Binance, världens största kryptobörs sett till handelsvolym, uppger att angriparen kan ha fått åtkomst genom en komprometterad laptop som tillhörde en DevOps ingenjör.
Därifrån ska personen ha kunnat komma åt en så kallad service container och skicka obehöriga uttagstransaktioner. Exakt hur datorn först komprometterades är ännu inte känt.
Binance betonar att utredningen fortfarande pågår och att den tekniska förklaringen är preliminär.
Annons
En enda arbetsdator kan ha varit vägen in
DevOps personal arbetar i gränslandet mellan utveckling och drift och kan därför behöva åtkomst till system som vanliga anställda aldrig kommer i närheten av.
Det gör en komprometterad utvecklardator särskilt intressant ur säkerhetssynpunkt.
Binance misstänker att angriparen via datorn fick tillgång till ett system som i sin tur kunde initiera uttag. Företaget har ännu inte beskrivit exakt vilka behörigheter som fanns på datorn eller vilken säkerhetsmekanism som kringgicks.
Det är alltså inte klarlagt om det handlade om skadlig kod, stulna inloggningsuppgifter, en sårbarhet eller någon annan metod.
Binance lovar en fullständig teknisk rapport när utredningen är klar.
Läs mer: Nu kan AI sköta hela din kryptohandel
6,3 miljarder dollar berörs
Binance uppskattar den totala påverkan från incidenten till omkring 6,3 miljarder dollar.
Det betyder inte automatiskt att hela summan är en slutlig förlust.
Företaget uppger att man tillsammans med aktörer inom blockkedjeindustrin hittills har lyckats frysa omkring tre miljarder dollar i berörda tillgångar direkt på blockkedjorna.
När kryptotillgångar fryses ligger de fortfarande på en adress, men kan inte längre flyttas som vanligt. Det kan exempelvis ske när utgivaren av en stablecoin blockerar en adress efter att tillgångarna kopplats till ett intrång.
Associated Press rapporterar att Tether och Circle tillsammans har fryst stora mängder stablecoins kopplade till incidenten.
Det återstår däremot att fastställa hur stor den slutliga ekonomiska förlusten faktiskt blir.
Det är därför mer korrekt att tala om tillgångar som berörs av incidenten än att slå fast att 6,3 miljarder dollar definitivt har gått förlorade.
Dina privata nycklar ska inte ha läckt
Binance säger att bolaget hittills inte hittat några bevis för att privata nycklar till kryptoplånböcker har läckt.
Det är en viktig skillnad.
En privat nyckel fungerar i praktiken som den kryptografiska kontrollen över en plånbok. Om en angripare kommer över den kan personen normalt godkänna transaktioner från plånboken utan att först ta sig igenom börsens övriga system.
I det här fallet pekar Binances första utredning i stället mot att angriparen lyckades få ett internt system att skicka obehöriga uttag.
Det betyder att själva uttagsinfrastrukturen kan vara den centrala delen av attacken snarare än att kryptografiska nycklar har stulits.
Läs mer: Microsoft X-konto hackades – spred kryptobluff
Binance lovar att kunderna inte ska ta förlusten
Binance säger att användarnas pengar är säkra och att eventuella förluster ska täckas med företagets egna pengar och dess SAFU fond.
SAFU, Secure Asset Fund for Users, är en reservfond som Binance har byggt upp för att kunna hantera extrema situationer där kundtillgångar riskerar att påverkas.
Företaget planerar också att publicera en ny Proof of Reserves när säkerhetsarbetet är klart.
Proof of Reserves används av kryptobörser för att försöka visa att de innehar tillgångar som motsvarar kundernas saldon.
Det ersätter inte en traditionell revision, men blir extra relevant efter en incident där stora mängder krypto har lämnat börsens plånböcker.
Uttagen stoppades medan systemen kontrolleras
Binance stoppade tillfälligt både insättningar och uttag när incidenten upptäcktes.
Senare uppgifter från företaget anger att insättningar åter fungerar medan uttagen fortfarande är pausade. Binance räknar med att uttagen ska kunna återupptas inom 48 timmar, förutsatt att säkerhetskontrollerna kan slutföras.
Reuters rapporterar att kryptobörsen samtidigt arbetar med polis, tokenutgivare och företag som analyserar blockkedjetransaktioner för att spåra och frysa fler tillgångar.
Binance har dessutom dragit tillbaka behörigheten för den adress som kopplats till incidenten.
För svenska användare med tillgångar på Binance är det framför allt uttagen som påverkas direkt just nu. Det finns däremot inget som tyder på att Binance konton generellt har blivit kapade eller att användarnas privata nycklar har exponerats.
Läs mer: Google varnar: Ett samtal kan räcka för att bli hackad
Attacken visar en annan risk än stulna lösenord
Kryptointrång förknippas ofta med läckta privata nycklar eller säkerhetshål i blockkedjor.
Den här incidenten pekar preliminärt mot något betydligt mer vardagligt: en arbetsdator.
Om Binances första teori bekräftas har angriparen inte behövt knäcka den kryptografi som skyddar blockkedjan. I stället kan personen ha tagit sig in genom infrastrukturen och behörigheterna runt omkring den.
Det är också därför incidenten blir större än frågan om hur många miljarder som slutligen går att återfå.
En kryptobörs kan ha avancerad kryptering och säkra plånböcker, men fortfarande vara beroende av de datorer och konton som människor använder för att sköta systemen.
I det här fallet kan en av dem ha blivit vägen in.
Spela lite spel!
Spela lite spel från TeknikGeeks redaktions utvalda bibliotek. Ett slumpmässigt spel i varje artikel.