Người sáng lập CoinEx, Yang Haipo: Việc bị đánh cắp của Binance đã phơi bày ba vấn đề mà lẽ ra có thể tránh được, như môi trường phát triển và vận hành chưa hoàn toàn được tách biệt
Người sáng lập và CEO của mỏ ViaBTC và nền tảng giao dịch CoinEx, Yang Haipo, đã đăng bài trên X để bình luận về sự cố an ninh của Binance. Ông cho biết, sự cố này ít nhất đã phơi bày ba sai lầm có thể tránh được, những vấn đề này không cần công nghệ phức tạp, mà thiếu đi kỷ luật.
Yang Haipo chỉ ra rằng, đầu tiên, môi trường phát triển và vận hành chưa hoàn toàn tách biệt, những người có quyền truy cập vào môi trường sản xuất nên sử dụng thiết bị chuyên dụng và không cài đặt phần mềm bên thứ ba, việc lập trình, trò chuyện và duyệt web nên được thực hiện trên một thiết bị khác. Thứ hai, hệ thống vận hành thiếu xác thực hai yếu tố hiệu quả, chỉ cần một khóa duy nhất có thể thao tác dịch vụ sản xuất, một khi khóa bị rò rỉ, kẻ tấn công có thể có được quyền truy cập đầy đủ vào sản xuất. Ông cho rằng, hoạt động sản xuất có thể được thực hiện theo cách tương tự như AWS Session Manager trên trình duyệt, và sử dụng khóa bảo mật phần cứng làm yếu tố thứ hai, tránh việc rò rỉ một chứng chỉ duy nhất dẫn đến sự đột phá. Thứ ba, chữ ký đa chữ ký MPC chỉ có tên gọi, bên ký không thực hiện xác minh độc lập thực chất đối với giao dịch, việc phá vỡ một nút có thể làm cho toàn bộ cơ chế không còn hiệu lực, hiệu quả không khác gì chữ ký đơn. Chữ ký đa chỉ có hiệu lực khi các bên ký không tin tưởng lẫn nhau, tự xác minh giao dịch, chứ không phải tin tưởng vào yêu cầu từ phía trên.
Vào ngày 3 tháng 11, Binance đã công bố kết quả điều tra sơ bộ về sự cố an ninh ngày 29 tháng 10. Binance cho biết, khoảng 6,34 tỷ đô la tài sản kỹ thuật số đã bị ảnh hưởng, tính đến thời điểm cập nhật, khoảng 2,85 tỷ đô la đã bị đóng băng hoặc chặn lại, 98% trong số các mã thông báo bị ảnh hưởng đã hoàn tất việc bù đắp. Báo cáo cho biết, kẻ tấn công đã có được quyền truy cập không được ủy quyền vào dịch vụ ký ví nội bộ và đã sử dụng Ethereum EIP-7702 để thực hiện ủy quyền cho ví nóng; do ví nóng sử dụng tính toán đa bên, không thể ngay lập tức thu hồi ủy quyền liên quan bằng một khóa riêng duy nhất. Binance trích dẫn thông tin từ FBI cho biết, Bắc Triều Tiên phải chịu trách nhiệm về sự cố này.