределяются по нескольким блокчейнам, чтобы усложнить их возврат.

Поэтому современные биржи должны использовать многоуровневые средства защиты, исходя из предположения, что отдельные компоненты системы могут выйти из строя. К более надежным мерам относятся аппаратная аутентификация, строгое разделение сред разработки и эксплуатации, краткосрочные учетные данные, симуляция транзакций, списки разрешенных адресов назначения, независимое подтверждение вывода средств и обнаружение аномалий в реальном времени.

К атрибуции атаки следует относиться осторожно

По сообщениям, исследователи блокчейна с высокой степенью уверенности связали эту активность с группировкой TraderTraitor, которую специалисты по кибербезопасности обычно ассоциируют с северокорейскими кибероперациями. Однако выводы частной компании по безопасности не равнозначны окончательному заключению суда или государственных органов.

Это различие важно, поскольку блокчейн-транзакции можно отслеживать, но установить личности реальных операторов атаки по-прежнему крайне сложно. Злоумышленники могут использовать промежуточные кошельки, кроссчейн-мосты, миксеры, внебиржевых брокеров и децентрализованные протоколы, чтобы скрыть перемещение средств.

Для инвесторов важно не только то, кто организовал атаку. Не менее существенен вопрос о том, способна ли биржа:

• Быстро остановить несанкционированные переводы.
• Заморозить средства на взаимодействующих с ней платформах.
• Выявить затронутые адреса в нескольких сетях.
• Достаточно подробно объяснить механизм атаки.
• Доказать, что остальные системы безопасны для эксплуатации.
• Опубликовать проверяемую информацию о резервах и обязательствах.

Замороженные средства — еще не возвращенные средства

По имеющейся информации, Binance заявила, что ей удалось заморозить активы примерно на $3 млрд, а убытки будут покрыты за счет фонда SAFU и корпоративных ресурсов. В то же время, согласно данным отслеживания транзакций в блокчейне, около $3,1 млрд оставались свободно перемещаемыми, включая значительные объемы биткоина и эфира.

Эти цифры следует воспринимать как предварительные и изменяющиеся, а не как окончательные. Классификация активов может меняться по мере того, как средства переводятся, замораживаются, перемещаются через мосты, поступают на биржи или распределяются по новым адресам. Кроме того, принципиально важно различать понятия «идентифицированные», «замороженные» и «возвращенные» средства:

• Идентифицированные средства — активы, связанные с адресами, которые имеют отношение к инциденту.
• Замороженные средства — активы, операции с которыми ограничены биржей, эмитентом или поставщиком услуг.
• Возвращенные средства — активы, переданные владельцу или защищенные в рамках официальной процедуры возврата.

Пока не опубликованы полный технический отчет и четкая информация о затронутых активах, рынку не следует воспринимать какие-либо предварительные цифры как окончательные. Пользователи могут отслеживать активность публичных кошельков с помощью таких инструментов, как Etherscan и Arkham, однако важно помнить, что метки адресов и данные об атрибуции со временем могут обновляться.

Основной риск связан с концентрацией разрешений

Главный вывод состоит не в том, что горячие кошельки сами по себе небезопасны. Они необходимы биржам, обрабатывающим большие объемы депозитов и выводов. Более глубокая проблема — чрезмерная концентрация полномочий.

Если одно скомпрометированное устройство, сервисная учетная запись или операционный процесс позволяют инициировать транзакцию без достаточной независимой проверки, платформа создает единую точку отказа. Это остается справедливым даже в том случае, если приватные ключи защищены средствами многосторонних вычислений, аппаратными модулями безопасности или другими передовыми технологиями.

Надежная архитектура хранения должна исходить из того, что:

• Конечное устройство сотрудника может быть скомпрометировано.
• Облачная учетная запись может быть неправильно настроена.
• Сервисный контейнер может быть изменен.
• Запрос на подпись может оказаться вредоносным.
• Адрес назначения транзакции может быть замаскирован.
• Злоумышленник может оставаться незамеченным достаточно долго, чтобы подготовить скоординирированный перевод.

Поэтому средства защиты должны проверять не только то, кто подписал транзакцию, но и что именно подписывается, куда направляются средства, почему перевод является законным и соответствует ли транзакция обычному операционному поведению.

Что пользователям криптовалют следует отслеживать дальше

По мере развития расследования рынок, вероятно, сосредоточится на нескольких показателях:

1. Статус сервиса вывода средств — возобновится ли нормальная обработка операций в затронутых сетях и сохранятся ли ограничения.
2. Перемещение оставшихся активов — продолжат ли подозрительные адреса переводить биткоины, эфир и другие токены.
3. Изменения объемов замороженных средств — приведет ли заявленная заморозка к реальному возврату активов или лишь к временным ограничениям.
4. Полный технический отчет по итогам расследования — сведения о скомпрометированном устройстве, доступе к контейнерам, процессе авторизации и сроках обнаружения атаки.
5. Обновленные данные о резервах и обязательствах — информация, которая поможет пользователям оценить платежеспособность и операционную устойчивость платформы.
6. Независимая проверка безопасности — подтверждение того, что критически важные разрешения были заменены, изолированы и повторно проверены.

Пользователям также стоит пересмотреть, какой объем капитала действительно необходимо держать на торговой платформе. Биржи удобны для обеспечения ликвидности и исполнения сделок, однако они по-прежнему выступают хранителями пользовательских активов. Долгосрочные вложения может быть разумнее хранить самостоятельно, если пользователь понимает принципы защиты сид-фразы, проверки транзакций и восстановления доступа.

Почему самостоятельное хранение также требует дисциплины

Самостоятельное хранение устраняет контрагентский риск биржи, но не отменяет риски безопасности. Ответственность за защиту активов в этом случае переходит от инфраструктурной команды платформы к самому владельцу.

Аппаратный кошелек помогает хранить приватные ключи отдельно от подключенных к интернету устройств и снижает риск заражения вредоносными программами, фишинга и несанкционированного доступа через браузер. Однако пользователи все равно должны защищать фразу восстановления, проверять детали транзакции непосредственно на устройстве, не подтверждать неизвестные разрешения для смарт-контрактов и поддерживать безопасную систему резервного копирования.

Для пользователей, пересматривающих подход к хранению средств после этого инцидента, аппаратные кошельки OneKey представляют интерес благодаря автономному хранению ключей и проверке транзакций непосредственно на устройстве. Они могут стать практичным инструментом для отделения долгосрочных активов от биржевых аккаунтов, особенно если пользователь соблюдает базовые правила безопасности:

• Храните фразу восстановления в автономном режиме и никогда не загружайте ее в облачное хранилище.
• Не вводите фразу восстановления на сайтах, в сообщениях или формах службы поддержки.
• Проверяйте адрес получателя и разрешения для токенов перед подписанием транзакции.
• Используйте отдельные кошельки для долгосрочных сбережений и более рискованных операций в DeFi.
• До начала использования протестируйте процесс восстановления на небольшой сумме.

Инцидент с Binance напоминает, что безопасность блокчейн-активов — это комплексная задача, охватывающая весь процесс от начала до конца. Для защиты средств недостаточно обезопасить один приватный ключ: необходимо контролировать каждое устройство, разрешение, сервис и решение о подписании, способные переместить активы.

По мере того как принудительные ликвидации и сбои в хранении средств все чаще пересекаются, пользователям криптовалют необходимо оценивать как рыночную, так и контрагентскую экспозицию. Прозрачные расследования, более надежная изоляция разрешений и ответственное самостоятельное хранение будут иметь решающее значение для восстановления доверия к экосистеме цифровых активов.