Binance po říjnovém útoku zastavila výběry, z jedné její peněženky na Ethereu ale kryptoměny dál mizely. Útočníci si totiž předem zajistili oprávnění, díky kterému mohli s peněženkou nakládat i po vypnutí výběrů. Burza ho musela zrušit přímo na blockchainu.
Binance zastavila výběry. Na ethereu to nestačilo
Útok na Binance z 29. října zasáhl kryptoměny v hodnotě zhruba 6,3 miliardy dolarů. Analytik společnosti CertiK Jonathan Riss však upřesnil, že se do celkové částky započítávají prostředky z deseti různých blockchainů.
Na ethereu útočníci vybírali stejnou peněženku opakovaně. Po prvním odčerpání do ní dál přicházely kryptoměny. Jakmile dorazily, útočníci je mohli zase převést pryč. Proto zůstatek na začátku útoku ukazoval jen část toho, kolik mohlo z peněženky celkem zmizet.
Podle předběžné zprávy Binance se útočníci dostali k interní službě, která podepisuje transakce. Přes ni využili funkci Etherea známou jako EIP-7702. Díky ní mohl program pod jejich kontrolou provádět některé operace jménem peněženky Binance.
Oprávnění už bylo zapsané na ethereu, takže zůstalo v platnosti i po vypnutí výběrů. Aby ho Binance zrušila, musela na blockchainu provést další transakce.
Kolik může z peněženky zmizet?
V online peněžence neboli hot wallet má burza kryptoměny po ruce, aby mohla průběžně vyřizovat výběry. Při útoku ale záleží i na tom, kolik prostředků do ní mezitím přiteče. Pokud ji útočníci mohou vybírat opakovaně, celková škoda může přesáhnout částku, která v ní ležela na začátku útoku.
Podle Risse záleží také na tom, kde burza hlídá limity převodů. Pokud je kontroluje jen aplikace, která žádá o podpis, útočník s přístupem do aplikace je může obejít. Když limit nezávisle ověřuje i samotná podpisová služba, může převod zastavit ještě před podpisem. Z veřejných záznamů na blockchainu se ovšem nedá vyčíst, jak měla Binance limity nastavené.
Co se dá vyčíst z rezerv burzy
Po útoku zveřejnily Coinbase, Upbit a Gate, jakou část prostředků drží offline. Uživatelé tak mají lepší představu, kde burzy kryptoměny uchovávají. Z přehledu rezerv se ale nedozvědí, kdo může schválit převod z online peněženky nebo jak rychle burza dokáže zasáhnout, když někdo získá přístup k jejímu podpisovému systému.
Pro klienty Binance je podstatné, kdo ponese ztrátu. Burza v předběžné zprávě uvedla, že ji pokryje z vlastních prostředků. Zároveň oznámila, že se jí ve spolupráci s partnery podařilo zmrazit nebo zachytit kryptoměny v hodnotě zhruba 2,85 miliardy dolarů.
Získejte uvítací bonus za registraci
Klikněte na otevřít účet a vložte kód KRYPTOMAGAZIN do políčka pro referenční kód. Pak klikněte na SAVE a dokončete registraci. Podmínky akce.
POZOR: Investování je rizikové.
