Небольшое предисловие и погнали. Сегодня отмечается Хэллоуин. Я уже ни раз говорил, что я люблю атмосферу этого праздника, хотя у наших людей и государства отношение к нему очень «особенное». Сам праздник не запрещен, но за публичную демонстрацию определенной символики можно попасть под статью (а что является такой символикой, будут решать оскорбившиеся 🥰). В общем, страшилки бывают разные. Сегодня принес одну по своей специальности
Давайте представим сейф, дверь которого прочно закрыта. Вот вы прям в этом уверены. Но в какой-то момент вы его проверяете и… он оказывается пустым. Страшно?
Так вот ⤵️
29 октября из кошельков Binance похитили около $6,3 млрд. При этом биржа пока не обнаружила свидетельств утечки приватных ключей. Ключи могли оставаться на месте, пока чужой распоряжался содержимым
По предварительной версии Binance, атакующие скомпрометировали ноутбук DevOps-инженера, через него получили доступ к контейнеру сервиса и возможность отправлять несанкционированные транзакции. На словах «ноутбук DevOps-инженера» у меня немного дернулся глаз 🤌
Отмечу, что все таки это предварительная версия. Полная цепочка ещё расследуется
Зато на Ethereum видно конкретный механизм. EIP-7702 позволяет кошельку исполнять код выбранного смарт-контракта после подписания специального разрешения. Злоумышленник использовал заранее подписанные разрешения, чтобы кошелёк Binance начал выполнять подконтрольный ему код
Через несколько минут деньги вывели. Затем списывали и новые поступления: разрешение продолжало действовать
Вот такая вот х…я, собачка 😏
Binance приостановила вывод и обещала покрыть потери. К 31 октября компания заявила о восполнении 90% похищенных активов за счёт собственных средств и фондов
Страшилка закончилась. Теперь попробуем сделать выводы, как можно было вообще избежать этого всего
Ну для начала Zero Trust. Ага, да, он все еще актуален. Минимум прав, отдельный административный доступ и независимые проверки операций. Взлом одного компонента должен иметь ограниченные последствия. Так мы сможем снизить распространение дальше
Конкретно по кошелькам я бы посоветовал проверять содержание подписываемых разрешений, ограничивать суммы и автоматически останавливать аномальный отток
Ну а пользователям я просто советую не держать все в одном месте. Это правда важно, если вы не хотите в какой-то момент потерять вообще все, что есть
Всех с тыквенным спасом 🎃
#информационная_безопасность
