La plateforme d’échange de cryptomonnaies Binance a révélé mardi qu’une cyberattaque sophistiquée menée sur plusieurs mois avait entraîné le vol de 6,34 milliards de dollars de ses portefeuilles chauds le 29 octobre. Selon un rapport officiel sur l’incident, les attaquants ont combiné ingénierie sociale, tactiques de recrutement trompeuses, logiciels malveillants non détectés et outil d’intelligence artificielle interne compromis pour s’introduire dans l’infrastructure de signature de la plateforme. Malgré cette intrusion massive, Binance a annoncé avoir reconstitué 98 % des actifs en jetons concernés au 31 octobre, garantissant que les fonds des clients restent entièrement couverts et que les retraits ont largement repris, sans perte pour les utilisateurs.

L’intrusion a commencé en juin, lorsqu’un ingénieur DevOps a exposé sans le savoir des détails sur l’infrastructure des portefeuilles après avoir téléchargé un fichier d’installation altéré. Exploitant cette faille, les attaquants ont lancé une campagne d’ingénierie sociale ciblée en septembre. Se faisant passer pour des responsables du recrutement sur un réseau professionnel, les pirates ont mené de faux entretiens d’embauche avec un deuxième ingénieur et ont demandé à cet employé de télécharger un dépôt contenant un exercice, dans lequel se trouvait un logiciel malveillant indétecté. Une fois exécuté, le code malveillant a compromis discrètement l’ordinateur de travail, permettant aux auteurs de l’attaque d’utiliser un outil d’IA interne le 20 octobre pour prendre le contrôle des postes de travail de deux ingénieurs spécialisés dans les portefeuilles et obtenir des identifiants clés de déploiement de conteneurs.

Le 29 octobre, les auteurs de l’attaque ont déployé un script malveillant pour accéder aux opérations de signature des portefeuilles et orchestrer des transferts rapides de Bitcoin, Solana, XRP et Optimism. Les attaquants ont également manipulé le mécanisme de délégation EIP-7702 d’Ethereum afin d’accorder des autorisations d’exécution à des contrats intelligents externes. Cela a permis aux transferts non autorisés de se poursuivre même après que Binance eut suspendu les services de retrait habituels. Comme les portefeuilles à calcul multipartite ne possèdent pas de clé privée unique, les équipes techniques ont dû recourir à des procédures spécialisées pour révoquer les délégations, opération achevée au début du 30 octobre.

Le Federal Bureau of Investigation a attribué l’attaque au groupe de menaces TraderTraitor, parrainé par l’État nord-coréen, et collabore avec les forces de l’ordre fédérales pour retracer et bloquer les actifs volés à travers les réseaux internationaux. Binance a confirmé qu’environ 2,85 milliards de dollars de fonds volés avaient déjà été gelés ou interceptés grâce à la coordination du secteur avec des entités comme Tether et Circle. En réponse, la plateforme d’échange a entièrement reconstruit son environnement de portefeuilles, désactivé les identifiants compromis et commandé des audits indépendants de cybersécurité afin de renforcer son infrastructure de sécurité pour l’avenir.