Un faux exercice de recrutement a permis aux attaquants d'atteindre les systèmes de signature des portefeuilles de Binance, dans une campagne qui a abouti à un vol de 6,34 milliards de dollars, selon le rapport initial sur l'incident publié par la plateforme le 3 novembre et relayé par SecurityWeek. Les ordinateurs de trois ingénieurs ont été compromis pendant plusieurs mois, et un outil interne d'intelligence artificielle a contribué à l'extension de l'intrusion dans les systèmes de l'entreprise.
Les clients ont depuis retrouvé un accès large aux retraits, a déclaré le co-PDG Richard Teng le 3 novembre, après que Binance a commencé à les rétablir progressivement le 1er novembre. M. Teng a également indiqué que 98 % des jetons touchés avaient été reconstitués. Environ 2,85 milliards de dollars d'actifs volés ont été gelés ou interceptés.
Le compte rendu de Binance décrit une succession de compromissions impliquant des téléchargements de logiciels, de faux recruteurs et des identifiants de déploiement volés. Les attaquants ont finalement obtenu un accès leur permettant d'autoriser des transferts, notamment au moyen d'autorisations sur la blockchain qui sont restées effectives après la suspension des retraits par la plateforme.
Un exercice de recrutement devient une porte d'entrée
La première étape identifiée par Binance remonte à juin. Un ingénieur chargé du développement et de l'exploitation des portefeuilles a cherché en ligne un outil populaire de programmation assistée par IA et a téléchargé une version modifiée de Homebrew, un outil d'installation de logiciels.
Binance a détecté cette compromission, remplacé l'ordinateur et réinitialisé les identifiants associés. À ce moment-là, cependant, les intrus avaient déjà pris connaissance du travail de l'ingénieur et de ses relations au sein de l'équipe d'infrastructure des portefeuilles.
Un second ingénieur a été ciblé en septembre. Une personne se présentant comme directeur de projet a organisé deux entretiens pour un poste dans une entreprise qui n'existait pas. Le premier intervieweur se faisait passer pour un représentant des ressources humaines et utilisait un profil sur un réseau social, orné de photos et de vidéos personnelles, pour gagner sa confiance.
Le recruteur suivant affirmait être le PDG de l'entreprise. Cet échange, mené via une application de messagerie, a conduit à une demande visant à ce que l'ingénieur télécharge un exercice de programmation sur son poste de travail.
La mise en place de cet exercice a déclenché un code malveillant contenu dans son dépôt, c'est-à-dire l'ensemble des fichiers du prétendu projet. La charge utile a remplacé un composant légitime d'un outil de développement par une version fournie par les attaquants et a établi une communication avec leur serveur. Binance a qualifié la menace de « logiciel malveillant 0-day » et a indiqué que le logiciel de sécurité du poste n'avait pas réussi à la détecter à ce moment-là.
Le 20 octobre, les intrus ont utilisé ce poste compromis, avec un outil interne d'IA, pour prendre le contrôle des ordinateurs du premier ingénieur et d'un troisième ingénieur chargé des portefeuilles, bien que Binance n'ait pas décrit le rôle précis de cet outil.
Le poste du premier ingénieur contenait un jeton d'autorisation permettant de déployer des conteneurs, c'est-à-dire des paquets logiciels destinés à être exécutés. Le 29 octobre, les attaquants ont accédé à l'ordinateur du troisième ingénieur et ont utilisé les identifiants volés au premier pour lancer un conteneur et exécuter un script malveillant.
Les autorisations sur la blockchain ont survécu à l'arrêt des retraits
Binance attribue les mouvements de XRP, SOL, OP et BTC depuis ses portefeuilles chauds, c'est-à-dire ceux utilisés pour les transactions en ligne, à un accès non autorisé à un service interne qui signe les opérations des portefeuilles.
Ce service a également permis d'exploiter le mécanisme EIP-7702 d'Ethereum. Les attaquants ont accordé à un contrat qu'ils contrôlaient une autorité partielle pour exécuter des actions via un portefeuille chaud. Ces autorisations ayant été enregistrées sur la blockchain, elles ont continué de fonctionner indépendamment des systèmes de retrait de Binance. Suspendre les retraits des clients ne pouvait donc pas empêcher tous les mouvements non autorisés d'actifs.
Le portefeuille concerné reposait sur le calcul multipartite, ou MPC, qui répartit les opérations cryptographiques entre plusieurs parties. Binance a expliqué que cela signifiait qu'elle ne disposait pas d'une clé unique permettant de révoquer immédiatement la délégation d'autorité. La dernière transaction non autorisée a été réglée à 23 h 56 UTC ; la délégation a été supprimée peu après minuit.
La plateforme s'est excusée auprès de ses utilisateurs, de ses partenaires et de l'ensemble du secteur pour la perturbation et l'incertitude causées. Elle a également indiqué avoir bloqué 57 menaces soupçonnées d'être liées à la Corée du Nord cette année.
Le FBI a imputé le vol à TraderTraitor, un groupe de piratage parrainé par l'État nord-coréen. La Corée du Nord a rejeté cette accusation : dans une déclaration relayée par les médias d'État, Kim Yo Jong, sœur du dirigeant Kim Jong Un, a qualifié l'accusation de provocation politique et a affirmé que les États-Unis attribuaient à tort des cybercrimes au pays.
Récupération et vérification des réserves
Elliptic indique que les actifs volés ont transité par environ 12 000 portefeuilles répartis sur onze blockchains en moins de quatre jours. Son analyse a relevé une automatisation, mais aucun élément n'indiquait que des agents d'IA décidaient de la manière de blanchir les fonds. Environ 3,18 milliards de dollars restaient dans des adresses liées au vol au 3 novembre.
Chainalysis a signalé séparément qu'un arrêt d'urgence temporaire de THORChain, causé par un problème technique sans rapport, avait ralenti le blanchiment.
Binance a indiqué avoir reconstruit le système de portefeuilles concerné et l'outil interne d'IA, remplacé les ordinateurs et révoqué les identifiants et jetons des ingénieurs. Des cabinets de sécurité indépendants sont sollicités pour examiner l'incident, et la plateforme prépare un fonds de recherche sur la sécurité de l'IA dans les environnements blockchain.
Pour les clients qui souhaitent vérifier la couverture de leurs actifs, Binance a achevé une preuve à divulgation nulle de connaissance, c'est-à-dire une vérification cryptographique, pour son instantané des réserves du 31 octobre. Les détenteurs de dix principaux jetons peuvent l'utiliser pour vérifier que leurs soldes sont couverts au moins à 1:1.
