CoinExの創設者ヤン・ハイポ（Yang Haipo）：バイナンスの盗難は、その開発および運用環境が完全に隔離されていないなど、回避可能な3つの問題を露呈した。

マイニングプール ViaBTC と取引プラットフォーム CoinEx の創設者兼 CEO ヤン・ハイポが X に投稿し、バイナンスのセキュリティ事件についてコメントしました。彼は、この事件は少なくとも避けられた三つの失敗を暴露しており、これらの問題は複雑な技術を必要とせず、欠けているのは規律であると述べました。

ヤン・ハイポは、第一に、開発環境と運用環境が完全に隔離されておらず、製造環境の権限を持つ者は専用のデバイスを使用し、第三者のソフトウェアをインストールすべきではなく、コーディング、チャット、ウェブブラウジングは別のデバイスで行うべきであると指摘しました。第二に、運用システムには効果的な二重認証が欠けており、単一のキーで製造サービスを操作でき、キーが漏洩すると攻撃者は完全な製造権限を得ることができると述べました。彼は、製造操作は AWS のブラウザベースのセッションマネージャーのような方法で行うことができ、ハードウェアセキュリティキーを第二の要素として使用することで、単一の証明書の漏洩が突破を構成することを避けるべきだと考えています。第三に、MPC マルチシグは名ばかりで、署名者は取引に対して実質的な独立した検証を行っておらず、一つのノードを破ることで全体のメカニズムが無効になり、単一署名と変わらない効果を持つと述べました。マルチシグは、署名者同士が互いに信頼せず、各自が取引そのものを独立して検証し、上流のリクエストを信頼しない場合にのみ有効です。

11月3日、バイナンスは10月29日のセキュリティ事件の初期調査結果を発表しました。バイナンスによると、約634億ドルのデジタル資産が影響を受け、更新時点で約285億ドルが凍結または遮断されており、影響を受けたトークンの98%が補填を完了したとのことです。報告によると、攻撃者は内部ウォレットの署名サービスに対して無許可のアクセスを取得し、イーサリアム EIP-7702 を利用してホットウォレットに対して権限を実施しました。ホットウォレットはマルチパーティ計算を採用しているため、単一の秘密鍵で関連する権限を即座に撤回することはできません。バイナンスは FBI の情報を引用し、北朝鮮がこの事件に責任を持つと述べました。