Cet article a été compilé et organisé par BlockWeeks
Binance a publié son premier rapport d'enquête sur l'incident de sortie d'actifs numériques d'environ 6,34 milliards de dollars survenu le 29 octobre. Le rapport reconstitue une chaîne d'attaque s'étendant sur quatre mois : le point d'entrée était une installation logicielle falsifiée en juin, tandis que la percée décisive fut un faux entretien d'embauche soigneusement conçu en septembre.
Juin : le téléchargement d'un « outil de programmation IA » a semé les graines
Selon Binance, un ingénieur DevOps de portefeuille a téléchargé en juin un package d'installation Homebrew falsifié en cherchant un certain outil de programmation IA. Binance a ensuite découvert des signes de compromission sur cette machine, a remplacé l'appareil de l'ingénieur et réinitialisé les identifiants. Cependant, la plateforme a reconnu que cet ingénieur, ainsi que d'autres collègues de l'équipe d'infrastructure des portefeuilles, avaient déjà été exposés à la vue des attaquants à ce moment-là.
Septembre : un recruteur se faisant passer pour un « directeur de projet »
En septembre, un deuxième ingénieur a été contacté sur une plateforme d'emploi par une personne se présentant comme un « directeur de projet ». Cette personne a d'abord organisé un entretien vidéo avec un prétendu représentant des ressources humaines, puis a déplacé le deuxième tour vers une application de chat social, où l'interlocuteur prétendait diriger une entreprise qui n'existait pas, et a finalement demandé à l'ingénieur de télécharger un « devoir » sur l'ordinateur fourni par l'entreprise — ce dépôt de code était lui-même un logiciel malveillant.
Binance a déclaré que ce logiciel malveillant zero-day n'avait pas été détecté par ses outils de sécurité des points terminaux à l'époque.
20 octobre : les outils IA internes sont devenus un tremplin
Binance a déclaré que le 20 octobre, les attaquants ont utilisé l'ordinateur du deuxième ingénieur et un ensemble d'outils IA internes pour prendre le contrôle des comptes des premier et troisième ingénieurs, et ont trouvé un jeton de déploiement de conteneur sur la machine du premier ingénieur.
29 octobre : cinq portefeuilles chauds vidés en quatre minutes
Le 29 octobre, les attaquants ont utilisé des identifiants volés pour se connecter à l'ordinateur du troisième ingénieur, déployer des conteneurs et exécuter des scripts malveillants.
Binance a révélé qu'entre 20h05 et 20h09 UTC, cinq portefeuilles chauds ont transféré 233,46 millions de XRP vers des adresses contrôlées par les attaquants ; les portefeuilles chauds Solana et Optimism ont perdu respectivement environ 970 500 SOL et 44,2 millions d'OP. Par la suite, un portefeuille chaud a transféré 18 270 BTC supplémentaires.
Ensuite, les attaquants ont utilisé un service de signature interne et exploité la fonctionnalité Ethereum EIP-7702 (qui permet à un portefeuille de déléguer certaines permissions de transaction à un contrat) pour accorder à un contrat contrôlé par les attaquants des permissions partielles sur un portefeuille chaud au moyen de 50 transactions signées.
Le MPC a sauvé la situation, mais la coupure s'est faite avec un demi-temps de retard
Étant donné que le portefeuille utilisait une architecture de calcul multipartite (MPC), aucune clé privée unique ne pouvait révoquer ces délégations ; l'équipe de Binance a donc dû construire à la volée un processus de remédiation dédié, ce qui a allongé le temps nécessaire. Le dernier transfert non autorisé était de 2 961,9 ETH, qui a obtenu sa confirmation finale à 23h56 UTC ; Binance n'a effacé les délégations concernées qu'à 00h10 le 30 octobre.
Reconstruction, audit et approche d'indemnisation
Binance a déclaré avoir reconstruit les systèmes de portefeuille affectés et les outils IA internes, remplacé les appareils concernés et désactivé les identifiants au nom des ingénieurs impliqués. La plateforme prévoit également de faire appel à un examen indépendant par un tiers et de créer un fonds de recherche sur la sécurité, tout en précisant que certains détails techniques resteront confidentiels.
Concernant l'indemnisation des actifs, Binance a déclaré qu'au 31 octobre, 98 % des actifs en jetons affectés avaient été reconstitués. Cependant, les chiffres de ses propres mises à jour sur l'avancement de la récupération étaient inférieurs : 90 % le 31 octobre et environ 95 % le 2 novembre.
