Binance déclare avoir bloqué 57 cybermenaces suspectées d'être liées à la Corée du Nord en 2026 et avoir remplacé 98 % des jetons volés lors de son piratage de 6,34 milliards de dollars.
Résumé
- Binance a détecté des arnaques au recrutement, des outils de développement malveillants et de fausses applications de visioconférence parmi les menaces suspectées.
- Yi He a reconnu le coût sévère de l'attaque qui a contourné les défenses de l'échange.
- L'échange déclare qu'il continue d'acheter des jetons moins liquides pour achever la reconstitution des actifs.
- Les enquêteurs américains ont attribué le vol du 29 octobre à l'activité TraderTraitor de la Corée du Nord.
Le cofondateur et co-PDG de Binance, Yi He, a décrit les tentatives d'intrusion dans une publication sur X du 3 novembre, partageant les conclusions de l'échange sur la faille de sécurité du 29 octobre.
Son compte a décrit des efforts répétés pour atteindre les employés par le biais du recrutement, de téléchargements de logiciels et d'ingénierie sociale. Les techniques comprenaient de faux entretiens d'embauche, des paquets logiciels et extensions de navigateur compromis, et des programmes malveillants présentés comme des outils de développement populaires.
De fausses applications de visioconférence constituaient une autre voie, aux côtés de campagnes conçues pour voler des identifiants ou installer des logiciels malveillants donnant aux attaquants un accès à distance à un ordinateur.
« Nous en avons intercepté beaucoup, mais le coût de ne pas en arrêter un seul a été sévère — et cela n'aurait jamais dû arriver », a écrit Yi.
Binance décrit comment un faux entretien a atteint un employé
Selon les premières conclusions de Binance, un ingénieur logiciel a été approché en septembre via une plateforme de recherche d'emploi légitime par une personne se faisant passer pour un directeur de projet.
Un prétendu représentant des ressources humaines a mené un entretien vidéo et partagé un profil de réseau social contenant des photos et vidéos personnelles. Un second intervieweur, présenté comme le directeur général d'une entreprise fictive, a demandé à l'ingénieur de télécharger un devoir sur un ordinateur de travail.
Binance a déclaré que le devoir contenait du code malveillant qui s'exécutait lors de l'installation et échappait à la détection des outils de sécurité des points terminaux utilisés.
Le 20 octobre, l'attaquant a utilisé l'ordinateur compromis et un outil d'IA interne pour atteindre deux ingénieurs de portefeuille. Les identifiants obtenus lors de cette intrusion ont ensuite permis l'accès aux opérations de signature de portefeuille.
Le compte de l'échange décrit plusieurs étapes d'intrusion, bien que la publication de Yi ne détaille pas combien des 57 cas suspectés impliquaient des leurres de recrutement.
Des conclusions antérieures sur l'autorisation de portefeuille ont retracé une partie du vol jusqu'à Binance 14, un portefeuille chaud Ethereum. Blockaid a identifié 50 autorisations EIP-7702 soumises, dont l'une a réussi à déléguer les droits d'exécution à un contrat malveillant.
Binance rapporte une reconstitution de 98 % alors que les achats de jetons se poursuivent
Dans son rapport du 3 novembre, Binance a déclaré que 98 % des actifs en jetons touchés avaient été reconstitués et qu'elle achetait les actifs restants, moins liquides. L'entreprise a déclaré avoir mis de côté plus que les fonds nécessaires pour couvrir la perte.
Comme crypto.news l'a précédemment rapporté, Binance a rouvert les retraits de Bitcoin le 1er novembre, lorsque Richard Teng a estimé la reconstitution à environ 95 %.
L'échange avait identifié BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD et ZEC comme entièrement garantis. Son avis de rétablissement indiquait que les jetons en suspens hors de ce groupe prenaient plus de temps à acheter dans les quantités requises.
Les achats de remplacement ont puisé dans le Fonds d'actifs sécurisés pour les utilisateurs, les réserves excédentaires du Fonds d'assurance des contrats à terme et la trésorerie d'entreprise de Binance, selon ses précédentes divulgations de rétablissement.
L'accès aux retraits a continué de revenir par actif et par réseau individuels. Le 3 novembre, Binance a rétabli davantage de retraits pour 31 actifs supplémentaires sur Ethereum et 20 sur Solana, après la réouverture de cinq stablecoins Ethereum.
Les enquêteurs américains identifient l'activité TraderTraitor
L'alerte cyber du FBI du 31 octobre a attribué le vol à la Corée du Nord et identifié l'activité comme étant TraderTraitor.
En collaboration avec le Secret Service américain et l'IRS Criminal Investigation, le bureau a observé les attaquants convertir les actifs volés principalement en Ether. Il a indiqué que d'autres blanchiments via la finance décentralisée et des services d'échange instantané étaient attendus.
Les agences ont exhorté les plateformes d'échange, les sociétés d'analyse de blockchain, les services DeFi et les opérateurs d'infrastructure à bloquer les transactions impliquant les adresses listées ou les actifs qui en dérivent.
La Corée du Nord a nié toute implication le 3 novembre. Selon l'Associated Press, Kim Yo Jong a rejeté l'accusation du FBI dans une déclaration relayée par les médias d'État.
Les fonds volés entrent dans des transactions CoinJoin
Un travail de traçage distinct a documenté le mouvement des actifs volés tandis que Binance effectue des achats de remplacement.
Elliptic a identifié environ 28 BTC, d'une valeur de 2,2 millions de dollars, entrant dans 18 transactions CoinJoin entre le 1er novembre et le début du 2 novembre. Les bitcoins provenaient d'actifs volés convertis, tandis que les 18 270 BTC pris directement à Binance restaient sur 19 adresses lors de cette évaluation.
L'enquête de la société a couvert environ 12 000 portefeuilles, 11 blockchains et plus de 40 000 transactions. Les adresses liées au vol détenaient encore environ 3,24 milliards de dollars, principalement en Ethereum et en Bitcoin.
