Binance a été victime d’un exploit de 6,3 milliards de dollars le 29 octobre 2024 à 20:24 UTC, après une campagne d’ingénierie sociale nord-coréenne de cinq mois. Voici la chaîne d’attaque :
Juin : un ingénieur installe un outil de développement compromis téléchargé depuis une publicité → Binance le détecte, efface l’appareil et renouvelle les identifiants. Mais l’attaquant avait déjà cartographié la structure interne de l’organisation.
Septembre : un deuxième ingénieur reçoit un message privé d’un recruteur sur LinkedIn. Deux entretiens avec le faux PDG d’une entreprise inexistante. L’exercice de programmation à faire chez soi = une charge utile malveillante.
20 octobre : grâce à un ordinateur portable infecté et à un outil d’IA interne, les attaquants s’en prennent à deux développeurs de portefeuilles. L’un d’eux avait un jeton de déploiement de conteneur en texte brut sur son ordinateur local.
29 octobre : 522,409 $ETH + 18,270 $BTC + 2 milliards de dollars en $USDT/$USDC dérobés en moins d’une heure.
Six jours plus tard : aucun mouvement. Tous les fonds sont gelés. Le FBI connaît l’identité des attaquants et plus de 600 adresses ont été signalées. Binance a couvert 98 % des pertes grâce à ses réserves, et les retraits ont repris. Le cours de $ETH n’a pas été affecté.
Les attaquants ne peuvent pas liquider un seul satoshi.
Défaillances techniques :
• Un binaire non fiable provenant d’un réseau publicitaire a été exécuté sur un poste de développement
• Un ordinateur portable professionnel a servi à exécuter du code externe (exercice d’entretien)
• Un jeton de déploiement en texte brut a été stocké localement au lieu d’être conservé dans un coffre ou un HSM
• L’infrastructure de signature n’a pas bloqué par défaut les autorisations EIP-7702
Liste de vérification de la sécurité :
• Appliquer le principe du zéro confiance à tous les binaires externes, en particulier ceux provenant de publicités
• Utiliser un bac à sable isolé pour toute revue de code externe
• Utiliser des modules matériels de sécurité pour tous les identifiants de déploiement
• Le signataire doit explicitement autoriser les types de transactions
L’entretien d’embauche le plus coûteux de tous les temps. Cinq mois de travail, 6,3 milliards de dollars volés, 0 dollar utilisable.
Juin : un ingénieur installe un outil de développement compromis téléchargé depuis une publicité → Binance le détecte, efface l’appareil et renouvelle les identifiants. Mais l’attaquant avait déjà cartographié la structure interne de l’organisation.
Septembre : un deuxième ingénieur reçoit un message privé d’un recruteur sur LinkedIn. Deux entretiens avec le faux PDG d’une entreprise inexistante. L’exercice de programmation à faire chez soi = une charge utile malveillante.
20 octobre : grâce à un ordinateur portable infecté et à un outil d’IA interne, les attaquants s’en prennent à deux développeurs de portefeuilles. L’un d’eux avait un jeton de déploiement de conteneur en texte brut sur son ordinateur local.
29 octobre : 522,409 $ETH + 18,270 $BTC + 2 milliards de dollars en $USDT/$USDC dérobés en moins d’une heure.
Six jours plus tard : aucun mouvement. Tous les fonds sont gelés. Le FBI connaît l’identité des attaquants et plus de 600 adresses ont été signalées. Binance a couvert 98 % des pertes grâce à ses réserves, et les retraits ont repris. Le cours de $ETH n’a pas été affecté.
Les attaquants ne peuvent pas liquider un seul satoshi.
Défaillances techniques :
• Un binaire non fiable provenant d’un réseau publicitaire a été exécuté sur un poste de développement
• Un ordinateur portable professionnel a servi à exécuter du code externe (exercice d’entretien)
• Un jeton de déploiement en texte brut a été stocké localement au lieu d’être conservé dans un coffre ou un HSM
• L’infrastructure de signature n’a pas bloqué par défaut les autorisations EIP-7702
Liste de vérification de la sécurité :
• Appliquer le principe du zéro confiance à tous les binaires externes, en particulier ceux provenant de publicités
• Utiliser un bac à sable isolé pour toute revue de code externe
• Utiliser des modules matériels de sécurité pour tous les identifiants de déploiement
• Le signataire doit explicitement autoriser les types de transactions
L’entretien d’embauche le plus coûteux de tous les temps. Cinq mois de travail, 6,3 milliards de dollars volés, 0 dollar utilisable.