חשד לפריצה בבינאנס: מומחה אבטחה מצביע על מערכת החתימה על עסקאות

בינאנס תחת חשד לפריצה, וההסבר הראשון נוגע לחתימה על עסקאות

ברשתות החברתיות ובפורומים של משתמשי ביטקוין מתפשטות טענות שבורסת הקריפטו בינאנס נפרצה. פוסטים בכותרות כמו "הפריצה אמיתית" מלווים בצילומי מסך ובכתובת בלוקצ'יין שנטען שקשורה לאירוע. אלה אינם עובדות. הם צילומים של משתמשים אנונימיים, ובחומרים שעמדו בפני המערכת אין הודעה רשמית של בינאנס שמאשרת או מכחישה. פוסט אחד אף הציג תמונה שמיוחסת למייסד החברה, צ'אנגפנג ג'או (CZ), בתגובה לספקולציות. תוכנה של התמונה אינו ברור מהדיווח, ואיש לא אימת אותה.

מפתחות שלא נגנבו

הגורם היחיד בדיווח שמציע הסבר מקצועי הוא אידו בן-נתן, מנכ"ל חברת האבטחה Blockaid. לפי Cointelegraph, הוא חושד שהתוקפים לא גנבו את המפתחות הפרטיים של בינאנס אלא עשו בהם "שימוש לרעה", כלומר שיבשו את התשתית שבה החברה חותמת על עסקאות. זהו חשד שהוא מציג, לא תוצאה של חקירה.

ההבחנה חשובה. מפתח פרטי הוא מה שמאשר העברת כספים מכתובת בבלוקצ'יין. אם הוא נגנב, התוקף מחזיק בו ומחתים עסקאות בעצמו. אם מנצלים את מערכת החתימה, לא צריך לגנוב דבר: המערכת עצמה, שנחשבת לאמינה, חותמת על עסקה שהתוקף רצה בה, והחתימה נראית תקינה לגמרי. מבחוץ אי אפשר להבדיל בין השניים.

בן-נתן מצביע על דמיון לפרשת Bybit. שם, לפי מה שפורסם בזמנו, ההתקפה לא שברה את ההצפנה אלא פעלה דרך התהליך שבו הגורמים המאשרים רואים עסקה וחותמים עליה. גם אם ההשוואה תתברר כנכונה, היא נשענת על דמיון בשיטה ולא על ראיות מהאירוע הנוכחי.

מה שחסר כרגע

אף אחד מהמקורות אינו קובע כמה כסף הועבר, אם בכלל, או באיזו דרך נכנסו התוקפים. ההשוואה ל-Bybit נשארת השערה עד שבינאנס או חוקרים בלתי תלויים יפרסמו פרטים. גם בפורומים המשתמשים עצמם לא יודעים: אחד מהם שאל איך אפשר לבדוק אם הוא נפגע, והשאלה נותרה בלי תשובה מסודרת.

אם החשד של בן-נתן נכון והחולשה היא בתשתית החתימה של הבורסה, היא אינה במכשיר או בסיסמה של הלקוח, ואין פעולה בצד המשתמש שיכלה למנוע אותה או לתקן אותה. מה שנותר הוא להישען על הודעות רשמיות של החברה, ולהיכנס אליהן באמצעות הקלדת כתובת האתר הרשמית בדפדפן ולא דרך קישור שהגיע בהודעה. אחרי אירועים כאלה נפוצות הודעות שמתחזות לחברה ומציעות "בדיקת זכאות" או "פיצוי". אין להזין בהן סיסמה או קוד אימות.

המידע בכתבה נועד להרחבת הדעת בלבד ואינו מהווה ייעוץ השקעות או תחליף לייעוץ מקצועי.

מקורות: Cointelegraph