🔴 Comment le piratage de Binance, d’un montant de 6,3 milliards de dollars, s’est-il produit ? 5 mois d’infiltration, un vol en 20 minutes

Juin : un ingénieur DevOps chargé d’un portefeuille numérique a téléchargé un programme d’installation Homebrew altéré en essayant d’installer un outil de programmation utilisant l’IA.

Septembre : un autre ingénieur a été approché par un faux recruteur sous prétexte d’un entretien d’embauche, qui lui a demandé de télécharger un dépôt de code malveillant.

20 oct. : Avec ces ordinateurs et l’outil d’IA interne de Binance, ils ont compromis les machines de deux autres ingénieurs. Ils ont aussi obtenu un jeton permettant de déployer des conteneurs.

29 oct. : À l’aide des identifiants volés sur l’ordinateur de l’ingénieur C, ils ont déployé un conteneur et exécuté un script malveillant. Celui-ci a atteint le service interne de signature des portefeuilles de Binance et contourné les contrôles habituels des retraits.

Sur Ethereum, 50 autorisations EIP-7702 pré-signées ont permis de transférer le portefeuille chaud Binance 14 vers le contrat de l’attaquant, qui a dérobé notamment 167,464 ETH et 1.615B USDT. Sur 10 autres chaînes, le butin s’élève à environ 6,34 milliards de dollars au total, dont 233.46M XRP, ~970,500 SOL et 18,270 BTC ; la majeure partie a été dérobée en 20 minutes.

Pourquoi la suspension des retraits n’a-t-elle pas arrêté l’attaque ? Les délégations EIP-7702 malveillantes étaient déjà inscrites sur la blockchain. Le portefeuille MPC ne dispose pas d’une clé privée unique permettant de les révoquer ; une procédure spéciale est nécessaire pour régler le problème.

Qui est responsable ? TRM Labs et le FBI pointent du doigt le groupe nord-coréen TraderTraitor (le même que lors du vol de 1,5 milliard de dollars chez Bybit). La Corée du Nord, elle, le nie. Binance affirme n’avoir trouvé aucune preuve de fuite de clé privée.

À ce jour : environ 2,85 milliards de dollars ont été gelés ou interceptés, et Binance affirme avoir reconstitué environ 98 % des fonds.

À noter : il s’agit du rapport préliminaire de Binance du 3 nov. et des informations de TRM Labs et du FBI. Le rapport complet et un examen indépendant n’ont pas encore été publiés.