Selon le rapport préliminaire, tout a commencé en juin. Un ingénieur de Binance configurait un outil d’IA pour la programmation et a téléchargé un installateur modifié de Homebrew, un gestionnaire de paquets populaire pour macOS. La plateforme d’échange a détecté l’incident, remplacé l’appareil et changé les identifiants, mais les attaquants avaient déjà réussi à découvrir qui, au sein de l’entreprise, était responsable des portefeuilles.

En septembre, un faux recruteur sur un site de recherche d’emploi a fait passer un entretien vidéo à un employé et lui a envoyé un dépôt contenant un « exercice de test ». Celui-ci renfermait un logiciel malveillant qui exploitait une vulnérabilité zero-day, passée inaperçue aux yeux des protections des appareils professionnels. Le 20 octobre, l’attaquant s’est servi d’un outil d’IA interne de Binance comme tête de pont et a obtenu un jeton lui permettant de déployer des conteneurs. Le 29 octobre, il a déployé un conteneur à partir duquel il a lancé l’attaque.

Grâce au service interne de signature des transactions, l’attaquant a retiré des fonds en contournant la procédure habituelle. En quatre minutes, de 20 h 05 à 20 h 09 UTC, cinq portefeuilles chauds, c’est-à-dire connectés en permanence au réseau, ont envoyé 233,46 millions de #XRP à son adresse. Ensuite, environ 970 500 $SOL , 44,2 millions de #OP et 18 270 $BTC ont été transférés.

Sur le réseau Ethereum, un pirate a exploité le mécanisme EIP-7702, qui permet à un portefeuille ordinaire de déléguer une partie de ses pouvoirs à un contrat intelligent. À l’aide de 50 transactions signées, il a accordé à un contrat malveillant le droit de gérer le portefeuille chaud. L’arrêt des retraits n’a pas annulé ces autorisations sur la blockchain. Le portefeuille reposait sur le calcul multipartite (MPC), sans clé privée unique qu’il aurait été possible de révoquer rapidement. Le dernier transfert de 2961,9 $ETH a été effectué à 23 h 56 UTC, et Binance n’a révoqué la délégation qu’à 00 h 10 UTC le 30 octobre.

Selon la plateforme d’échange, au 31 octobre, 98 % des jetons concernés avaient été récupérés et environ 2,85 milliards de dollars avaient été gelés ou interceptés. Binance affirme avoir réservé plus de 100 % du montant nécessaire pour couvrir les pertes et assure que les utilisateurs ne perdront rien. L’entreprise a présenté ses excuses et reconnu que cet incident n’aurait pas dû se produire. Selon le FBI, la Corée du Nord est à l’origine de l’attaque. Binance a également indiqué avoir bloqué 57 menaces au cours de l’année, probablement liées à la Corée du Nord.

Après l’attaque, Binance a rétabli son système de portefeuilles et son outil d’IA, remplacé les appareils, révoqué les identifiants et vérifié le matériel de tous ses employés. La plateforme d’échange commandera également un audit indépendant et créera, avec ses partenaires, un fonds consacré à la recherche sur la sécurité de l’IA.