Binance a déclaré le 3 novembre que des pirates ont utilisé de faux entretiens d'embauche, des logiciels malveillants et un outil d'IA interne compromis pour accéder à ses systèmes de portefeuille et voler 6,34 milliards de dollars le 29 octobre.
Résumé
- Les attaquants ont utilisé des ordinateurs d'employés compromis et des identifiants de déploiement volés pour atteindre l'infrastructure de signature de portefeuille de Binance.
- Des autorisations Ethereum malveillantes ont permis aux transferts de se poursuivre après que Binance a suspendu ses services de retrait normaux.
- Binance affirme qu'environ 2,85 milliards de dollars ont été gelés ou interceptés, les pertes des clients étant couvertes.
- Les experts s'attendent à une demande accrue de garanties de conservation, tout en avertissant que les plateformes réglementées restent exposées à des risques.
Selon le rapport d'incident initial de Binance, l'attaque s'est développée sur plusieurs mois, combinant tromperie des employés, logiciels compromis et accès non autorisé à travers les systèmes internes.
La plateforme d'échange a déclaré avoir reconstitué 98 % des actifs en jetons affectés au 31 octobre et achetait les cryptomonnaies restantes, moins liquides. Le PDG Richard Teng a déclaré que les retraits avaient largement repris et que les utilisateurs ne subiraient aucune perte.
Les attaquants de Binance sont passés des outils de développement aux systèmes de portefeuille
Le rapport retrace une première rencontre en juin, lorsqu'un ingénieur DevOps de Wallet a téléchargé une installation Homebrew falsifiée en cherchant un outil de codage IA. Le personnel de sécurité a détecté l'anomalie, remplacé l'appareil et renouvelé les identifiants associés.
Cependant, Binance a déclaré que cette rencontre avait exposé le rôle de l'ingénieur et de ses collègues travaillant sur l'infrastructure de portefeuille.
En septembre, un second ingénieur a été approché via une plateforme de recrutement légitime par une personne se faisant passer pour un directeur de projet. Un entretien vidéo avec un prétendu représentant des ressources humaines a été suivi d'un autre entretien avec le prétendu PDG d'une société fictive.
Vers la fin, l'ingénieur a reçu l'instruction de télécharger un dépôt de devoir sur un ordinateur professionnel. Un code malveillant s'est exécuté lors de l'installation, remplaçant l'outil de développement légitime pyenv par une version compromise.
Binance a décrit le logiciel malveillant comme n'ayant jamais été détecté auparavant par ses outils de sécurité des points terminaux et a déclaré qu'il dissimulait son activité et effaçait ses traces.
Le 20 octobre, l'attaquant a utilisé l'ordinateur compromis et un outil d'IA interne pour prendre le contrôle des ordinateurs de deux ingénieurs de portefeuille. L'un d'eux détenait un jeton de déploiement de conteneur.
Quelques jours plus tard, le 29 octobre, l'attaquant a utilisé ces identifiants volés pour déployer un conteneur et exécuter un script malveillant qui a atteint les opérations de signature de portefeuille.
Les autorisations Ethereum ont maintenu les transferts en cours après l'arrêt des retraits
Entre 20h05 et 20h09 UTC le 29 octobre, cinq portefeuilles chauds de Binance ont transféré 233,46 millions de XRP vers une adresse contrôlée par l'attaquant, selon le rapport. D'autres portefeuilles ont envoyé environ 970 500 SOL, 44,2 millions d'OP et 18 270 BTC.
L'attaquant a ensuite utilisé le service de signature pour établir des autorisations malveillantes via le mécanisme EIP-7702 d'Ethereum, qui permet à un portefeuille de déléguer l'exécution à du code de contrat intelligent.
Des conclusions antérieures sur l'attaque de portefeuille ont expliqué comment l'attaquant a utilisé la fonctionnalité EIP-7702 d'Ethereum pour donner à un contrat intelligent malveillant l'autorisation de déplacer des fonds depuis le portefeuille chaud de Binance connu sous le nom de Binance 14.
Binance a déclaré que la suspension des retraits ne pouvait pas invalider les autorisations déjà établies sur Ethereum. Son portefeuille à calcul multipartite nécessitait une procédure spécialisée pour les révoquer, car aucune clé privée unique n'était disponible pour une révocation immédiate.
Le dernier transfert non autorisé, portant sur 2 961,9 ETH, a été finalisé à 23h56 UTC après avoir été précédemment diffusé et être resté en attente. Binance a effacé la délégation de Binance 14 à 00h10 UTC le 30 octobre.
Dans une alerte du 31 octobre, le FBI a attribué le vol à l'activité TraderTraitor de la Corée du Nord. L'agence a déclaré qu'elle collaborait avec le Secret Service américain et les enquêtes criminelles de l'IRS et a exhorté les fournisseurs de services à bloquer les transactions liées aux adresses identifiées.
Les experts s'attendent à ce que l'adoption se poursuive, avec un accent sur les protections de garde
Joe Sticco, cofondateur et PDG de Cryptex Finance, a déclaré à crypto.news qu'il ne s'attendait pas à ce que l'incident cause un revers de plusieurs années pour l'adoption.
Il a cité les actions de Tether, Circle et des protocoles DeFi pour geler les actifs concernés comme preuve que les acteurs de l'industrie pouvaient se coordonner lors de perturbations majeures. Sticco s'attend à ce que l'incident puisse accroître la demande pour des plateformes d'échange réglementées et des pratiques de garde plus solides, y compris le stockage à froid.
James Butterfill, responsable de la recherche chez CoinShares, a souligné les protections juridiques attachées à la garde.
« L'incident met en évidence pourquoi le cadre juridique régissant la garde importe. MiCA offre des garanties matériellement plus fortes pour les clients d'entités agréées telles que Coinbase Luxembourg, y compris la ségrégation des actifs des clients et la responsabilité pour les pertes de garde causées par des incidents imputables au fournisseur », a déclaré Butterfill à crypto.news.
« Ces protections renforcent la responsabilité, mais l'autorisation ne peut pas empêcher chaque piratage, protéger les investisseurs contre les pertes de marché ou fournir un régime général d'indemnisation des investisseurs. »
Butterfill a ajouté que la garde de crypto réglementée offre des protections plus solides sans rendre les avoirs équivalents à des dépôts bancaires couverts par un régime de garantie des dépôts.
Binance reconstruit les systèmes affectés et commande des examens
Binance a déclaré qu'environ 2,85 milliards de dollars avaient été gelés ou interceptés, sous réserve de rapprochement et de variations des prix du marché. Son engagement de récupération antérieur allouait plus que la perte totale estimée au remplacement des actifs concernés.
La plateforme d'échange a déclaré avoir reconstruit l'environnement de portefeuille affecté et l'outil d'IA interne, remplacé les appareils compromis, décommissionné les identifiants et analysé les appareils des employés.
Binance fait appel à des entreprises indépendantes de cybersécurité pour examiner l'incident et prévoit d'augmenter ses dépenses en matière de sécurité des développeurs, de protection des points de terminaison et de surveillance comportementale.
