Dans un rapport officiel publié le 3 novembre, la direction de Binance a révélé en détail les causes de l’incident de sécurité majeur au cours duquel des pirates se sont introduits dans la plateforme d’échange et ont dérobé une importante quantité d’actifs.
Une stratégie sophistiquée fondée sur de fausses offres d’emploi
L’attaquant a approché un ingénieur logiciel de Binance sur une plateforme de recrutement légitime, en se faisant passer pour un recruteur et un directeur de projet.
Après avoir instauré un climat de confiance grâce à des entretiens vidéo en ligne où il apparaissait à l’écran, l’imposteur se faisant passer pour le PDG a demandé à l’ingénieur de télécharger un « exercice » de programmation sur son ordinateur professionnel.
Ce fichier contenait en réalité un logiciel malveillant zero-day, encore jamais détecté, qui a permis au pirate de contourner l’ensemble des systèmes de sécurité des terminaux.
Chaîne d’infection et méthode d’intrusion des pirates dans le système de portefeuille
En juin, un autre ingénieur avait déjà installé par inadvertance un paquet logiciel Homebrew modifié contenant un logiciel malveillant, alors qu’il recherchait des outils d’intelligence artificielle.
Le 20 octobre, à partir de l’appareil infecté lors du faux entretien, les pirates ont collaboré avec un outil d’intelligence artificielle interne pour s’infiltrer plus profondément dans les ordinateurs de deux ingénieurs chargés des portefeuilles.
Le 29 octobre, en exploitant les identifiants dérobés, les pirates ont configuré un environnement d’exécution et lancé le logiciel malveillant. Les fonds ont alors commencé à être détournés à partir de 20 h 05 UTC.
Efforts de remédiation et réaction des autorités
La gestion et le traitement de l’incident se sont déroulés dans un climat tendu, de la fin de soirée du 29 octobre jusqu’à 0 h 10 UTC le 30 octobre.
Binance a confirmé avoir gelé environ 2,85 milliards de dollars d’actifs liés à l’incident, avoir récupéré environ 98 % des actifs concernés et a affirmé que les utilisateurs n’avaient subi aucune perte financière.
Alors que le Federal Bureau of Investigation (FBI) des États-Unis a attribué la responsabilité à un groupe de pirates lié à la Corée du Nord, Pyongyang a rejeté ces accusations, les qualifiant de provocation politique.
Binance a indiqué avoir déjoué des dizaines de tentatives d’attaque similaires cette année et s’est engagée à investir davantage dans les technologies de détection des menaces fondées sur l’intelligence artificielle et à collaborer avec des experts indépendants en cybersécurité dans les mois à venir.