Jika anda percaya tiada pemindahan yang keluar dari akaun syarikat anda tanpa tandatangan anda, penggodaman Binance ialah sebab yang baik untuk menguji kepercayaan itu hari ini. Pada malam 29 Oktober 2026, kira-kira 6.3 bilion dolar keluar dari dompet Binance, bursa kripto terbesar di dunia, melalui pengeluaran tanpa kebenaran, kebanyakannya dalam kira-kira 20 minit. Ketua Pegawai Eksekutif bersama bursa itu berkata sebahagian daripada operasi tersebut tidak melalui kawalan kelulusan biasa. Pengajaran untuk perniagaan anda tiada kaitan dengan kripto: senaraikan setiap laluan yang boleh memindahkan wang atau mengubah akaun penerima, dan pastikan setiap laluan memerlukan dua orang, dua peranti dan log yang tidak boleh dipadam oleh sesiapa pun.

Apa yang berlaku di Binance, dalam angka

Menurut kemas kini rasmi kedua yang diterbitkan Binance pada 30 Oktober, dompet panasnya, iaitu dompet yang bersambung ke internet untuk memproses pengeluaran pelanggan, telah dicerobohi sekitar 20:05 UTC, dengan kerugian kira-kira 6.3 bilion dolar. Bursa menggantung pengeluaran, menyatakan bahawa kira-kira 3 bilion dolar telah dibekukan di blockchain dengan bantuan rakan kongsi, dan mengetepikan lebih daripada 6.34 bilion dolar dana syarikat untuk menampung kerugian, termasuk 5 bilion yang disimpan dalam token yang sama dengan yang dicuri, iaitu kira-kira 80% daripada jumlah itu. Sasarannya ialah memulakan semula pengeluaran secara berperingkat dalam kira-kira 34 jam dari kemas kini itu, dengan laporan bukti rizab menjelang 2 November.

Analisis data blockchain oleh TRM Labs menambah butiran penting: dana keluar melalui 10 rangkaian, persediaan bermula sekurang-kurangnya 36 jam sebelum kecurian, penyerang menguji alatnya pada dompet lain sebelum menggunakannya, dan menyediakan 50 kebenaran yang telah ditandatangani lebih awal supaya salah satu daripadanya sah pada saat pelaksanaan. TRM menganggarkan jumlahnya 6.36 bilion dolar, kira-kira empat kali ganda penggodaman Bybit bernilai 1.5 bilion dolar pada Februari 2025. TRM dan Elliptic mengaitkan serangan ini dengan TraderTraitor, kumpulan yang dikaitkan dengan Korea Utara, walaupun Elliptic menyatakan bahawa belum ada kerajaan yang mengesahkan atribusi tersebut.

Apa kata Binance tentang cara serangan itu berlaku

Siasatan awal menunjuk kepada komputer riba seorang jurutera DevOps yang telah dicerobohi, yang membolehkan penyerang sampai ke sebuah bekas perkhidmatan dan menghantar transaksi pengeluaran tanpa kebenaran. Kemudian bursa menyatakan bahawa siasatan susulan menemui titik pencerobohan tambahan, dan tiada bukti bahawa kunci persendirian dompetnya bocor. Ketua Pegawai Eksekutif bersama itu berkata serangan tersebut tidak dilakukan oleh seorang individu, penyerang menggunakan mekanisme pemusnahan sendiri yang menghapuskan alat dan jejak semasa beroperasi, dan delegasi yang digunakan di Ethereum tidak melalui kawalan kelulusan biasa Binance.

Ringkasnya, penyerang tidak memecah peti besi. Penyerang menjadikan sistem Binance sendiri menandatangani pemindahan itu. Menurut penilaian TRM, penjelasan yang paling mungkin ialah keupayaan untuk membuat sistem tandatangan menandatangani transaksi pilihan penyerang, merentas rangkaian yang berbeza dan kunci yang berbeza, dalam masa kira-kira setengah jam.

Mengapa ini penting bagi syarikat yang langsung tidak memiliki kripto

Kerana setiap syarikat mengendalikan versi kecil sistem tandatangan itu: portal perbankan korporat, fail pembayaran yang dieksport akauntan daripada sistem perakaunan lalu dimuat naik ke bank, skrin tempat butiran bank pembekal diubah, kebenaran bayaran balik dalam gerbang pembayaran anda, fail gaji bulanan. Sebagai pemilik, anda melihat laluan kelulusan rasmi, permohonan, kemudian pengurus, kemudian kewangan, tetapi penyerang mencari laluan sampingan: akaun sistem yang memuat naik fail secara automatik, pentadbir IT yang boleh menukar IBAN, atau kunci integrasi di pembekal luar yang boleh melaksanakan pemindahan.

Ada dua lagi pengajaran. Yang pertama ialah kepantasan: kebanyakan wang keluar dalam kira-kira 20 minit, dan tiada pekerja yang mampu mengejarnya secara manual, jadi perlindungan mesti berbentuk had dan amaran yang berfungsi dengan sendirinya. Yang kedua ialah persediaan: penyerang bersedia 36 jam lebih awal dan menguji alatnya, bermakna terdapat tanda amaran awal bagi sesiapa yang memantau. Kami pernah menulis bagaimana satu laman penstriman percuma pada komputer riba kerja boleh menyerahkan kata laluan syarikat anda kepada penyerang, dan peranti milik orang yang memegang kebenaran ialah sasaran paling berharga dalam syarikat.

Apa yang perlu disemak dalam syarikat anda minggu ini

  • Petakan setiap laluan keluarnya wang: tuliskan setiap orang dan setiap sistem yang boleh memulakan pemindahan, meluluskannya, mengubah akaun penerima atau mengeluarkan bayaran balik, termasuk akaun sistem, kunci integrasi dan pembekal luar.
  • Dua orang dan dua peranti bagi setiap pemindahan: orang yang memasukkan pemindahan tidak meluluskannya, dan kelulusan dibuat daripada peranti lain. Inilah prinsip pengasingan tugas dalam Kawalan Keselamatan Siber Penting: menyiapkan sesuatu tugas memerlukan lebih daripada seorang, masing-masing dengan keistimewaan yang berbeza. Kaitkan dengan matriks kelulusan yang menetapkan siapa menandatangani apa.
  • Had dan amaran segera: minta bank anda menetapkan had pemindahan harian dan amaran segera ke telefon pemilik bagi setiap pemindahan besar dan setiap kali penerima ditambah atau diubah.
  • Kebenaran pentadbir mengikut keperluan: aktifkan pengesahan pelbagai faktor bagi setiap log masuk jarak jauh dan setiap akaun berkeistimewaan, semak senarai orang yang memegang kebenaran tersebut secara berkala, dan padamkan akaun bekas pekerja serta pembekal yang telah menamatkan kerja.
  • Log yang tidak boleh dipadam penyerang: penyerang Binance memadam jejak semasa bekerja. Aktifkan log peristiwa bagi akaun berkeistimewaan dan akses jarak jauh, simpan salinannya di luar sistem itu sendiri, dan kekalkan sekurang-kurangnya 12 bulan seperti yang dikehendaki oleh kawalan tersebut.
  • Pelan untuk minit-minit pertama: tentukan siapa yang menghubungi bank untuk menghentikan pemindahan, siapa yang menyahaktifkan akaun yang disyaki, dan di mana nombor kecemasan disimpan. Dalam kes Binance, Tether membekukan dompet penerima utama penyerang 37 minit selepas pengeluaran terbesar, dan kepantasan itulah yang menyelamatkan sebahagian besar wang.

Apa kata kawalan Arab Saudi?

Kawalan Keselamatan Siber Penting ECC-2:2024 yang dikeluarkan oleh Pihak Berkuasa Keselamatan Siber Kebangsaan (NCA) wajib bagi agensi kerajaan dan entiti gabungannya, serta bagi entiti sektor swasta yang memiliki, mengendalikan atau menjadi hos Infrastruktur Nasional Kritikal, dan NCA amat menggalakkan semua entiti lain di Kerajaan Arab Saudi untuk menggunakannya. Kawalan ini selari secara langsung dengan pengajaran Binance: pengesahan pelbagai faktor bagi akses jarak jauh dan akaun berkeistimewaan (2-2-3-2), prinsip perlu tahu, keistimewaan minimum dan pengasingan tugas (2-2-3-3), pengurusan akses berkeistimewaan (2-2-3-4), semakan berkala identiti dan hak akses (2-2-3-5), serta log peristiwa bagi akaun berkeistimewaan dan akses jarak jauh yang dipantau secara berterusan dan disimpan sekurang-kurangnya 12 bulan (2-12-3).

Pandangan Origami

Kami melihat penggodaman Binance sebagai pengajaran tentang laluan kelulusan, bukan tentang kripto. Kebanyakan syarikat mereka bentuk kelulusan untuk laluan rasmi dan melupakan laluan sampingan: akaun sistem yang memuat naik fail pembayaran, pengguna yang boleh mengubah IBAN, kunci integrasi yang boleh melaksanakan. Laluan sampingan inilah yang pertama dicari oleh penyerang.

Apabila kami membina sistem khusus yang melibatkan wang, seperti sistem kitaran perolehan atau portal pembayaran pembekal, kami mengesyorkan supaya kelulusan menjadi sebahagian daripada reka bentuk sejak hari pertama: dua orang berbeza untuk kemasukan dan kelulusan, had amaun, dan log bagi setiap perubahan pada data penerima. Jika anda memerlukan sistem perakaunan sedia guna dan bukannya sistem khusus, lihat Fahim.

Kesimpulan

Anda tidak memerlukan dompet kripto untuk belajar daripada kecurian kripto terbesar yang pernah direkodkan. Peruntukkan dua jam minggu ini bersama akauntan dan ketua IT anda: tuliskan setiap laluan keluarnya wang, asingkan kemasukan dan kelulusan pada dua peranti, minta had dan amaran daripada bank, semak siapa yang memegang hak pentadbir, dan simpan log di luar jangkauan orang yang mengendalikan sistem. Jika anda mahu semakan laluan kelulusan dalam sistem anda, hubungi kami atau lihat perkhidmatan kami.

Sumber