Même en appuyant sur le bouton de suspension des retraits, les transferts sur la chaîne continuent de s’effectuer tout seuls.
Aujourd’hui, Binance a reconstitué minute par minute la soirée du 29 octobre. Entre 20:05 et 20:09 UTC, cinq portefeuilles chauds ont transféré 233,46 millions de XRP vers des adresses contrôlées par l’attaquant. S’y ajoutaient environ 970 500 SOL, 44,2 millions d’OP et 18 270 BTC. L’incident a touché environ 6,34 milliards de dollars d’actifs ; 2,85 milliards ont été gelés ou interceptés.
Tout se joue dans les autorisations. L’attaquant n’a pas obtenu une clé privée en particulier : il s’est servi du service de signature pour associer son contrat à une délégation EIP-7702 sur Ethereum. Une fois la délégation inscrite sur la chaîne, les transferts contournaient le processus de retrait. Suspendre les retraits bloque les voies normales, mais pas une autorisation déjà active sur la chaîne.
Les portefeuilles chauds utilisaient le calcul multipartite : aucune clé privée unique ne pouvait être révoquée immédiatement. L’équipe a donc dû mettre en place en urgence une procédure de révocation. Pendant cette période de vulnérabilité, l’attaquant a soumis 50 transactions signées pour manipuler le nonce du compte. La dernière, portant sur 2 961,9 ETH, a été confirmée à 23:56 UTC. Ce n’est qu’à 00:10 le 30 octobre qu’une autorisation a été envoyée depuis le portefeuille chaud Binance14 vers l’adresse zéro, afin d’effacer le code de délégation.
Il n’y a eu aucune faille dans le code à l’origine de l’intrusion. En juin, un ingénieur chargé des opérations des portefeuilles, A, a cherché un outil de programmation basé sur l’IA et téléchargé un paquet d’installation Homebrew altéré. La version de pyenv avait été remplacée par une version de 3 414 octets, contre 3 344 octets pour la version officielle. En septembre, un ingénieur logiciel, B, a été entraîné dans un faux entretien d’embauche sur une plateforme de recrutement ; à la fin du deuxième entretien, on lui a demandé de télécharger un dépôt contenant un exercice. Le 20 octobre, un outil d’IA interne a servi de relais pour se déplacer latéralement dans le réseau. Le 29 octobre, entre 17:15 et 19:56, l’attaquant a déployé des conteneurs sur l’ordinateur de l’ingénieur C à l’aide d’identifiants volés.
Selon les propres chiffres de Binance, son équipe de sécurité a détecté et bloqué 57 cybermenaces présumées liées à la Corée du Nord en 2026. La remarque ajoutée par Yi He est plus concrète : on peut en bloquer beaucoup, mais le coût d’une seule qui passe est très élevé.
Le plus important dans ce rapport, c’est le décalage dans le temps. Au 31 octobre, 98 % des jetons concernés avaient déjà été réapprovisionnés ; les pertes financières ne sont donc plus vraiment en question. Ce qu’il faut examiner, ce sont ces quatre heures entre 20:05 et 00:10 : après l’activation du bouton de suspension, les autorisations de l’attaquant continuaient d’agir sur la chaîne. À la prochaine annonce de ce type, la première question à poser est : les autorisations inscrites sur la chaîne ont-elles été révoquées ?
#中本聪国际社区Baoluo币商资本 #币安推出BinanceIntelligence #币安 #SAFU
Aujourd’hui, Binance a reconstitué minute par minute la soirée du 29 octobre. Entre 20:05 et 20:09 UTC, cinq portefeuilles chauds ont transféré 233,46 millions de XRP vers des adresses contrôlées par l’attaquant. S’y ajoutaient environ 970 500 SOL, 44,2 millions d’OP et 18 270 BTC. L’incident a touché environ 6,34 milliards de dollars d’actifs ; 2,85 milliards ont été gelés ou interceptés.
Tout se joue dans les autorisations. L’attaquant n’a pas obtenu une clé privée en particulier : il s’est servi du service de signature pour associer son contrat à une délégation EIP-7702 sur Ethereum. Une fois la délégation inscrite sur la chaîne, les transferts contournaient le processus de retrait. Suspendre les retraits bloque les voies normales, mais pas une autorisation déjà active sur la chaîne.
Les portefeuilles chauds utilisaient le calcul multipartite : aucune clé privée unique ne pouvait être révoquée immédiatement. L’équipe a donc dû mettre en place en urgence une procédure de révocation. Pendant cette période de vulnérabilité, l’attaquant a soumis 50 transactions signées pour manipuler le nonce du compte. La dernière, portant sur 2 961,9 ETH, a été confirmée à 23:56 UTC. Ce n’est qu’à 00:10 le 30 octobre qu’une autorisation a été envoyée depuis le portefeuille chaud Binance14 vers l’adresse zéro, afin d’effacer le code de délégation.
Il n’y a eu aucune faille dans le code à l’origine de l’intrusion. En juin, un ingénieur chargé des opérations des portefeuilles, A, a cherché un outil de programmation basé sur l’IA et téléchargé un paquet d’installation Homebrew altéré. La version de pyenv avait été remplacée par une version de 3 414 octets, contre 3 344 octets pour la version officielle. En septembre, un ingénieur logiciel, B, a été entraîné dans un faux entretien d’embauche sur une plateforme de recrutement ; à la fin du deuxième entretien, on lui a demandé de télécharger un dépôt contenant un exercice. Le 20 octobre, un outil d’IA interne a servi de relais pour se déplacer latéralement dans le réseau. Le 29 octobre, entre 17:15 et 19:56, l’attaquant a déployé des conteneurs sur l’ordinateur de l’ingénieur C à l’aide d’identifiants volés.
Selon les propres chiffres de Binance, son équipe de sécurité a détecté et bloqué 57 cybermenaces présumées liées à la Corée du Nord en 2026. La remarque ajoutée par Yi He est plus concrète : on peut en bloquer beaucoup, mais le coût d’une seule qui passe est très élevé.
Le plus important dans ce rapport, c’est le décalage dans le temps. Au 31 octobre, 98 % des jetons concernés avaient déjà été réapprovisionnés ; les pertes financières ne sont donc plus vraiment en question. Ce qu’il faut examiner, ce sont ces quatre heures entre 20:05 et 00:10 : après l’activation du bouton de suspension, les autorisations de l’attaquant continuaient d’agir sur la chaîne. À la prochaine annonce de ce type, la première question à poser est : les autorisations inscrites sur la chaîne ont-elles été révoquées ?
#中本聪国际社区Baoluo币商资本 #币安推出BinanceIntelligence #币安 #SAFU