Niedawno społeczność entuzjastów i użytkowników kryptowalut obiegła wiadomość o tym, że największa pod względem wolumenu handlowego giełda kryptowalut, jaką jest Binance, dopuściła do wycieku poufnych danych swoich klientów. Dowodem na to miało być kilkaset zdjęć weryfikacyjnych należących do rzekomych klientów Binance, które błyskawicznie rozeszły się po licznych grupach i forach dyskusyjnych. Giełda początkowo zaprzeczała temu, że doszło do jakiegokolwiek wycieku, jednocześnie negując autentyczność zdjęć. Później jednak wyznaczyła nagrodę za pomoc w odnalezieniu osoby, która je opublikowała. O co chodzi w tej dość zagmatwanej sytuacji, będącej jak dotąd największym kryzysem wizerunkowym giełdy?
Czyje zdjęcia wyciekły?
Za publikacją wrażliwych danych weryfikacyjnych, które rzekomo wyciekły z Binance stoi anonimowy haker lub grupa osób o pseudonimie Bnatov Platon. Dane te obejmują zdjęcia selfie użytkowników trzymających w ręce dokument potwierdzający tożsamość wraz z kartką, na której znajdują się data oraz podpis „Binance”. Kilkaset zdjęć tego typu błyskawicznie rozeszło się w sieci, głównie za pośrednictwem kilku nieistniejących już grup na Telegramie, założonych specjalnie w tym celu. Administracja giełdy zareagowała bardzo szybko, wydając rozległe oświadczenie, w którym zapewniała, że opublikowane dane weryfikacyjne nie są autentyczne, gdyż nie posiadają specjalnych, niewidocznych gołym okiem, znaczników, które potwierdzałyby, że zostały zaakceptowane i pochodzą z bazy danych Binance. Była to dokładnie ta sama linia obrony, którą giełda przyjęła w styczniu tego roku, gdy pojawiły się plotki o tym, że w darknecie wystawione na sprzedaż są rzekomo skradzione z Binance zdjęcia weryfikacyjne jej klientów. Tym razem jednak administracja czołowej giełdy kryptowalut nie mogła poprzestać wyłącznie na takim wyjaśnieniu - skądś bowiem w sieci znalazły się dziesiątki zdjęć osób pozujących z dokumentem tożsamości i kartką z nazwą giełdy. Weryfikacja tego, czy zdjęcia przedstawiają autentyczne osoby w dobie mediów społecznościowych nie była specjalnie trudna. Wszystkie opublikowane zdjęcia posiadają datę z okolic pierwszego kwartału zeszłego roku, co też zgrało się z wątpliwą linia obrony giełdy. Binance przyznała bowiem, że mogą one należeć do osób, które zakładały konto na Binance, jednak pochodzą z okresu, w którym proces weryfikacji KYC był prowadzony przez zewnętrzną firmę na zlecenie giełdy. Tym samym Binance podtrzymała swoje stanowisko, twierdząc że z jej baz danych nigdy nie wyciekły żadne wrażliwe dane. Jest to jednak marne pocieszenie dla osób, których zdjęcia krążą w sieci. Nie ma również wątpliwości, że giełda jest w pełni odpowiedzialna za dobór i jakość pracy wszystkich swoich podwykonawców. Stąd też zapewnianie, że nie doszło do wycieku danych, przy jednoczesnym stwierdzeniu, że zdjęcia mogą należeć do klientów platformy stawia wiarygodność Binance pod dużym znakiem zapytania.
Haker hakerów
Musimy wrócić teraz do sprawcy całego zamieszania, czyli wspomnianego już anonimowego hakera o pseudonimie Bnatov Platon. To właśnie on dotarł do wrażliwych danych weryfikacyjnych klientów Binance i zdecydował się je opublikować na kilku grupach założonych na komunikatorze Telegram. O jego niejasnych motywacjach będzie jednak później. Mimo, że o całej sprawie zrobiło się głośno na początku sierpnia, to ciągnęła się ona znacznie dłużej i ma swój początek w pamiętnym ataku hakerskim na Binance, do którego doszło 7 maja. Wówczas giełda w dość enigmatycznym komunikacie poinformowała o stracie ponad 7000 BTC, wartych wówczas ok 40 mln dolarów. Do kradzieży doszło w wyniku uzyskania przez hakerów dostępu do kluczy API użytkowników Binance oraz kodów dwuskładnikowego uwierzytelniania, co pozwoliło na wyprowadzenie środków. Giełda w oficjalnym komunikacie przyznała, że do ataku doszło w „nieznany sposób”.
Co jednak ma to wspólnego z opisywanym wyciekiem danych weryfikacyjnych z Binance?
Jak się okazuje - całkiem sporo.
W tym momencie bowiem powraca osoba tajemniczego Bnatova Platona, który zarówno w rozmowie z dziennikarzem portalu CoinDesk, jak i z dyrektorem technologicznym Binance, Tedem Linem, twierdził że posiada szczegółowe informacje na temat tego, kto przeprowadził majowy atak na giełdę. Co więcej, zapewniał on, że udało mu się „zhackować hakera”. Platon twierdzi, że za atakiem hakerskim stoi tzw. insider, czyli osoba bezpośrednio związana z Binance i mająca dostęp do jej systemu administracyjnego. To właśnie ów insider miał umożliwić atakującym dostęp do środków znajdujących się na giełdzie poprzez klucze API, regularnie wykorzystywane do obsługi konta za pośrednictwem zewnętrznych aplikacji, czy platform handlowych. Aby uwiarygodnić swoją wersję, Platon udostępnił nawet część skryptu, który posłużył hakerom do wygenerowania fałszywych API. Aby było jeszcze ciekawiej, twierdzi on że posiada szczegółowe informacje na temat tego, kim jest osoba odpowiedzialna za „wpuszczenie” atakujących do Binance, a także że wie gdzie obecnie znajduje się większość skradzionych bitcoinów.
Oprócz tego, Bnatov zarzucił Binance brak transparentności i okłamywanie swoich użytkowników - giełda po ataku zapewniała, że skradzione środki nie należały do klientów, lecz pochodziły z firmowych portfeli, co wg niego nie było prawdą.
Jak się również okazało, Platon udowodnił że przynajmniej część zdjęć weryfikacyjnych posiada metadane, potwierdzające przyjęcie przez system weryfikacyjny Binance. Zawierają one takie informacje jak im nr identyfikacyjny, podstawowe dane weryfikowanego użytkownika, a nawet nazwisko osoby zatwierdzającej. Oznacza to, że linia obrony Binance, polegająca na przerzucaniu odpowiedzialności na zewnętrzną firmę obsługującą proces weryfikacyjny w zeszłym roku również jest bardzo słaba. W zasadzie nie ma wątpliwości do co tego, że z bazy danych największej giełdy kryptowalut świata wyciekło przynajmniej niecałe 700 zdjęć - jak na razie tyle zostało opublikowanych, choć sprawca całego zamieszania twierdzi, że dysponuje wrażliwymi danymi ponad 60 tys. klientów Binance.
Jak doszło do wycieku danych weryfikacyjnych?
Wiemy już jak - wg anonimowego hakera - doszło do majowego ataku hakerskiego na giełdę Binance. Cyberprzestępcy byli jednak zainteresowani kradzieżą kryptowalut z giełdy, a nie pozyskaniem wrażliwych danych jej użytkowników. Wg Bnatova Platona, do wycieku danych doszło weryfikacyjnych doszło „przy okazji” i w zasadzie przez przypadek. Platon przyznał się do tego, że udało mu się zhackować samych atakujących i że skorzystał z dostępu do bazy danych Binance. Sam jednak nie przyznał się do kradzieży jakichkolwiek danych.
W tym miejscu historia anonimowego hakera, rzekomo dysponującego wrażliwymi danymi kilkudziesięciu tysięcy użytkowników Binance znacznie się komplikuje, stawiając pod znakiem zapytania zarówno jego wiarygodność, jak i uczciwość.
Platon w swoich wypowiedziach nieustannie podkreśla, że kierują nim dobre intencje, zaś on sam jest tzw. hakerem „white hat”, który chce pomóc giełdzie w odnalezieniu i ujęciu sprawców ostatniego ataku hakerskiego oraz rzekomego insidera, których dane posiada. Twierdził również, że jest założycielem i właścicielem jednej z dobrze prosperujących giełd kryptowalut, której obrót wynosi ok. 1/3 wolumenu handlowego Binance, stąd też nie zależy mu na pieniądzach. Oprócz tego zapewniał on, że gdyby chciał, z łatwością mógłby wykraść wyprowadzone z Binance środki znajdujące się na portfelach hakerów, których udało mu się namierzyć.
Jak się jednak później okazało, Platon przed podjęciem decyzji o publikacji zdjęć weryfikacyjnych klientów Binance przez ponad miesiąc negocjował z przedstawicielami giełdy. Za przekazanie informacji o tożsamości hakerów odpowiedzialnych za majowy atak żądał od Binance wynagrodzenia w wysokości 300 BTC (ponad 3,2 mln dolarów przy aktualnym kursie), co nie zgadza się z jego zapewnieniami o dobrych intencjach i bezinteresowności. Co więcej, groził Binance tym, że opublikuje wrażliwe dane klientów giełdy, jeżeli nie otrzyma wynagrodzenia, które równie dobrze można by nazwać okupem. Dalsza część tej historii jest już powszechnie znana - 7 sierpnia Platon opublikował ponad sześćset zdjęć weryfikacyjnych, które należą do klientów Binance. Giełda zaś ustaliła nagrodę w wysokości 25 BTC za przekazanie informacji pomocnych w ustaleniu tożsamości i ujęciu tajemniczego Bnatova Platona. Wydaje się, że to jednak nie koniec tego konfliktu, szczególnie jeśli założymy, że Platon rzeczywiście posiada ponad 60 tys. zdjęć klientów Binance oraz informacje na temat rzekomego insidera, który umożliwił przeprowadzenie ataku hakerskiego, w wyniku którego skradziono ponad 7 tys. BTC.
Dlaczego wyciek danych weryfikacyjnych to poważny problem?
Kilka godzin po rozpowszechnieniu się informacji o wycieku wrażliwych danych z giełdy Binance, jej prezes Changpeng Zhao (nazywany CZ) zaapelował na Twitterze o to, aby nie wpadać w panikę z powodu medialnych doniesień. Zasugerował tym samym również, że cała sytuacja to tzw. FUD (ang. Fear, Uncertainty, Doubt), czyli próba wywołania paniki nierzetelnymi lub całkowicie nieprawdziwymi informacjami. Samemu prezesowi łatwo było zająć takie stanowisko, gdyż to nie jego wrażliwe dane krążyły po rozmaitych grupach na Telegramie.
Mimo tego, że wyciek danych weryfikacyjnych nie wywołuje emocji na równi z kradzieżą środków, to jest to nie mniej istotny problem. W niektórych aspektach może być on nawet bardziej dotkliwy w skutkach - o ile po kradzieży środków z giełdy wiemy ile straciliśmy, o tyle gdy nasze wrażliwe dane krążą w sieci, możemy spodziewać się wielu nieprzyjemności, szczególnie jeśli nie zastrzegliśmy dokumentu wykorzystanego do weryfikacji. Wrażliwe dane osobowe są łakomym kąskiem dla kryminalistów, którzy będą w stanie z ich wykorzystaniem sporo zarobić, jednocześnie wprowadzając w duże tarapaty finansowe swoje ofiary.
Incydent na Binance pokazuje, że nawet giełdy o naprawdę dobrej reputacji pod względem bezpieczeństwa nigdy nie będą w stanie zapewnić pełnej ochrony zarówno naszych środków, jak i wrażliwych danych, które im przekazujemy. Dlatego też należy ograniczać do minimum liczbę podmiotów, którym przesyłamy dane KYC i wybierać tylko te, które mają dobre opinie, co nie tyczy się wyłącznie giełd kryptowalut, lecz wszystkich usług, które przeprowadzają weryfikację tożsamości.
Komentarze
Sortuj według: Najistotniejsze
Nie ma jeszcze komentarzy. Skomentuj jako pierwszy i rozpocznij dyskusję