Le 4 novembre, CZ a publié un message sur X en réponse à l’incident de sécurité de Binance, survenu le 29 octobre et révélé le 30, qui a entraîné le vol de 6,3 milliards de dollars.
« Une attaque de cette ampleur signifie qu’il y a eu une grave faille de sécurité. Aucune plateforme n’est absolument sûre, mais cela ne peut pas servir d’excuse. »
Il a également employé deux expressions : « grave défaillance de sécurité » et « embarrassant ». Cinq jours après l’incident, le fondateur qualifiait ainsi les défenses de sa propre plateforme, sans rejeter la responsabilité sur le nouveau mécanisme EIP-7702.
Reconnaître ses torts tout en apportant des nuances, dans le même passage
Les propos de CZ comportent deux jugements qui coexistent et sont tous deux indispensables.
La première étape consiste à reconnaître ses torts. « Chaque incident de sécurité révèle une vulnérabilité qui aurait dû être évitée. »
La deuxième consiste à préciser le contexte. Il ajoute que l’explication publique « simplifiait une attaque qui semble avoir duré plusieurs mois, voire jusqu’à un an, et visé des centaines d’employés et de systèmes, alors que seuls quelques systèmes ont finalement été compromis ».
Il reconnaît ses torts sans détour et précise clairement le contexte. Il admet que les défenses ont été franchies, tout en expliquant leur étendue et la profondeur de l’attaque : ces deux choses ne sont pas contradictoires. La première relève de l’attitude, la seconde des faits.
Le rapport préliminaire a été publié et concorde avec la description de CZ
Il faut rectifier une erreur de chronologie précédente : l’analyse technique de Binance n’est pas « encore à venir ». Le 3 novembre, heure locale, Binance avait déjà publié un rapport d’enquête préliminaire. Le message de CZ, publié le lendemain, est donc postérieur au rapport.
Les principaux détails du rapport concordent avec la description de CZ, selon laquelle l’attaque a visé des centaines d’employés et de systèmes et a duré plusieurs mois : attaque de la chaîne d’approvisionnement en juin, implantation d’un logiciel malveillant zero-day au moyen de fausses offres d’emploi en septembre, extension du contrôle à l’aide d’un outil d’IA interne le 20 octobre, puis compromission des opérations de signature des portefeuilles le 29 octobre. Des actifs ont été transférés successivement depuis cinq portefeuilles chauds, puis une délégation malveillante a été mise en place au moyen d’EIP-7702.
Le FBI a déclaré que la Corée du Nord était responsable de cet incident. Binance affirme avoir reconstruit les systèmes touchés, remplacé les appareils et réservé plus de 100 % des fonds nécessaires. Les actifs en jetons concernés ont été reconstitués à hauteur de 98 %.
Les exigences « en tant qu’actionnaire »
CZ a écrit explicitement : « En tant qu’actionnaire, je souhaite que Binance explique publiquement et en toute transparence ce qui s’est passé, assume ses responsabilités, tire les leçons de toutes les critiques et apporte des améliorations concrètes et efficaces. »
Les quatre exigences — transparence, responsabilité, apprentissage et amélioration — peuvent toutes être vérifiées. Le rapport préliminaire constitue un premier pas vers la transparence, et la préparation de 6,34 milliards de dollars, un premier pas vers la prise de responsabilité. La mise en place éventuelle d’un examen indépendant par un tiers et la concrétisation d’un fonds de recherche en sécurité permettront de mesurer les « améliorations ».
Les chiffres concernant les montants gelés varient selon les sources : dans son communiqué du 30 octobre, Binance indiquait avoir gelé environ 3 milliards de dollars ; le rapport préliminaire a ensuite révisé ce chiffre à environ 2,85 milliards de dollars gelés ou interceptés ; d’autres informations ont fait état d’un montant qui aurait par la suite atteint 5 milliards de dollars. Un gel ne signifie pas un remboursement, mais l’ordre de grandeur ne change pas la nature fondamentale de l’incident.
Avertissement : ce contenu est fourni à titre indicatif uniquement. Veuillez effectuer vos propres recherches.