L’enquête en cours sur la faille de sécurité de Binance, qui a entraîné le vol de 6,3 milliards de dollars — largement considéré comme le plus grand casse numérique de l’histoire financière — révèle une cyberattaque extrêmement sophistiquée et en constante évolution. [1, 2]
Voici les principaux éléments mis au jour jusqu’à présent par les enquêteurs internes et indépendants spécialisés dans la blockchain :
🛠️ Stratégie d’exploitation et point d’entrée
La faille initiale : Les premières investigations de Binance ont désigné comme point d’entrée l’ordinateur portable compromis d’un ingénieur DevOps. Cette machine compromise a permis aux attaquants de s’infiltrer dans un système du réseau interne et d’accéder à un conteneur critique de développement logiciel et de services. [1, 2, 3]
Une attaque « complexe » : Richard Teng, co-PDG de Binance, a précisé que l’attaque était bien plus complexe qu’un simple vol d’identifiants en « un clic ». Les pirates ne se sont pas contentés d’utiliser les autorisations d’une seule personne, mais ont mené une intrusion réseau élaborée. [1]
EIP-7702 et mécanismes ciblés : La société d’analyse blockchain TRM Labs a indiqué que les attaquants avaient ciblé des portefeuilles chauds sur 10 blockchains différentes. Sur le réseau Ethereum, les pirates ont exploité la norme EIP-7702 récemment mise en œuvre. À l’aide d’une autorisation pré-signée, ils ont forcé un portefeuille chaud de Binance à exécuter un « contrat de vidage » malveillant, qui a systématiquement transféré les actifs vers des portefeuilles contrôlés par les pirates. [1, 2]
Effacement des traces : Les attaquants ont effectué le gros du vol en une vingtaine de minutes et activé un mécanisme d’autodestruction qui a anéanti les outils internes et les traces numériques, retardant délibérément les investigations forensiques. Binance n’a trouvé aucune preuve d’une fuite directe de clés privées. [1, 2, 3]
🕵️ Principal suspect : TraderTraitor, lié à la Corée du Nord
Plusieurs grandes sociétés de renseignement blockchain — dont TRM Labs, Chainalysis et Elliptic — ont attribué le casse, avec un « haut degré de confiance », à TraderTraitor. [1, 2]
TraderTraitor est une unité d’élite de cybercombat parrainée par l’État nord-coréen (souvent associée au groupe Lazarus).
#BinanceSquareTalks
Voici les principaux éléments mis au jour jusqu’à présent par les enquêteurs internes et indépendants spécialisés dans la blockchain :
🛠️ Stratégie d’exploitation et point d’entrée
La faille initiale : Les premières investigations de Binance ont désigné comme point d’entrée l’ordinateur portable compromis d’un ingénieur DevOps. Cette machine compromise a permis aux attaquants de s’infiltrer dans un système du réseau interne et d’accéder à un conteneur critique de développement logiciel et de services. [1, 2, 3]
Une attaque « complexe » : Richard Teng, co-PDG de Binance, a précisé que l’attaque était bien plus complexe qu’un simple vol d’identifiants en « un clic ». Les pirates ne se sont pas contentés d’utiliser les autorisations d’une seule personne, mais ont mené une intrusion réseau élaborée. [1]
EIP-7702 et mécanismes ciblés : La société d’analyse blockchain TRM Labs a indiqué que les attaquants avaient ciblé des portefeuilles chauds sur 10 blockchains différentes. Sur le réseau Ethereum, les pirates ont exploité la norme EIP-7702 récemment mise en œuvre. À l’aide d’une autorisation pré-signée, ils ont forcé un portefeuille chaud de Binance à exécuter un « contrat de vidage » malveillant, qui a systématiquement transféré les actifs vers des portefeuilles contrôlés par les pirates. [1, 2]
Effacement des traces : Les attaquants ont effectué le gros du vol en une vingtaine de minutes et activé un mécanisme d’autodestruction qui a anéanti les outils internes et les traces numériques, retardant délibérément les investigations forensiques. Binance n’a trouvé aucune preuve d’une fuite directe de clés privées. [1, 2, 3]
🕵️ Principal suspect : TraderTraitor, lié à la Corée du Nord
Plusieurs grandes sociétés de renseignement blockchain — dont TRM Labs, Chainalysis et Elliptic — ont attribué le casse, avec un « haut degré de confiance », à TraderTraitor. [1, 2]
TraderTraitor est une unité d’élite de cybercombat parrainée par l’État nord-coréen (souvent associée au groupe Lazarus).
#BinanceSquareTalks
