В версии взлома криптобиржи Binance есть нестыковки, которые еще предстоит установить, рассказал «Газете.Ru» директор по информационной безопасности компании YADRO Андрей Иванов.
По его словам, версия технически правдоподобна: ноутбук инженера может стать точкой входа в инфраструктуру через доступные ему учетные записи и инструменты управления. Однако взлом одного устройства не означает, что сотрудник имел прямой доступ ко всем средствам биржи — между проникновением и выводом денег могла быть цепочка действий, которую еще предстоит установить.
«Отсутствие утечки приватных ключей само по себе не исключает кражу. Злоумышленник может получить возможность использовать систему, которая подписывает переводы, не извлекая из нее ключи. Например, получив доступ к серверу, который взаимодействует с системой хранения ключей, он может сформировать запрос на перевод средств и подписать его с помощью штатных механизмов. В таком сценарии приватные ключи не требуется извлекать из системы: для подтверждения перевода используются штатные механизмы подписи», — объяснил Иванов.
По его словам, здесь важен принцип ограничения blast radius (масштаба последствий взлома отдельного устройства или сервиса): архитектуру защиты важно строить с учетом того, что однажды такой взлом произойдет, а доступ к одному участку инфраструктуры не должен автоматически открывать путь ко всем остальным и позволять провести критичную операцию без независимой проверки.
Кроме ограничения доступа, нужна защита самого процесса вывода средств. Сервис обработки заявок на переводы и система, имеющая доступ к ключам кошельков, должны работать в независимых инфраструктурах и обслуживаться разными командами. Любые изменения в критичных системах должны проходить независимую проверку по принципу четырех глаз: один сотрудник готовит скрипт, а второй проверяет его корректность и подтверждает выполнение.
Для нештатных ситуаций может применяться так называемая процедура break glass, при которой действия администратора в реальном времени контролирует другой сотрудник. Дополнительно на промежуточных узлах можно использовать ИИ-агентов для выявления и блокировки потенциально опасных команд. Конкретные причины инцидента у Binance станут понятны по итогам расследования.
Наконец, сообщения о выводе средств и обещание Binance защитить деньги клиентов не противоречат друг другу, отмечает эксперт. Биржа заявляет, что покроет потери из резервного фонда и собственных средств, — это обязательство компенсировать ущерб, а не подтверждение отсутствия кражи. Замороженные активы также нельзя автоматически считать возвращенными: окончательный размер потерь и выполнение обязательств перед клиентами требуют отдельного подтверждения.
Ранее стали известны вероятные исполнители крупнейшего в истории взлома криптобиржи Binance.