Un devoir de programmation d’un employeur potentiel, qui semblait banal dans le cadre d’un entretien d’embauche, a été une des étapes d’une cyberattaque de plusieurs mois ayant conduit au vol de 6,3 milliards de dollars sur Binance. Cet incident soulève des interrogations sur la façon dont les échanges protègent leurs employés contre des menaces ciblées. Les conclusions de Binance, publiées dans un rapport postmortem, expliquent comment les hackers ont progressivement réussi à accéder à l’infrastructure de portefeuille de la plateforme avant le vol du 29 octobre.
Une attaque coordonnée exploitant des vulnérabilités humaines
Selon le rapport de sécurité de Binance, la campagne d’attaque a débuté en juin, lorsqu’un ingénieur a téléchargé un logiciel compromis alors qu’il configurait un outil de programmation basé sur l’IA. Bien que Binance ait détecté le malware et remplacé l’appareil affecté, les attaquants avaient déjà collecté des informations sur l’équipe de portefeuille de l’échange. En septembre, des individus se faisant passer pour des recruteurs ont ciblé un autre ingénieur, réussissant à le tromper pour qu’il télécharge un fichier malveillant déguisé en devoir de codage, compromettant ainsi son ordinateur de travail et contournant les protections de sécurité de l’échange.
Accès aux systèmes internes et transfert de fonds non autorisé
Le 20 octobre, en utilisant l’ordinateur compromis et un outil interne d’IA, les attaquants ont pu accéder aux systèmes de deux autres ingénieurs, obtenant des informations d’identification permettant d’installer un logiciel malveillant au sein de l’infrastructure de portefeuille de Binance le 29 octobre. Les hackers ont ensuite accédé au service interne de signature de portefeuille de l’échange, autorisant les transactions de cryptomonnaie, ainsi permettant des mouvements de fonds en dehors du processus de retrait normal. Richard Teng, co-CEO de Binance, a souligné qu’il ne s’agissait pas d’une simple erreur ou d’une brèche isolée, mais d’une campagne qui s’est prolongée sur plusieurs mois.
Impact et réponses de Binance
Les attaquants ont également exploité le mécanisme EIP-7702 d’Ethereum, qui permet aux portefeuilles de déléguer des permissions de transaction à des smart contracts, ce qui a rendu les transferts non autorisés possibles même après que l’échange ait suspendu les retraits. Le système de portefeuille basé sur la computation multiparty (MPC) de Binance, qui répartit le contrôle sur la signature des transactions, a compliqué les efforts pour révoquer ces permissions. Cette violation a touché environ 6,3 milliards de dollars d’actifs numériques, avec près de 2,85 milliards de dollars signalés comme congelés ou interceptés, selon les dernières évaluations de Binance. La plateforme a déclaré qu’elle absorberait les pertes plutôt que de les transférer à ses clients, et qu’elle avait déjà remboursé 98 % des actifs de jetons affectés au 31 octobre.