Binance åbner hævninger efter milliardtyveri – kunder trak netto 3,64 mia. dollar ud

Binance har genåbnet dele af sine hævninger efter cyberangrebet den 29. oktober, og kunderne har straks flyttet store beløb fra kryptobørsen. I de første ni en halv time søndag den 1. november blev der hævet 4,65 milliarder dollar og indsat 1,01 milliarder. Nettoudtrækket var dermed 3,64 milliarder dollar, oplyser selskabet ifølge The Block.

For danske brugere med aktiver på platformen betyder genstarten, at nogle overførsler igen kan gennemføres. Den er samtidig en påmindelse om forskellen mellem at se en saldo på en konto og faktisk at kunne flytte sine aktiver. Adgangen afhænger fortsat af den enkelte valuta og det valgte netværk.

Første etape er åbnet

Binances officielle genopretningsmeddelelse omfatter i første fase 15 netværk, blandt andet Bitcoin, Ethereum, Solana og XRP. Selskabet prioriterer efter efterspørgslen og foretager sikkerheds- og stabilitetskontrol, før hver kombination af aktiv og netværk åbnes.

Ifølge The Blocks opfølgning var alle netværk i første fase genåbnet søndag klokken 12.36 UTC. Det svarer til klokken 13.36 dansk tid. Det er et dokumenteret skridt i genopretningen, men ikke en melding om, at alle børsens tjenester er tilbage.

Binance henviser kunder til den konkrete hæveside og sin netværksstatus. Et aktiv kan være understøttet på flere netværk, og åbning på ét af dem siger derfor ikke noget sikkert om de øvrige. Selskabet varsler også længere behandlingstid under genstarten.

Store udtræk kræver præcis læsning

The Block sammenholder selskabets oplysninger med blokchaindata fra DefiLlama. Sidstnævnte viste søndag et nettoudtræk på cirka 4,05 milliarder dollar over 24 timer. Det tal og Binances 3,64 milliarder beskriver forskellige tidsrum og må ikke fremstilles som to målinger af præcis det samme.

Binance sætter sit nettoudtræk til 2,1 procent af 171 milliarder dollar i aktiver med udgangspunkt i en reserveopgørelse fra den 28. oktober. Det er selskabets eget sammenligningsgrundlag fra før angrebet.

Nettoudtræk er heller ikke et mål for nye tyverier: Det er forskellen mellem kundernes hævninger og indbetalinger i perioden. Tallene viser bevægelser efter genåbningen, men kan ikke alene fortælle, hvorfor den enkelte kunde flyttede sine penge.

En udviklercomputer er centralt spor

Angrebet ramte en tjeneste, der håndterer værdier for andre, snarere end den enkelte kundes telefon. Binance pegede i sin foreløbige forklaring på en kompromitteret computer tilhørende en DevOps-medarbejder. Den skulle have givet adgang til en tjenestecontainer, hvorfra der kunne indsendes uautoriserede hævninger.

Associated Press gengav den 29. oktober selskabets oplysning om, at der ikke var fundet tegn på lækkede private nøgler til børsens wallets. Det er en foreløbig virksomhedsoplysning, ikke en færdig teknisk undersøgelse.

Ifølge BleepingComputers opfølgning blev omkring 6,36 milliarder dollar flyttet over ti blockchains, størstedelen på cirka 20 minutter. Beløbet beskriver kryptoværdier i dollar; det bør ikke læses som et uforanderligt kontantbeløb, mens kurserne bevæger sig.

FBI udpeger Nordkorea

FBI meddelte den 31. oktober, at Nordkorea stod bag tyveriet, som myndigheden betegner som over seks milliarder dollar. Aktiviteten følges under navnet TraderTraitor.

Myndigheden har sammen med amerikanske partnere observeret ombytning af stjålne aktiver primært til Ethereum. Den opfordrer blandt andre kryptotjenester og netværksoperatører til at blokere transaktioner knyttet til offentliggjorte adresser.

Tilskrivningen er FBI's vurdering. Den offentlige meddelelse fremlægger ikke en fuld teknisk beviskæde, og den bør derfor gengives med tydelig afsender frem for som en selvstændig dansk efterforskningskonklusion.

Dækning og genopretning er forskellige ting

Binance siger i sin seneste genopretningsmeddelelse, at omkring 95 procent af det berørte beløb er dækket. De resterende aktiver beskrives som mindre likvide tokens, der tager længere tid at købe. Selskabet lover selv at bære tabet.

Den oplysning handler om at genanskaffe aktiver til dækning af kundernes saldi. Den betyder ikke, at 95 procent af tyvekosterne er fundet eller tilbageført fra angriberne.

Det næste annoncerede skridt er yderligere åbning af tjenester efter sikkerhedskontrol og en teknisk rapport, når undersøgelsen er færdig. For danske kunder er det konkrete resultat indtil videre genvundet adgang til udvalgte hævninger; kilderne oplyser ikke, hvor mange danske konti der har været berørt.