Des ingénieurs de Binance dupés par un « faux entretien » de hackers nord-coréens ! Les dessous du vol de 6,3 milliards de dollars
Le 3 novembre, Binance a publié un rapport préliminaire sur l’incident de sécurité du 29 octobre. Celui-ci révèle que des hackers nord-coréens ont infiltré progressivement le processus de signature des portefeuilles en se faisant passer pour des recruteurs, en utilisant des logiciels malveillants et en compromettant des outils d’IA internes, dérobant ainsi environ 6,34 milliards de dollars d’actifs. À la date de publication du rapport, 2,85 milliards de dollars avaient été gelés et 98 % des jetons concernés avaient été reconstitués.
Le grave incident de sécurité subi par Binance a été orchestré par la République populaire démocratique de Corée (RPDC). Les attaquants ont exploité des entretiens d’embauche, des logiciels malveillants et des outils d’IA internes compromis pour prendre progressivement le contrôle des appareils de plusieurs employés. Ils ont fini par obtenir des autorisations de signature de portefeuilles et ont contourné le processus normal de retrait grâce au mécanisme d’autorisation EIP-7702 d’Ethereum, dérobant ainsi des actifs crypto d’une valeur totale d’environ 6,34 milliards de dollars. Binance a indiqué que la plateforme prendrait intégralement en charge les pertes. À la date de publication du rapport, environ 2,85 milliards de dollars d’actifs avaient été gelés ou interceptés, et 98 % des actifs en jetons concernés avaient été reconstitués.
Comment 6,3 milliards de dollars ont été dérobés
Dans son rapport, Binance a également reconstitué la chronologie de l’attaque du 29 octobre. Entre 20 h 05 et 20 h 09 UTC, cinq portefeuilles chauds de Binance ont transféré 233,46 millions de XRP vers des adresses contrôlées par les attaquants. Ensuite, des portefeuilles chauds déployés sur les réseaux Solana et Optimism ont transféré respectivement environ 970 500 SOL et 44,2 millions d’OP. Binance a immédiatement lancé une enquête après avoir reçu une alerte interne, mais les attaquants ont poursuivi leurs opérations et transféré 18 270 BTC supplémentaires depuis un portefeuille chaud.
L’attaque reposait principalement sur l’exploitation abusive du mécanisme d’autorisation EIP-7702 d’Ethereum. Ce mécanisme permet à un compte de déléguer une partie de ses autorisations d’exécution à un contrat intelligent sans exposer sa clé privée. Les attaquants s’en sont servis pour faire en sorte qu’un contrat intelligent sous leur contrôle obtienne une partie des autorisations d’exécution d’un portefeuille chaud de Binance. Ils ont soumis 50 transactions signées et manipulé le nonce du compte afin de créer des autorisations de délégation malveillantes.
Ces autorisations étant enregistrées sur la blockchain et indépendantes de l’infrastructure de retrait habituelle de Binance, les attaquants ont pu continuer à transférer des actifs même après la suspension des retraits par Binance.
L’équipe de Binance devait effectuer des transactions supplémentaires pour révoquer ces autorisations enregistrées sur la blockchain. Toutefois, les portefeuilles chauds concernés utilisant la technologie de calcul multipartite (MPC), aucune clé privée unique ne permettait de les révoquer immédiatement. L’équipe a donc dû spécialement développer et exécuter.#币安10·30安全事件调查报告 #BinanceReprendraLesRetraitsDeDavantageDActifs
Le 3 novembre, Binance a publié un rapport préliminaire sur l’incident de sécurité du 29 octobre. Celui-ci révèle que des hackers nord-coréens ont infiltré progressivement le processus de signature des portefeuilles en se faisant passer pour des recruteurs, en utilisant des logiciels malveillants et en compromettant des outils d’IA internes, dérobant ainsi environ 6,34 milliards de dollars d’actifs. À la date de publication du rapport, 2,85 milliards de dollars avaient été gelés et 98 % des jetons concernés avaient été reconstitués.
Le grave incident de sécurité subi par Binance a été orchestré par la République populaire démocratique de Corée (RPDC). Les attaquants ont exploité des entretiens d’embauche, des logiciels malveillants et des outils d’IA internes compromis pour prendre progressivement le contrôle des appareils de plusieurs employés. Ils ont fini par obtenir des autorisations de signature de portefeuilles et ont contourné le processus normal de retrait grâce au mécanisme d’autorisation EIP-7702 d’Ethereum, dérobant ainsi des actifs crypto d’une valeur totale d’environ 6,34 milliards de dollars. Binance a indiqué que la plateforme prendrait intégralement en charge les pertes. À la date de publication du rapport, environ 2,85 milliards de dollars d’actifs avaient été gelés ou interceptés, et 98 % des actifs en jetons concernés avaient été reconstitués.
Comment 6,3 milliards de dollars ont été dérobés
Dans son rapport, Binance a également reconstitué la chronologie de l’attaque du 29 octobre. Entre 20 h 05 et 20 h 09 UTC, cinq portefeuilles chauds de Binance ont transféré 233,46 millions de XRP vers des adresses contrôlées par les attaquants. Ensuite, des portefeuilles chauds déployés sur les réseaux Solana et Optimism ont transféré respectivement environ 970 500 SOL et 44,2 millions d’OP. Binance a immédiatement lancé une enquête après avoir reçu une alerte interne, mais les attaquants ont poursuivi leurs opérations et transféré 18 270 BTC supplémentaires depuis un portefeuille chaud.
L’attaque reposait principalement sur l’exploitation abusive du mécanisme d’autorisation EIP-7702 d’Ethereum. Ce mécanisme permet à un compte de déléguer une partie de ses autorisations d’exécution à un contrat intelligent sans exposer sa clé privée. Les attaquants s’en sont servis pour faire en sorte qu’un contrat intelligent sous leur contrôle obtienne une partie des autorisations d’exécution d’un portefeuille chaud de Binance. Ils ont soumis 50 transactions signées et manipulé le nonce du compte afin de créer des autorisations de délégation malveillantes.
Ces autorisations étant enregistrées sur la blockchain et indépendantes de l’infrastructure de retrait habituelle de Binance, les attaquants ont pu continuer à transférer des actifs même après la suspension des retraits par Binance.
L’équipe de Binance devait effectuer des transactions supplémentaires pour révoquer ces autorisations enregistrées sur la blockchain. Toutefois, les portefeuilles chauds concernés utilisant la technologie de calcul multipartite (MPC), aucune clé privée unique ne permettait de les révoquer immédiatement. L’équipe a donc dû spécialement développer et exécuter.#币安10·30安全事件调查报告 #BinanceReprendraLesRetraitsDeDavantageDActifs
