Binance remonte la piste du vol de 6,34 milliards de dollars jusqu’à une fausse campagne de recrutement de cinq mois

Une intrusion de cinq mois a conduit au vidage des portefeuilles de Binance

Binance affirme que le vol, qu’elle évalue à 6,34 milliards de dollars, a commencé plusieurs mois avant le transfert des actifs. Dans son premier récit public de l’attaque du 29 octobre, la plateforme décrit une campagne associant le téléchargement d’un logiciel compromis à un processus de recrutement mis en scène, à un logiciel malveillant et à l’utilisation abusive d’un outil d’IA interne. Ce récit déplace l’attention d’un seul incident de compromission de portefeuille vers une succession d’étapes qui ont exposé des personnes, des appareils et des identifiants au sein de l’équipe d’ingénierie des portefeuilles.

Selon Binance, le premier point d’entrée remonte à juin, lorsqu’un ingénieur DevOps spécialisé dans les portefeuilles a recherché un outil populaire de programmation assistée par IA et téléchargé un installateur Homebrew modifié. Binance a détecté une anomalie, remplacé l’appareil et renouvelé les identifiants. Mais l’incident a également révélé les responsabilités de l’ingénieur ainsi que les noms de collègues travaillant sur l’infrastructure des portefeuilles. L’entreprise a réagi en s’occupant de l’appareil touché et des détails d’accès ; son récit ultérieur montre toutefois comment cette exposition a pu orienter de nouvelles tentatives de ciblage.

En septembre, une deuxième ingénieure a été contactée via une plateforme d’emploi légitime par une personne se faisant passer pour un directeur de projet. Binance indique que ce contact a été suivi d’entretiens vidéo avec des personnes prétendant représenter les RH et la direction de l’entreprise ; un compte personnel sur les réseaux sociaux a été partagé pour instaurer la confiance. Le prétendu PDG a ensuite confié à l’ingénieure un dépôt de code à installer sur son ordinateur professionnel. Ce processus orchestré a fourni un prétexte crédible au logiciel malveillant pour accéder à un appareil professionnel.

Un processus de recrutement devenu une voie d’accès

Selon Binance, le dépôt remplaçait un composant légitime de pyenv par une version malveillante et ouvrait une connexion à un serveur contrôlé par l’attaquant. Le logiciel malveillant était décrit comme une menace zero-day et n’avait pas été signalé par les outils de protection des terminaux à l’époque. Ce détail met en évidence une faiblesse pratique d’une dépendance exclusive aux alertes conventionnelles des appareils : une tâche de programmation apparemment liée à un emploi pouvait transmettre du code que les protections existantes ne reconnaissaient pas comme hostile. Binance n’a pas divulgué tous les détails techniques de l’intrusion.

Le 20 octobre, les attaquants ont utilisé l’ordinateur compromis et un outil d’IA interne pour atteindre deux autres ingénieurs chargés des portefeuilles, dont l’un détenait un jeton de déploiement de conteneurs. Binance indique que le 29 octobre, les intrus se sont connectés à l’ordinateur d’un troisième ingénieur, ont déployé un conteneur à l’aide d’identifiants volés et ont commencé à détourner des actifs. Cette séquence montre comment un accès obtenu par l’intermédiaire d’un employé peut être étendu grâce aux outils et aux privilèges internes, même si le récit de l’entreprise ne précise pas toutes les interactions entre les systèmes ciblés.

Binance affirme avoir bloqué cette année 57 autres tentatives présumées liées à la Corée du Nord et reposant sur des leurres similaires, mais la plateforme n’a pas elle-même attribué ce vol. Le FBI a imputé l’attaque à la Corée du Nord ; Pyongyang a rejeté cette accusation, Kim Yo Jong la qualifiant de provocation politique dans les médias d’État. Ces versions contradictoires font que la responsabilité reste contestée dans les informations publiques. Le rapport de Binance décrit la méthode et la chronologie sans trancher lui-même la question de l’attribution.

La signature déléguée a prolongé la réponse

Les transferts ont commencé rapidement, le 29 octobre. Entre 20 h 05 et 20 h 09 UTC, cinq portefeuilles chauds ont envoyé 233,46 millions de XRP à une adresse de l’attaquant, puis environ 970 500 SOL et 44,2 millions d’OP depuis des portefeuilles sur Solana et Optimism. Un portefeuille chaud de Binance a ensuite envoyé 18 270 BTC. L’ampleur et la rapidité de ces mouvements montrent pourquoi la réponse ne pouvait se limiter à repérer les identifiants compromis : la plateforme devait aussi interrompre les canaux permettant d’autoriser des transferts sur la chaîne.

Binance indique que les attaquants ont utilisé un service de signature compromis pour invoquer EIP-7702 d’Ethereum, qui permet à un compte de déléguer des droits d’exécution à un contrat intelligent sans exposer sa clé. Un contrat contrôlé par les attaquants a obtenu un contrôle partiel sur un portefeuille chaud de Binance. La suspension des retraits n’a pas fermé cette voie, car les attaquants avaient soumis 50 transactions de signature établissant des délégations sur la chaîne, qui fonctionnaient indépendamment de l’infrastructure de retrait. L’incident a révélé un écart entre les contrôles habituels des retraits et l’exécution déléguée.

Le portefeuille utilisait le calcul multipartite, si bien que, selon Binance, aucune clé unique ne pouvait simplement être révoquée pour annuler les délégations. L’équipe a dû élaborer une procédure pendant l’incident. Le dernier transfert non autorisé, de 2 961,9 ETH, a été confirmé à 23 h 56 UTC ; Binance a révoqué la délégation à 00 h 10 UTC le 30 octobre. L’entreprise a reconnu que cette difficulté avait prolongé le confinement de l’incident et a indiqué qu’elle réexaminait la couverture de ses politiques de signature et les contrôles de ses portefeuilles chauds. Le rapport ne détaille pas la nouvelle procédure.

Récupération, changements de sécurité et questions en suspens

Binance a indiqué avoir gelé ou intercepté environ 2,85 milliards de dollars des actifs volés et avoir réapprovisionné 98 % des jetons concernés sur ses propres fonds, le solde restant étant acheté sur le marché libre. Ces chiffres rendent compte des mesures prises par la plateforme pour récupérer les actifs et dédommager ses clients, et non d’un bilan public complet de la destination finale de chaque actif. L’entreprise a également déclaré que les retraits avaient repris par étapes, et que plusieurs dizaines d’autres actifs répartis sur neuf réseaux étaient de nouveau accessibles mardi, après les restrictions précédentes.

Les flux de clients ont fourni une autre mesure des conséquences immédiates. Binance a déclaré que les utilisateurs avaient retiré 10,97 milliards de dollars au cours des 46 heures suivant la réouverture des retraits dimanche, tandis que les sorties nettes s’élevaient à 5,28 milliards de dollars. À 03 h 00 UTC, les dépôts horaires dépassaient les retraits, une situation que le co-PDG Richard Teng a décrite comme une stabilisation. Ces chiffres indiquent que des retraits importants se sont poursuivis même lorsque le solde horaire est devenu positif ; ils ne permettent pas de savoir comment les utilisateurs se comporteront sur une période plus longue ni si la confiance a été pleinement rétablie.

Binance affirme avoir reconstruit son système de portefeuilles et son outil d’IA interne dans de nouveaux environnements, remplacé les appareils touchés, révoqué les identifiants des ingénieurs et étendu la détection des anomalies comportementales. L’entreprise commande un audit indépendant, augmente ses dépenses consacrées à la sécurité des terminaux et des environnements de développement, et prévoit de créer un fonds de recherche sur la sécurité de l’IA avec des entreprises externes. À Washington, le président de la CFTC, Michael Selig, s’est appuyé sur la brèche pour plaider en faveur d’une procédure fédérale d’enregistrement des plateformes d’échange offshore. Les conclusions de l’audit et les informations techniques plus détaillées de Binance se font encore attendre ; certains détails resteront confidentiels.

Source : BitcoinMagazine