Binance attribue le piratage de 6,3 milliards à un faux entretien et à l'IA

Logiciels compromis et ingénierie sociale

Dans un rapport publié mardi, Binance a décrit une campagne qui s’est étalée sur plusieurs mois, ayant débuté dès le mois de juin et culminé avec le vol du 29 octobre. La plateforme d’échange a indiqué que les attaquants avaient exploité l’accès à un service interne de signature de portefeuilles, contournant les procédures normales de retrait pour transférer des milliards de dollars sur plusieurs blockchains.

L’enquête a permis d’identifier plusieurs étapes de l’attaque, notamment une tentative antérieure en juin, lors de laquelle un ingénieur spécialisé dans les portefeuilles avait téléchargé une version compromise du programme d’installation du logiciel Homebrew alors qu’il tentait d’installer un outil de codage basé sur l’IA. Binance a indiqué que son équipe de sécurité avait détecté la menace, remplacé l’appareil de l’employé et modifié les identifiants associés, mais que cet incident avait exposé des informations concernant le personnel chargé de l’infrastructure des portefeuilles.

Une faille plus grave s’est produite en septembre, lorsqu’un autre ingénieur de Binance a été contacté via une plateforme d’emploi légitime par une personne se faisant passer pour un recruteur. L’employé a participé à deux entretiens, dont un appel vidéo avec un soi-disant représentant des ressources humaines et un autre avec une personne prétendant diriger une entreprise fictive.

Au cours du deuxième entretien, l’employé a reçu pour instruction de télécharger sur un ordinateur de travail un exercice de programmation contenant un logiciel malveillant. Ce logiciel malveillant a remplacé un composant légitime d’un outil de développement, permettant ainsi aux attaquants d’exécuter des commandes et de communiquer avec un serveur externe. Binance a indiqué que ce logiciel malveillant, jusque-là inconnu, avait contourné ses logiciels de sécurité tout en tentant de dissimuler les traces de l’intrusion.

Le 20 octobre, les attaquants ont utilisé l’appareil compromis et un outil d’IA interne pour accéder aux comptes de deux autres ingénieurs. Ils ont ensuite obtenu des identifiants leur permettant de déployer des logiciels au sein de l’infrastructure de portefeuilles de Binance.

Le 29 octobre, les attaquants ont utilisé ces identifiants pour accéder aux opérations de signature du portefeuille et initier des transferts non autorisés portant notamment sur 18 270 BTC, 233,46 millions de XRP, environ 970 500 SOL et 44,2 millions d’OP, entre autres actifs.

Les pirates ont également exploité le mécanisme d’autorisation EIP-7702 d’Ethereum, qui permet aux contrats intelligents d’exécuter des transactions au nom d’un compte. En mettant en place des autorisations malveillantes, ils ont pu transférer des actifs depuis un portefeuille « chaud » de Binance, même après que la plateforme ait suspendu les retraits habituels.

Binance a indiqué que les attaquants avaient soumis 50 transactions de signature afin de manipuler la séquence des transactions du compte et d’établir ces autorisations. L’utilisation par la plateforme de la technologie de calcul multipartite a compliqué les efforts visant à révoquer ces autorisations, nécessitant une procédure spécialisée pour reprendre le contrôle.

Le dernier transfert non autorisé, portant sur environ 2 962 ETH, a été finalisé peu avant minuit (UTC) le 29 octobre. Binance a révoqué la délégation malveillante peu après.

Binance se remet d’un piratage sans précédent

Ces conclusions viennent compléter une précédente couverture de Bitcoin.com News portant sur les commentaires de Richard Teng, co-PDG de Binance, qui avait indiqué que l’opération impliquait plusieurs points de violation et des techniques de destruction de preuves, plutôt que la seule implication d’un employé compromis.

La plateforme d’échange a également cité l’attribution de l’attaque à la Corée du Nord par le FBI. Comme l’avait précédemment rapporté Bitcoin.com News, les sociétés de veille blockchain TRM Labs et Chainalysis ont, chacune de leur côté, établi un lien entre ce vol et des opérations de piratage nord-coréennes. Les dirigeants nord-coréens ont depuis nié ces accusations, qualifiant la déclaration du FBI de « provocation politique ».

Binance a indiqué qu’environ 2,85 milliards de dollars d’actifs volés avaient été gelés ou interceptés à la date de sa dernière mise à jour. La société s’est engagée à couvrir elle-même l’impact financier et a signalé que 98 % des actifs sous forme de tokens concernés avaient été reconstitués au 31 octobre, les achats se poursuivant pour les cryptomonnaies moins liquides.

La plateforme a indiqué avoir depuis reconstruit les systèmes de portefeuilles concernés, remplacé les appareils des employés compromis, révoqué les identifiants exposés et renforcé sa surveillance de sécurité basée sur l’IA. Elle a également commandé un audit indépendant en cybersécurité et étudie la création d’un fonds de recherche en sécurité axé sur les menaces liées à l’intelligence artificielle. Ce rétablissement intervient alors que les enquêteurs continuent de traquer les fonds volés. Bitcoin.com News a rapporté lundi que la société d’analyse de chaînes de blocs Elliptic avait retracé les actifs volés à travers environ 12 000 portefeuilles répartis sur 11 chaînes de blocs en moins de quatre jours. Binance a souligné que son enquête se poursuivait et que certaines conclusions techniques feraient l’objet d’une vérification indépendante avant que la société ne publie des informations supplémentaires.