Сагата с Binance: хакерът продава токени, борсата започна да купува липсващите активи
Част от откраднатите активи преминават в ETH, докато емитенти блокират токени, а борсата започва да попълва липсващите наличности.
След пробива в Binance за около $6,3 млрд. вниманието се измества към движението на откраднатите средства. Lookonchain съобщи за продажби на седем алткойна срещу 70 480 ETH, оценени на приблизително $158,25 млн. First Digital същевременно потвърди замразяване на FDUSD, свързани с атаката.
Binance вече съобщава и за покупки на токени, с които да възстанови засегнатите наличности. Предстои обаче да бъдат проверени както окончателното покритие на клиентските активи, така и механизмът, позволил неоторизираните трансакции.
Какви активи продава нападателят и какво замрази First Digital?
Според разбивката на Lookonchain нападателят е обменил UNI, ENA, PEPE, LINK, AAVE, ONDO и WLD за ETH. Анализаторите посочват следните количества и приблизителни стойности на продажбите:
- UNI: 7,02 млн. токена за $39,63 млн.
- ENA: 217,5 млн. токена за $33,93 млн.
- PEPE: 7,77 трлн. токена за $31,66 млн.
- LINK: 2,57 млн. токена за $26,05 млн.
- AAVE: 127 953 токена за $14,27 млн.
- ONDO: 21,85 млн. токена за $6,62 млн.
- WLD: 17,32 млн. токена за $6,09 млн.
Това са оценки от проследяване на блокчейн трансакции, а не окончателен отчет на Binance. Сумата от $158,25 млн. описва продажба на част от вече откраднатите активи и не трябва да се добавя към общия размер на пробива.
Прехвърлянето към ETH обхваща и стейбълкойни. В анализа си за движението на средствата TRM Labs отчита обмен на около 325 млн. USDT срещу приблизително 122 300 ETH при условия, над 10% по-неизгодни спрямо тогавашните пазарни цени. Според компанията нападателят е бързал да изпревари замразяването.
При FDUSD част от средствата са блокирани. Главният изпълнителен директор на First Digital Винсънт Чок потвърждава пред Cointelegraph, че откраднати FDUSD са замразени и компанията работи с Binance. Отделно Live Bitcoin News съобщава за адрес с около 3,4 млн. FDUSD, включен в черен списък, като се позовава на анализатора Specter чрез TokenPost. Точната сума е аналитична оценка, а не посочена от Чок стойност.
Замразяването блокира движението на засегнатите стейбълкойни, но не означава автоматично връщане на средствата. Родния токен ETH в основната мрежа на Етериум няма еквивалентен механизъм за блокиране от емитент. Обмяната променя възможностите за намеса, без сама по себе си да заличава публичната история на трансакциите.
Как Binance попълва резервите и какво остава неизяснено за пробива?
Binance заяви, че е заделила над $6,34 млрд. собствени средства, от които $5 млрд. вече са в същите токени, засегнати от атаката. В по-новото си съобщение за покриване на загубите борсата посочва, че придобива останалите приблизително $1,34 млрд. чрез пазарни и извънборсови сделки.
Обявеният резерв не включва около $3 млрд. замразени активи. Според Binance някои покупки изискват повече време заради ниска ликвидност и срокове за приключване на извънборсовите сделки. Компанията обещава публична проверка чрез обновен Proof of Reserves.
Вероятно борсата ще трябва да изкупи обратно продадени токени от хакера. Последвалото съобщение на Binance вече описва започнали покупки. От него обаче не следва гарантиран ръст на цените: няма публикувана пълна разбивка по активи, количества и срокове за изпълнение.
Техническата причина също остава предмет на разследване. Първоначалната версия на Binance сочи възможно компрометиране на лаптоп на DevOps инженер и достъп до служебен софтуерен контейнер. В първото си официално съобщение компанията заявява:
„Не сме открили доказателства за изтичане на частни ключове на портфейли.“
TRM Labs оценява като вероятно компрометиране на инфраструктурата за подписване, тъй като портфейли в различни мрежи са изпълнили валидно подписани трансакции. Обяснение само с делегиране през EIP-7702 в Етериум не покрива трансакциите в Биткойн и Tron.
Двете позиции не се изключват: нападател може да злоупотреби със система, която подписва вместо него, без да извлече самите ключове. Липсата на установено изтичане не доказва, че контролите за одобряване са останали непокътнати. Binance впоследствие съобщава и за допълнителни точки на пробив.
Защо рискът остава и за потребители в България?
Ограниченият достъп до търговия не премахва риска за активи, които са останали при борсата. Както разгледахме при промените за Binance след 1 юли, регулаторният статус на доставчика и наличието на средства в клиентски акаунт са отделни въпроси.
КФН посочва, че след края на преходния период по MiCA нелицензиран доставчик няма право да предоставя нови услуги. Допускат се сделки, необходими за прекратяване на отношенията, включително прехвърляне на активи или закриване на позиции. Следователно ограниченията не означават автоматично, че всички европейски клиенти вече са изтеглили средствата си.
Ако български потребител е оставил активи в Binance, той остава зависим от сигурността на платформата и възможността за теглене, независимо дали търгува активно. В обновлението за работата на услугите борсата посочва, че депозитите работят нормално, а тегленията остават временно спрени, с очакване за възстановяване в рамките на 48 часа от съобщението. Това е обявен срок, а не потвърждение за възстановена услуга.
Ангажиментът за покриване на загубите е финансов отговор на пробива. За клиента практическото му изпълнение означава налични активи и възможност да ги изтегли. До тогава обещаното обезщетение не заменя контрола върху средствата.
Източници:
1. Binance — първоначално съобщение за инцидента.
2. Binance — заделени средства и покупки на засегнатите токени.
3. Binance — актуализирано състояние на депозитите и тегленията.
4. Lookonchain — продажбите на седемте алткойна.
5. TRM Labs — проследяване на средствата и анализ на подписването.
6. КФН — режимът за нелицензирани доставчици след 1 юли 2026 г..
7. Cointelegraph — изявлението на First Digital и последващите обновления.