Binance a publié le 3 novembre son premier rapport détaillé sur le vol d’environ 6,34 milliards de dollars depuis ses portefeuilles chauds le 29 octobre, le plus grand vol de cryptomonnaies jamais enregistré. Selon la plateforme, il ne s’agit ni d’un simple clic ni d’une clé privée divulguée : c’était une campagne de plusieurs mois combinant un installateur falsifié, un faux entretien d’embauche et le détournement d’un outil interne d’intelligence artificielle.
De l’installateur falsifié au faux entretien
Tout a commencé en juin, lorsqu’un ingénieur DevOps à la recherche d’un outil d’IA pour programmer a installé une version falsifiée du gestionnaire de paquets Homebrew. L’équipe de sécurité a détecté le problème, remplacé l’ordinateur portable et fait tourner les identifiants concernés — mais les attaquants sont revenus en septembre par un autre chemin.
En septembre, les attaquants ont mis en scène le faux entretien : une personne se faisant passer pour une directrice de projet a contacté un ingénieur logiciel sur une plateforme d’emploi légitime. Après un entretien vidéo avec une prétendue représentante RH puis un second tour avec quelqu’un se présentant comme le PDG d’une entreprise inexistante, l’ingénieur a téléchargé un « exercice » de programmation sur son ordinateur professionnel. L’installation a remplacé l’outil de développement pyenv par une copie malveillante communiquant avec un serveur des attaquants.
L’outil interne d’IA et le vol
Le 20 octobre, les attaquants ont utilisé un outil interne d’IA de Binance pour prendre le contrôle des ordinateurs de deux autres ingénieurs. Le 29, depuis l’ordinateur d’un troisième ingénieur et avec des identifiants volés, ils ont déployé un conteneur et exécuté un script qui a atteint le service interne de signature des retraits. Avec une cinquantaine de transactions de signature, ils ont manipulé des nonces et utilisé le mécanisme EIP-7702 d’Ethereum pour déléguer des droits d’exécution à un contrat qu’ils contrôlaient — sans avoir besoin de la clé privée, le portefeuille reposant sur le calcul multipartite (MPC).
Le 31 octobre, le FBI a attribué le vol au groupe TraderTraitor, lié à la Corée du Nord — une attribution que Pyongyang a niée. Binance a déclaré qu’environ 2,85 milliards de dollars avaient été gelés ou interceptés avec l’aide des autorités et de partenaires, et que 98 % des actifs concernés avaient été reconstitués au 31 octobre, sans perte pour les clients. L’entreprise a aussi affirmé avoir bloqué 57 autres tentatives présumées de pirates nord-coréens cette année.
Ce que le rapport n’explique pas encore
Le rapport reste préliminaire : Binance n’a divulgué ni la famille du logiciel malveillant ni les hachages, domaines ou adresses IP des étapes sur les postes, et l’analyse technique complète reste en attente, en cours d’examen par des sociétés indépendantes. Les détails du chemin d’attaque doivent donc être lus comme la version de Binance elle-même, partiellement corroborée par des analyses indépendantes d’entreprises comme TRM Labs et Reversing Labs.
Mise à jour : cet article actualise la couverture précédente de Geekiki sur l’affaire — Binance diz que fundos estão seguros após ataque de US$ 6,3 bi, Binance diz ter reposto 90% dos ativos e mantém saques para 1º de novembro et Binance reabre saques em fases a partir da rede Bitcoin após roubo de US$ 6,3 bilhões — avec les informations nouvelles du rapport du 3 novembre.
Crédit image : logo de Binance (BNB), via Wikimedia Commons, à partir de matériel officiel de Binance.
Sources : FinanceFeeds, Reversing Labs, ten10, CoinDesk. Binance a également partagé le rapport sur son compte X le 3 novembre.
Transparence : cet article a été produit avec l’aide de l’intelligence artificielle, en croisant des publications publiques sur X et des sources d’internet. Consultez toujours les sources originales citées.
Muse
