Aux premières heures du 30 octobre, heure de Pékin, une attaque susceptible de marquer l’histoire de la sécurité des cryptomonnaies a eu lieu.
Plusieurs portefeuilles chauds de Binance ont fait l’objet de transferts inhabituels, portant sur environ 6,3 milliards de dollars d’actifs répartis sur plusieurs réseaux blockchain.
Il ne s’agit pas d’un vol de portefeuille ordinaire.
Le plus inquiétant, c’est que les pirates ne semblent pas avoir directement compromis la blockchain, mais avoir réussi à exploiter le système de signature et d’exécution des transactions de la plateforme elle-même.
J’ai réexaminé les traces de cette attaque sur la blockchain ainsi que les enquêtes publiques, et plusieurs détails méritent particulièrement notre attention.
1. À 4 h 20, Binance 14 a été discrètement pris de contrôle
L’attaquant a ciblé le principal portefeuille chaud de Binance, Binance 14.
Ce portefeuille était chargé depuis longtemps de gérer d’importants flux de fonds.
L’attaquant a utilisé le mécanisme EIP-7702 d’Ethereum.
En termes simples, un portefeuille Ethereum ordinaire peut, par une autorisation, déléguer une partie de ses capacités d’exécution à un contrat intelligent.
Une fois l’autorisation accordée, le contrat peut exécuter des opérations sur le portefeuille selon une logique prédéfinie.
Vers 4 h 20, l’attaquant a soumis une transaction contenant 50 autorisations pré-signées.
Pourquoi 50 ?
Parce que chaque autorisation correspondait à un nonce différent (numéro de transaction). L’attaquant ne pouvant pas prévoir avec précision le nonce du portefeuille à ce moment-là, il a préparé 50 possibilités en une seule fois.
Une seule a finalement correspondu.
Le contrôle du compte Binance 14 a ainsi été délégué au contrat malveillant de l’attaquant.
II. Quatre minutes plus tard, environ 2,5 milliards de dollars ont été transférés en une seule fois
À 4 h 24, l’attaquant a appelé un contrat malveillant pour exécuter une opération Sweep.
En une seule transaction, il a transféré :
167 464 ETH
environ 1,615 milliard de dollars en USDT
plus de 60 autres tokens
pour une valeur totale d’environ 2,5 milliards de dollars.
Plus étonnant encore, 24 secondes plus tard, un autre portefeuille chaud, Binance 16, a transféré à son tour environ 28 005,6 ETH, ainsi qu’une grande quantité d’autres actifs, vers la même adresse contrôlée par l’attaquant.
Cette transaction était également un transfert signé normalement, et non une simple reproduction de l’opération d’autorisation de Binance 14.
Cela signifie que l’attaquant a peut-être eu accès à plusieurs portefeuilles.
III. Le plus aberrant : le système de consolidation automatique a continué de fonctionner après le vol du portefeuille
L’attaquant n’a pas arrêté de rafler les fonds.
Comme les dépôts des utilisateurs continuaient d’être transférés vers le portefeuille chaud selon le processus habituel, Binance 14, dont l’autorisation avait été compromise, a continué à recevoir des fonds.
L’enquête sur la blockchain a également relevé un apport ultérieur d’environ 200 millions d’USDT.
72 secondes plus tard, l’attaquant a également raflé ces fonds.
C’est là le point le plus inquiétant de toute cette affaire :
Le portefeuille présentait déjà une anomalie, mais le mécanisme de consolidation des fonds n’a pas été désactivé à temps.
Il ne s’agit pas simplement d’une transaction de vol de cryptomonnaies, mais d’un attaquant qui a exploité un système automatisé pour continuer à rafler des fonds.
IV. Quel est le montant exact des pertes liées à cet incident ?
Au départ, beaucoup de personnes se sont concentrées uniquement sur les flux de fonds sur Ethereum.
Mais les enquêtes inter-chaînes menées par la suite par TRM Labs et Bitquery ont montré que l’attaque dépassait largement Ethereum.
Les enquêtes rendues publiques à ce jour indiquent que :
environ 6,3 milliards de dollars d’actifs ont quitté 17 portefeuilles chauds de Binance.
De 9 à 10 réseaux blockchain sont concernés, selon les méthodes de calcul légèrement différentes des diverses organisations.
Environ 18 270 BTC ont été transférés depuis le réseau Bitcoin.
Environ 613 millions d’USDT ont été transférés depuis le réseau TRON.
De grandes quantités d’ETH, d’USDT et d’autres tokens ont également été volées sur Ethereum.
Les réseaux XRP, Solana, Base, Optimism, Avalanche et d’autres ont également été touchés.
Il ne s’agit plus seulement d’un portefeuille compromis : plusieurs canaux de transfert de fonds de la plateforme ont présenté des anomalies simultanément.
V. Les stablecoins peuvent être gelés, mais l’ETH est plus difficile à bloquer
Cet incident présente une autre particularité : les émetteurs centralisés de stablecoins peuvent geler les actifs concernés.
Tether a gelé environ 1,57 milliard de dollars d’actifs liés à l’incident, Circle a gelé plus de 800 millions de dollars, et des organisations telles que Ripple et World Liberty ont également participé au gel des fonds.
Binance a ensuite annoncé officiellement avoir gelé environ 3 milliards de dollars d’actifs avec ses partenaires.
Mais il faut garder à l’esprit que :
Un gel ne signifie pas que les fonds ont été récupérés, et encore moins que tous les actifs concernés ont été restitués à Binance.
L’ETH ne dispose pas d’un mécanisme de liste noire des émetteurs comme l’USDT ; aucune entité centralisée ne peut geler directement un compte sur le réseau principal.
Selon le relevé ultérieur de la blockchain effectué par Bitquery, l’attaquant détenait encore environ 508 600 ETH ainsi qu’environ 18 270 BTC. La quantité d’ETH comprend aussi ceux achetés par l’attaquant en échangeant les actifs volés ; ils n’ont donc pas tous été transférés directement depuis Binance.
VI. L’explication préliminaire de Binance présente une différence importante avec les détails observés sur la blockchain
Le 30 octobre, Binance a publié un communiqué sur l’incident de sécurité :
Selon l’enquête préliminaire, l’attaque pourrait être liée au piratage de l’ordinateur portable d’un ingénieur DevOps. L’attaquant aurait ainsi accédé à un conteneur de service et soumis des transactions de retrait non autorisées.
Binance a déclaré n’avoir trouvé, à ce stade, aucun élément indiquant que les clés privées des portefeuilles avaient été divulguées.
La plateforme s’est également engagée à :
Suspendre les dépôts et retraits concernés afin de procéder à des vérifications de sécurité.
Révoquer les autorisations des adresses concernées.
Prendre en charge l’intégralité des pertes au moyen du fonds SAFU et des fonds de l’entreprise.
Publier ultérieurement une preuve de réserves mise à jour.
Il faut ici faire une distinction très importante :
La blockchain peut prouver qu’une transaction a été signée de manière valide, mais les seules données de la transaction ne permettent pas de déterminer comment la clé privée a été utilisée.
Il ne faut donc pas conclure trop vite que la clé privée de Binance a été divulguée.
L’enquête doit plutôt déterminer quel maillon — les appareils internes, les conteneurs de service, l’approbation des transactions ou l’infrastructure de signature — a perdu le contrôle de la sécurité.
Par ailleurs, TRM Labs a attribué l’attaque au groupe de hackers nord-coréen TraderTraitor avec un degré de confiance élevé. Il s’agit toutefois de l’attribution d’une société de sécurité tierce, et non de la conclusion définitive annoncée par Binance.
VII. Cet incident sonne l’alarme pour l’ensemble du secteur des cryptomonnaies
À mon avis, la question la plus importante soulevée par cet incident n’est pas de savoir à quel point les hackers sont habiles, mais si les systèmes de sécurité des plateformes d’échange sont restés figés dans le passé.
Autrefois, on pensait que :
Tant que la clé privée n’est pas divulguée, les actifs sont en sécurité.
Mais aujourd’hui, ce raisonnement ne suffit plus.
Un appareil peut être piraté, un service interne peut être compromis, un système de signature peut être détourné et un mécanisme de consolidation automatique peut même devenir l’outil des hackers.
À l’avenir, les plateformes d’échange devront au minimum réexaminer plusieurs questions :
Les autorisations de signature sont-elles soumises à des validations multiples et indépendantes ?
Les transferts de montants importants peuvent-ils être bloqués grâce à la détection des anomalies en temps réel ?
Les portefeuilles chauds devraient-ils être dotés d’un mécanisme de coupure automatique ?
Dès qu’une anomalie est détectée sur un portefeuille, les dépôts et la consolidation des fonds peuvent-ils être immédiatement suspendus ?
Les droits d’accès sont-ils réellement isolés entre différentes chaînes et différents portefeuilles ?
Un autre point mérite d’être souligné :
EIP-7702 n’est pas une vulnérabilité, et rien ne prouve que l’IA ait été à l’origine de cette attaque. Le véritable sujet de préoccupation est que les attaquants exploitent des technologies de plus en plus complexes pour trouver les failles des systèmes de sécurité traditionnels.
Pour finir :
Le secteur des cryptomonnaies parle sans cesse de décentralisation, de « code faisant loi » et de souveraineté sur les actifs.
Mais les plateformes d’échange restent responsables de la conservation des actifs de centaines de millions d’utilisateurs.
Lorsqu’un portefeuille chaud est compromis et que le système de consolidation automatique continue d’envoyer des fonds aux hackers, il ne s’agit plus d’un simple problème technique.
6,3 milliards de dollars : une leçon de sécurité extrêmement coûteuse.
Lors du prochain cycle de concurrence dans le secteur, les plateformes devront rivaliser non seulement sur la profondeur des marchés, la liquidité, les produits et le nombre d’utilisateurs, mais aussi sur un point essentiel :
Qui est réellement capable de protéger les actifs des utilisateurs ?
Plus les technologies progressent vite, moins les systèmes de sécurité peuvent se permettre de prendre du retard.
Cet incident n’est pas encore clos. Il faudra attendre le rapport complet de l’enquête technique de Binance pour connaître la véritable réponse.
Principales sources consultées :
Binance : Security Incident Update (30 octobre) — Vecteur d’intrusion préliminaire, 6,3 milliards de dollars d’actifs concernés, actifs gelés et engagement d’indemnisation.
TRM Labs : enquête sur TraderTraitor, groupe nord-coréen, et l’attaque contre Binance — 50 autorisations, attaque inter-chaînes et attribution à l’attaquant.
Bitquery : enquête sur la chaîne d’attaque des portefeuilles chauds de Binance — 17 portefeuilles chauds, flux de fonds, gels et solde de l’attaquant.
Cointelegraph : analyse d’EIP-7702 et de l’infrastructure de signature — 50 autorisations et distinction entre détournement et divulgation de clés privées.
CoinDesk : analyse des réserves de Binance et des actifs de ses portefeuilles chauds — lien entre Binance 14 et la preuve de réserves.
Reuters : article sur l’attribution de l’attaque par TRM — attribution à un groupe de hackers nord-coréen.