Selon Ido Ben-Natan, co-fondateur et PDG de Blockaid, le piratage présumé de Binance, qui a entraîné le vol de plus de 2,5 milliards de dollars en cryptomonnaies, pourrait ne pas avoir été le résultat d’un vol de clés privées, mais plutôt d’une manipulation des signatures de transaction de l’échange. Dans un entretien avec Cointelegraph, Ben-Natan a indiqué qu’une évaluation préliminaire de Blockaid évoquait la ‘mauvaise utilisation’ de clés, où des attaquants réussissent à manipuler ou à compromettre un système de signature, autorisant ainsi des transactions malveillantes sans besoin d’extraire la clé privée sous-jacente.
Analyse des mécanismes de l’attaque
Ben-Natan a ajouté qu’il semblait s’agir d’une compromission de l’infrastructure de signature et que, selon lui, aucune clé n’avait été divulguée. Cette analyse préliminaire repose sur des expériences passées avec des attaques similaires. Binance n’a pas encore confirmé la méthode précise permettant aux hackers de réaliser ce vol monumental. Miguel Morel, PDG d’Arkham, a également souligné qu’il était trop tôt pour déterminer si l’attaque impliquait des clés volées ou une infrastructure compromise, notant que le piratage pourrait encore être en cours.
Analyse de Blockaid sur l’attaque
Dans une analyse de la chaîne, Blockaid a révélé que l’attaquant avait regroupé 50 autorisations EIP-7702 dans une seule transaction ciblant Binance 14. Une de ces autorisations correspondait au nonce requis du compte, lui permettant d’être acceptée. L’EIP-7702 permet à un compte de déléguer l’exécution à un code de contrat intelligent. Blockaid a signalé que le compte affecté avait été délégué à un contrat de balayage non vérifié, qui permettait à un opérateur désigné de vider des tokens et de l’Ether. Ben-Natan a ajouté que l’opération avait pu impliquer plusieurs appareils compromis et des mouvements à travers le réseau de l’échange, bien que cela reste à confirmer.
Comparaison avec l’attaque de Bybit
Interrogé sur les similitudes entre la manipulation de signature suspectée et l’attaque de Bybit survenue en février 2025, Ben-Natan a décrit les incidents comme ‘très, très similaires’. Dans le cas de Bybit, une mise à jour médico-légale avait révélé que des attaquants avaient compromis les identifiants d’un développeur de Safe, accédant ainsi à l’infrastructure du fournisseur de portefeuille et trompant les signataires pour approuver une transaction malveillante. Selon Ben-Natan, les activités observées dans le cas de Binance ressemblent à des opérations souvent associées à des attaquants cybernétiques nord-coréens, en raison de la sophistication des préparations sur la chaîne.