Binance v oznámení z 30. októbra uviedla, že incident mohol súvisieť s napadnutým notebookom pracovníka DevOps, ktorý sa podieľa na prevádzke technických systémov. Útočník sa podľa predbežného vyšetrovania mohol dostať do interného softvérového prostredia a zadávať neoprávnené výberové transakcie. Burza zároveň oznámila, že nenašla dôkazy o úniku súkromných kľúčov peňaženiek. Konečnú technickú správu prisľúbila po dokončení vyšetrovania.
Neprítomnosť dôkazu o úniku kľúča však neznamená, že jeho používanie zostalo pod kontrolou. Súkromný kľúč umožňuje vytvoriť kryptografický podpis, ktorým sieť overuje oprávnenie vykonať transakciu. Ak útočník prinúti napadnutú infraštruktúru podpísať jeho požiadavku, nemusí nevyhnutne získať samotný kľúč. Blockchain môže takýto podpis vyhodnotiť ako platný, hoci prevádzkovateľ burzy transakciu nezamýšľal povoliť.
Bezpečnostná spoločnosť Blockaid vo svojej analýze opísala zneužitie mechanizmu EIP-7702 pri jednej z ethereumových peňaženiek Binance. Tento mechanizmus umožňuje účtu na základe podpísaného oprávnenia využívať kód inteligentného kontraktu, teda programu na blockchaine. Podľa Blockaidu bola peňaženka nasmerovaná na škodlivý kontrakt, ktorý umožnil odčerpanie aktív. Technická špecifikácia EIP-7702 upozorňuje, že delegovaný kód získava rozsiahly prístup k účtu. Analýza Blockaidu však sama osebe neuzatvára otázku, ako útočník prenikol do interných systémov burzy.
Podobné otázky vznikajú pri takzvaných privilegovaných oprávneniach. Ide o právomoci, ktoré umožňujú vykonávať citlivé operácie: schvaľovať presuny, meniť nastavenia alebo prideľovať prístup ďalším účtom. Dokumentácia OpenZeppelin napríklad ukazuje, ako môžu administrátorské roly v inteligentných kontraktoch povoľovať vydávanie tokenov, zmrazovanie prevodov či zmeny fungovania kontraktu. Nejde pritom o jeden univerzálny „hlavný kľúč“. Rozsah moci závisí od konkrétneho systému a jeho nastavenia.
Medzi ochranné opatrenia patrí rozdelenie právomocí, obmedzenie oprávnení na nevyhnutné úkony a schvaľovanie viacerými podpismi. OpenZeppelin opisuje aj časové oneskorenie vybraných administrátorských zásahov, ktoré vytvára priestor na ich kontrolu. Blockaid pri burzových peňaženkách zdôrazňuje preverovanie požiadaviek ešte pred podpisom a sledovanie zmien oprávnení. Žiadne z týchto označení však samo osebe nedokazuje bezpečnosť konkrétnej burzy; podstatné je, ktoré operácie kontroly pokrývajú a ako sú zavedené.
Pre používateľa z toho vyplýva rozdiel medzi zabezpečením vlastného účtu a zabezpečením úschovy. Silné heslo a dvojfaktorové overenie chránia prihlasovanie, no nepredstavujú kontrolu nad interným podpisovým systémom burzy. Pri vlastnej peňaženke zase prechádza ochrana kľúčov a podpisovaných oprávnení na jej majiteľa. Pri posudzovaní služby preto nestačí sledovať iba tvrdenie, že kľúče neunikli. Dôležité je aj vysvetlenie, ako sa povoľujú transakcie, ako sa odoberajú zneužité oprávnenia a čo potvrdí dokončené vyšetrovanie.
⚠️ Tento článok nie je finančné poradenstvo. Pákové obchodovanie s derivátmi nesie mimoriadne vysoké riziko straty investovaného kapitálu. Pred akýmkoľvek investičným rozhodnutím odporúčame konzultáciu s nezávislým finančným poradcom.