Týká se vás to?
- Koho se to týká: obdobně každého admina nebo DevOps pracovníka, jehož vlastní notebook dosáhne na produkci, cloudovou konzoli nebo platební funkci, aniž by to musel schválit někdo další.
- Netýká se vás, pokud: ve vaší firmě nemůže zařízení žádného jednotlivce samo změnit produkci ani uvolnit peníze.
Co udělat
- Sepište, kam dnes admin notebook dosáhne: servery a kontejnery, cloudová konzole, deployovací pipeline, internetové bankovnictví. Označte, kde může jeden člověk jednat sám a jestli by si toho někdo všiml ve 3 ráno.
- Kde z firmy odcházejí peníze, zapněte v internetovém bankovnictví schvalování plateb druhou osobou. Pokud pro produkci nemáte druhého admina, posílejte záznamy o změnách někomu dalšímu. Práva nasazovat a práva platit svěřte různým lidem nebo účtům.
- Mějte jasno v tom, kdo dokáže rychle pozastavit úlohy, které běží samy. Během útoku Conor Grogan z Coinbase napsal na X, že automatické přesuny vkladů (deposit sweeps) u Binance podle všeho dál doplňovaly horkou peněženku, kterou už útočník ovládal.
- Čemu se vyhnout: vykládat si „žádné klíče neunikly“ jako „není co opravovat“. Binance nenašla žádný důkaz úniku privátního klíče, a výběry přesto prošly.
Co víme – a co ne
- Předběžná verze Binance (Gizmodo, MLQ.ai, Gadget Review): napadený notebook mohl útočníka pustit do servisního kontejneru, odkud pak byly odeslány neautorizované transakce výběrů.
- Příčina není vyjasněná. Spoluředitel Richard Teng říká, že útočník nevyužil jen oprávnění jednoho inženýra a nešlo o akci „na jedno kliknutí“. Kok Tin Gan z firmy NyxLab, kterého citovala AP (přes Courthouse News), říká, že to vypadá, jako by „jeden podpis“ dal útočníkovi token s plným přístupem k jedné horké peněžence Binance, jehož platnost nikdy nevyprší. Technický rozbor (post-mortem) zatím nikdo nezveřejnil.
- Uváděná částka se v průběhu zpravodajství měnila. Binance teď uvádí zhruba 6,3 miliardy dolarů; podle TRM Labs odešlo z peněženek Binance na deseti blockchainech asi 6,36 miliardy dolarů, většina zhruba během 20 minut.
- Binance uvádí, že zhruba 3 miliardy dolarů jsou zmrazené; Tether a Circle hlásí vlastní zmrazení, která se podle MLQ.ai nemusí shodovat s celkovou částkou Binance.
- TRM Labs s vysokou jistotou jmenuje skupinu TraderTraitor, kterou označuje za severokorejskou jednotku; Chainalysis a Elliptic rovněž ukazují na Severní Koreu. Jde o hodnocení soukromých firem, ne o zjištění orgánů činných v trestním řízení.
Proč na tom záleží
Mnoho malých firem má svou verzi toho notebooku: jeden stroj, ze kterého se nasazuje, otevírá cloudová konzole a přihlašuje do banky. Podle nás není užitečná otázka, jak dobrý máte antivir, ale co by útočník z tohoto místa stihl dotáhnout do konce, než se na to podívá druhý člověk.