Le piratage de Binance met sous surveillance l’EIP-7702 d’Ethereum et la conservation des actifs par les plateformes d’échange

Le récit de Binance sur l’attaque

Richard Teng, co-PDG de Binance, estime que le secteur des cryptomonnaies devrait étudier l’attaque présentée comme le piratage de Binance ayant coûté 6,3 milliards de dollars. S’exprimant mardi sur CNBC, il a déclaré que Binance avait publié un rapport détaillé afin que les autres acteurs du secteur puissent tirer les leçons des événements. Son récit présente l’incident non comme une intrusion soudaine et isolée, mais comme une campagne qui s’est déployée sur plusieurs mois et a fini par atteindre le système autorisant les transactions du portefeuille.

Teng a fait référence à une attribution du FBI à la Corée du Nord et décrit une succession d’événements qui a commencé en juin avec un faux outil de développement. En septembre, a-t-il précisé, les attaquants ont organisé de faux entretiens de recrutement. Le récit retrace ensuite leur progression à travers les outils internes d’IA jusqu’au système utilisé pour autoriser les transactions du portefeuille. Ces éléments laissent penser que le parcours présumé de l’attaque a traversé plusieurs secteurs des activités de Binance avant que le transfert de cryptomonnaies ne soit rendu possible.

L’incident montre comment une fonctionnalité technique peut intervenir dans un vol sans pour autant en avoir constitué le point d’entrée initial. Teng a déclaré que les attaquants avaient circulé dans les systèmes internes avant d’exploiter une fonctionnalité d’Ethereum le 29 octobre, après que Binance eut suspendu les retraits. Le récit disponible ne détaille pas toutes les étapes techniques entre l’accès interne signalé et la transaction du portefeuille, d’où l’importance de l’examen indépendant promis pour mieux comprendre les faits.

Le rôle de l’EIP-7702 dans le vol

La fonctionnalité d’Ethereum identifiée par les chercheurs est l’EIP-7702, une mise à niveau de mai 2025 qui permet aux portefeuilles classiques d’emprunter du code de contrat intelligent. Selon Gizmodo, cette fonctionnalité a joué un rôle dans l’attaque. Blockaid, une société spécialisée dans la sécurité des blockchains, a découvert que l’attaquant avait regroupé 50 autorisations signées dans une seule transaction. Ce mécanisme aide à comprendre comment la fonctionnalité a été utilisée, mais ne prouve pas à lui seul que la mise à niveau comporte une faille.

L’effet signalé a été un transfert rapide des fonds, même après la suspension des retraits par Binance. Teng a déclaré que, sur Ethereum, un portefeuille avait perdu environ 167 464 ETH et 1,6 milliard de dollars en Tether. Un compte rendu détaillé de l’incident indique que Binance a révoqué la délégation près de quatre heures plus tard. Ces chiffres décrivent les actifs du portefeuille mentionné et le délai avant cette révocation ; ils ne doivent pas être interprétés comme un bilan complet des pertes ou des fonds récupérés.

Derek Chiang, chercheur chez Ethlabs, a affirmé que l’EIP-7702 n’était pas défectueuse, tout en reconnaissant qu’elle avait rendu le vol plus rapide et plus efficace. Cette distinction est importante : une fonctionnalité peut offrir des capacités utiles tout en influant sur le déroulement d’une exploitation lorsque les attaquants obtiennent l’autorisation nécessaire. La source n’établit pas que les utilisateurs ordinaires de cette mise à niveau aient été ciblés, ni ne relève de défaut dans la fonctionnalité elle-même.

Ce que l’incident révèle sur les risques liés à la conservation

Ce récit soulève une question distincte : qui peut signer les transactions et comment ces systèmes de signature sont protégés. Teng a déclaré que les attaquants avaient accédé au système autorisant les transactions des portefeuilles, tandis que l’analyse de Chiang met l’accent sur la manière dont la fonctionnalité a été utilisée plutôt que sur un défaut inhérent. Si un examen indépendant confirme la compromission des signataires, la préoccupation centrale concernerait la conception du système de conservation des actifs de la plateforme d’échange, et non la simple présence de l’EIP-7702.

Cette distinction est importante pour les clients des plateformes d’échange, car les systèmes de conservation déterminent la manière dont les actifs détenus sur une plateforme sont autorisés à être transférés. Selon la source, les utilisateurs de portefeuilles compatibles avec EIP-7702, notamment MetaMask, n’ont pas à paniquer, mais cette assurance reflète le point de vue de Chiang, et non les conclusions de l’examen indépendant promis. Le récit ne fournit aucun élément indiquant que ces utilisateurs de portefeuilles ont été exposés aux mêmes risques que le système de signature de Binance.

Dans la description de Teng, les outils d’IA font partie du parcours emprunté par les attaquants dans l’environnement interne de Binance et ont été utilisés dans le cadre de la campagne. Leur présence apporte des précisions sur la séquence rapportée, mais la source n’indique pas précisément comment l’IA a été utilisée et ne dit pas qu’elle a, à elle seule, provoqué la violation. La leçon pratique que l’on peut tirer de ce récit reste limitée : les outils internes et les voies d’accès ont joué un rôle dans le déroulement de l’attaque et méritent d’être examinés de près.

Mesures de rétablissement et questions en suspens

Binance affirme avoir reconstitué 98 % des actifs concernés, reconstruit son système de portefeuilles, remplacé des appareils et révoqué les identifiants associés. Ces mesures témoignent d’une réponse visant à la fois à rétablir les actifs concernés et à modifier ou supprimer des éléments liés à l’environnement compromis. La source n’explique pas comment le montant reconstitué a été calculé, ne précise pas le montant restant concerné et ne donne pas de calendrier pour l’achèvement de l’ensemble des opérations de rétablissement.

L’entreprise affirme également collaborer avec les autorités chargées de l’application de la loi et des partenaires du secteur pour tracer les fonds volés et les geler. Ce travail est distinct de la reconstitution des actifs : le traçage et le gel supposent de localiser les fonds et peuvent nécessiter une intervention, tandis que la reconstitution rapportée décrit une mesure prise par Binance elle-même. Le récit disponible ne précise pas quel montant, le cas échéant, des cryptomonnaies volées a été gelé ou récupéré grâce à ces efforts conjoints.

L’examen indépendant reste un point essentiel de l’affaire qui n’a pas encore été éclairci. Teng en a promis un, et ses conclusions pourraient préciser si les attaquants ont compromis un système de signature ou si une faille dans EIP-7702 lui-même a joué un rôle. Ces hypothèses désigneraient différentes sources de risque, mais aucune n’est établie à ce stade. Tant que l’examen n’aura pas apporté davantage de précisions, les éléments disponibles invitent à la prudence avant d’imputer la responsabilité à la seule fonctionnalité Ethereum ou à la seule conservation des actifs par la plateforme d’échange.

Source : BeInCrypto